Qué ocurre tras un hackeo en un protocolo DeFi: cronología

Lo que sucede cuando un protocolo DeFi es hackeado generalmente se decide en minutos: los atacantes explotan la pila de riesgos de un protocolo para retirar activos de las bóvedas más rápido de lo que los humanos pueden reaccionar.

Los usuarios lo sienten como salidas congeladas, precios rotos y, a veces, cascadas de liquidación, porque los fondos depositados están controlados por el sistema de contratos inteligentes del protocolo, no por la billetera del usuario.

Conclusiones clave

• Depositar en DeFi transfiere el control de activos a los contratos inteligentes, por lo que una billetera de hardware no puede proteger los fondos ya depositados en un protocolo comprometido.
• La explotación del Protocolo Drift el 1 de abril de 2026 drenó alrededor de $285 millones en minutos, retirando más de la mitad de sus reportados $500+ millonesTVL antes de que las acciones de respuesta pudieran detenerlo.
• Muchos exploits importantes son fallos encadenados a través de oráculos y controles privilegiados, no solo un error en un contrato inteligente.
• La recuperación es incierta a nivel de ecosistema: una revisión de seguridad de DeFi que cita informes de la base de datos REKT reporta $77.1 mil millones en pérdidas con $6.5 mil millones recuperados.

Lo que significa cuando un protocolo DeFi es “hackeado”

Un “hack” de DeFi no suele ser alguien rompiendo la billetera de un usuario. Es un atacante extrayendo valor de activos que ya están dentro de bóvedas controladas por el protocolo.

El detalle operativo clave es la custodia: una vez que se realiza un depósito, el control pasa de las claves privadas del usuario a las reglas del contrato inteligente del protocolo, sus entradas de oráculo y cualquier control privilegiado que pueda cambiar o eludir esas reglas.

Por eso el modelo mental común de los minoristas falla. Una billetera de hardware protege las claves privadas de ser robadas, pero no puede proteger los fondos que ya han sido depositados en un protocolo comprometido. Después del depósito, el límite de seguridad relevante es el diseño del protocolo, incluyendo cómo valora colateral, quien puede ejecutar acciones sensibles, y si hay retrasos que ralentizan los grandes retiros.

Esta explicación es parte de la guía más amplia sobre qué es DeFi, pero se centra en el camino del incidente que los comerciantes experimentan realmente. En la práctica, un hackeo de DeFi se comporta como un evento de margen en cadena en vivo: el protocolo comienza a creer precios incorrectos o a honrar retiros no autorizados, y los sistemas automatizados ejecutan instantáneamente.

Cómo los atacantes suelen extraer valor (caminos de explotación comunes)

Los atacantes suelen ganar haciendo que el protocolo acepte un estado falso, y luego convirtiendo ese estado falso en activos retirables. La forma más clara de pensarlo es entradas → proceso → salidas. Las entradas son las suposiciones de confianza del protocolo, como los precios de oráculos y los permisos de administrador. El proceso es la cadena de explotación que convierte esas suposiciones en un agujero de solvencia. La salida son activos que salen de las bóvedas, más efectos de segundo orden como liquidacionesy deuda mala en DeFi.

La manipulación de oráculos es un patrón central porque cambia lo que el protocolo piensa que vale el colateral. Un mecanismo documentado es inflar el precio aparente de un token de baja liquidez, incluso a través de operaciones de lavado, para que el oráculo informe un precio que permita a un atacante pedir prestado mucho más de lo que el valor real del mercado soportaría.

Un ejemplo separado citado en la cobertura es Dexodus Finance (mayo de 2025), donde un atacante utilizó un préstamo relámpago de aproximadamente $10,500 y reutilizó firmas de oráculos, con daños reportados en el rango de $152,000 a $300,000.

El acceso privilegiado es la otra mitad de muchas explosiones. Si una clave de administrador se ve comprometida, se pueden ejecutar funciones sensibles directamente, incluidos los retiros de bóvedas o actualizaciones. Los bloqueos temporales están destinados a forzar un retraso entre la solicitud de una acción privilegiada y su ejecución, lo que crea una ventana para la detección y respuesta. Sin ese retraso, la explotación se convierte en una carrera que el atacante suele ganar.

Qué sucede durante y inmediatamente después del hackeo (operaciones del protocolo)

La secuencia minuto a minuto suele ser: drenaje, detección, pausa, investigación y luego una larga cola de intentos de recuperación. La fase de drenaje es en su mayoría automatizada. Una vez que se cumplen las condiciones de explotación, el atacante puede ejecutar muchas transacciones rápidamente, y la cadena las procesará siempre que sean válidas.

El incidente del Drift Protocol el 1 de abril de 2026 es un recorrido limpio porque combinó múltiples vectores y se movió rápido. El atacante supuestamente creó un token falso de bajo costo, manipuló el oráculo para que el protocolo malinterpretara los valores de colateral, y luego utilizó lo que los investigadores creían que era una clave de administrador comprometida para drenarSolana-basados en bóvedas a través de muchos retiros rápidos. La pérdida fue de aproximadamente 285 millones de dólares en minutos.

La velocidad no es un detalle. En el momento de la explotación, Drift supuestamente tenía más de 500 millones de dólares enTVL, y más de la mitad de ese TVL fue retirado antes de que el equipo pudiera responder. Ese es el significado práctico de los “cortacircuitos” y los bloqueos temporales. Si las acciones privilegiadas y los grandes retiros no se ralentizan, el atacante puede salir antes de que los humanos confirmen lo que está sucediendo.

Después de la detección, los equipos generalmente se comunican públicamente, pausan el protocolo si pueden y comienzan una investigación. La respuesta de Drift descrita en la fuente incluye confirmación pública, una pausa del protocolo y una investigación. A la fecha de publicación de ese informe, los fondos no se habían recuperado.

Qué sucede con las posiciones de los usuarios y por qué las liquidaciones pueden empeorar los resultados

Los usuarios experimentan un hackeo a través de tres modos de fallo: pérdida de custodia, pérdida de función del mercado y efectos secundarios del motor de riesgo. La pérdida de custodia es sencilla. Si la bóveda se drena, los depósitos pueden desaparecer porque el protocolo era el custodio.

La pérdida de función del mercado se manifiesta como retiros pausados, comercio detenido o préstamos deshabilitados, lo que puede atrapar posiciones incluso si el usuario no era el objetivo directo.

Los efectos secundarios son donde los traders se sorprenden. La liquidación en DeFi es un proceso automático de contrato inteligente que se activa cuando el valor del colateral cae por debajo de un umbral de liquidación. Los liquidadores externos reembolsan la deuda y reciben colateral a un precio descontado, y los prestatarios normalmente pagan una penalización por liquidación.

Durante un incidente de seguridad, los precios pueden volverse poco fiables y la liquidez puede escasear, lo que hace que el motor de liquidación tenga más probabilidades de activarse.

Las liquidaciones también pueden crear riesgo sistémico. Las grandes liquidaciones aumentan la presión de venta y pueden desencadenar una cascada. Durante alta volatilidad, la congestión de la red o los oráculos lentos pueden retrasar las liquidaciones y aumentar la exposición del protocolo a deudas malas. Así es como un hackeo puede convertirse en un riesgo de contagio en DeFi incluso para los usuarios que nunca tocaron la bóveda explotada.

La solvencia del protocolo y la capacidad del mercado para liquidar de manera limpia están vinculadas, y el vínculo se estrecha bajo estrés.

¿Qué pasos toma un protocolo después de un hackeo?

Después de que se detecta un hackeo, los protocolos normalmente intentan detener la hemorragia primero, luego averiguar qué sucedió y después decidir cómo socializar o reparar el daño. La primera palanca es el control operativo: pausar contratos, deshabilitar depósitos o retiros, o activar interruptores automáticos si existen.

La respuesta al incidente de Drift descrita en la fuente incluye una confirmación pública, una pausa del protocolo y una investigación.

La segunda palanca es la forensía. Los equipos e investigadores externos rastrean transacciones, identifican la ruta de explotación y determinan si la causa raíz fue un error en el contrato inteligente, manipulación de oráculos, acceso privilegiado comprometido o una cadena de estos.

El informe de Drift enmarca la explotación como una cadena coordinada a través de la creación de tokens falsos, manipulación de oráculos y una clave de administrador comprometida, con bloqueos temporales e interruptores automáticos ausentes o que no se activan.

La tercera palanca es la gobernanza y la remediación. Si se necesitan actualizaciones o cambios de parámetros, a menudo fluyen a través de un proceso de dao cripto, típicamente a través de una propuesta de gobernanza que autoriza parches, marcos de compensación o nuevos controles de seguridad como requisitos de multisig y bloqueos temporales. El punto práctico es que 'pausar' es control de daños, no un mecanismo de reembolso.

¿Puedes recuperar tu dinero después de un hackeo en DeFi?

A veces, pero la recuperación es estructuralmente incierta porque los activos pueden moverse rápidamente y lavarse a través de diferentes plataformas, y porque muchos protocolos no tienen un balance que pueda hacer a los usuarios enteros.

La mejor expectativa a nivel de ecosistema en las fuentes proporcionadas proviene de una revisión de seguridad en DeFi que cita cifras de la base de datos REKT: $77.1 mil millones en pérdidas totales debido a estafas, hackeos y explotaciones, con $6.5 mil millones recuperados.

A nivel de protocolo, el caso de Drift es un ejemplo de por qué 'pausado' no significa 'recuperado'. El protocolo se pausó y lanzó una investigación, pero a la fecha de publicación del informe, los fondos no se habían recuperado.

Una segunda restricción práctica es la custodia. Una vez que se depositan fondos, son controlados por los contratos inteligentes del protocolo. Una billetera de hardware no puede proteger los fondos ya depositados en un protocolo comprometido porque la billetera solo controla las claves del usuario, no la lógica del vault del protocolo.

La recuperación depende de lo que el protocolo pueda hacer después del incidente, no de cuán seguro almacenó el usuario las claves.

¿Qué es una recuperación whitehat?

Una recuperación whitehat es cuando un investigador de seguridad o un actor rival utiliza el mismo camino de explotación que el atacante, pero redirige los fondos a una dirección más segura con la intención de devolverlos. En la práctica, es un intento de adelantarse al robo o de "rescatar" fondos que de otro modo están a punto de ser drenados.

El detalle operativo clave es que una recuperación whitehat aún depende de que el protocolo sea explotable. No es una herramienta estándar de respuesta a incidentes como pausar un contrato. Es más parecido a una extracción de emergencia que solo funciona cuando el whitehat puede ejecutar más rápido que el actor malicioso, y cuando hay un camino creíble para devolver los activos.

Debido a que las fuentes proporcionadas no cuantifican los resultados whitehat, la única expectativa defensible es estructural. Las recuperaciones whitehat son oportunistas y específicas de cada caso.

No cambian la realidad básica de que los hacks de DeFi a menudo se deciden en minutos, y que los bloqueos temporales y los interruptores de circuito existen específicamente para crear tiempo para que los humanos respondan sin necesidad de una carrera en la cadena.

¿Cómo se asignan las pérdidas después de una explotación?

La asignación de pérdidas depende de dónde se encuentra el agujero y cómo funciona la contabilidad del protocolo. Si el atacante drena un vault compartido, las pérdidas pueden ser socializadas entre los depositantes porque el vault es el custodio agrupado.

Si la explotación crea préstamos subcolateralizados a través de manipulación de oráculos, el protocolo puede terminar con deuda mala defi, donde las obligaciones permanecen pero el colateral es insuficiente.

La mecánica de liquidación influye en la asignación durante el estrés. Las liquidaciones están diseñadas para mantener a los prestamistas enteros vendiendo colateral cuando una posición cae por debajo de un umbral. Los prestatarios pagan una penalización de liquidación, y los liquidadores reciben colateral a un descuento.

Si los oráculos se retrasan o la congestión demora las liquidaciones durante la volatilidad, la exposición del protocolo a la deuda mala puede aumentar, y las pérdidas eventuales pueden recaer sobre los prestamistas, fondos de seguros o reservas del protocolo dependiendo del diseño.

Aquí es donde el marco del "evento de margen" importa. Un hackeo no es solo un robo. También puede ser un evento de revalorización forzada que empuja posiciones a través de umbrales de liquidación, amplificando las pérdidas a través de ventas automatizadas y efectos en cascada.

¿Qué papel juegan los tokens de gobernanza en la recuperación?

Los tokens de gobernanza son importantes porque a menudo controlan las palancas que pueden cambiar el comportamiento del protocolo después de un incidente. En una estructura de dao cripto, los poseedores de tokens pueden autorizar actualizaciones, cambios de parámetros y marcos de compensación a través de una propuesta de gobernanza.

Esto puede incluir la adición de bloqueos temporales, el endurecimiento de las configuraciones de oráculos, el cambio de factores de colateral o la restricción de acciones privilegiadas detrás de multisig.

La limitación es la velocidad. La gobernanza rara vez es lo suficientemente rápida como para detener un drenaje activo a menos que ya existan poderes de emergencia. El caso de Drift ilustra por qué. La explotación eliminó más de la mitad del TVL reportado antes de la respuesta, y el informe señala la falta de mecanismos de retraso o su ineficacia en las funciones administrativas.

La gobernanza puede endurecer el protocolo después del hecho, pero no es un sustituto de los interruptores de circuito preinstalados.

Los tokens de gobernanza tampoco crean automáticamente una red de seguridad. A menos que el protocolo tenga reservas explícitas o mecanismos de ingresos para cubrir pérdidas, los votos de gobernanza solo pueden decidir cómo distribuir el dolor, no borrarlo. Los traders generalmente consideran la gobernanza como parte del riesgo que están asumiendo al depositar, no como una póliza de seguro.

¿Cómo pagan los protocolos de seguros?

Los protocolos de seguros generalmente pagan según los términos de cobertura predefinidos y los procesos de reclamación, no según si un hackeo "se siente real" en las redes sociales. El primer paso práctico es leer la definición de cobertura, incluyendo qué cuenta como un exploit cubierto, qué exclusiones existen y cómo se adjudican las reclamaciones. Esa es la diferencia entre tener un producto llamado seguro y tener un camino de pago.

El segundo paso es entender que el seguro es otra dependencia. Puede reducir el riesgo de cola, pero introduce sus propios riesgos: límites de cobertura, disputas de reclamaciones y la posibilidad de que el capital del asegurador sea insuficiente en un evento grande.

Las cifras agregadas de la revisión de seguridad de DeFi, citando la base de datos REKT, muestran que las cantidades recuperadas son una pequeña fracción de las pérdidas totales a nivel de ecosistema, lo que es consistente con por qué los traders no asumen un reembolso completo.

Para un desglose más profundo de cómo funcionan típicamente la cobertura, las reclamaciones y las exclusiones, consulte la explicación del seguro de defi. La clave operativa es que el seguro es un contrato y un proceso separado. No cambia el hecho de que una vez que los activos son depositados, el contrato inteligente del protocolo, el diseño del oráculo y los controles privilegiados deciden el resultado inmediato.

Recuperación, prevención y conclusiones prácticas para los usuarios de DeFi

La prevención comienza antes del depósito, porque los primeros minutos de un incidente deciden la mayoría de los resultados. El comercio en el mundo real muestra que el patrón peligroso está encadenado: hacer que el protocolo crea una mentira a través de un oráculo, obtener o abusar de privilegios a través de una clave administrativa, y luego salir rápidamente a través de retiros.

La explotación de Drift es un ejemplo concreto de esa cadena, y es por eso que la debida diligencia debe centrarse en la pila de riesgos completa, no solo en las auditorías.

Una lista de verificación práctica previa al depósito se parece a la lista de verificación de un gerente de riesgos. Identifique qué es el oráculo y si puede ser manipulado por una liquidez delgada. Identifique quién puede tocar funciones privilegiadas, y si hay un multisig real y un bloqueo temporal entre "decisión" y "ejecución".

Los bloqueos temporales existen para crear tiempo para la detección y respuesta, y la velocidad de pérdida de Drift muestra lo que sucede cuando ese tiempo no existe.

La gestión de posiciones es importante porque la limpieza puede perjudicar a los usuarios incluso sin robo directo. Las liquidaciones son automáticas, pueden desencadenarse en cascada y pueden verse agravadas por la congestión o oráculos lentos, aumentando la exposición a deudas malas. Ese es el puente mecánico de un incidente de seguridad al riesgo de contagio más amplio en DeFi.

Para los lectores que regresan a la guía principal de qué es DeFi, la lección central es simple y incómoda. Depositar en DeFi significa suscribir todo el riesgo del protocolo, y en un hackeo, el resultado generalmente se decide por si los controles ralentizan el radio de explosión o permiten a los atacantes convertir la mala valoración y el acceso en retiros instantáneos.

Fuentes

• D'CENT Wallet (store.dcentwallet.com)
• OneKey (onekey.so)
• Expert Systems with Applications (ScienceDirect)
• BitHide (bithide.io)