Mapa de riesgos de DeFi: riesgo de contrato inteligente, de oráculo y económico

La mayoría de las personas que entran en DeFi se preocupan por un único riesgo —que baje el precio de sus tokens—, mientras que las pérdidas que realmente sorprenden vienen de otra parte: un error en un contrato, un oráculo manipulado, un activo en depeg o un diseño económico insostenible que se deshace. Esta guía es un mapa de esos modos de fallo. El objetivo no es asustarte para que te alejes de DeFi; es que puedas mirar cualquier posición y nombrar, de forma concreta, las maneras en que puede perder dinero más allá de «el número ha bajado».

Riesgo de contrato inteligente: falla el propio código

Toda posición DeFi es, en última instancia, un saldo dentro de un programa, y los programas tienen errores. A lo largo de la historia de DeFi se han perdido miles de millones de dólares por exploits de contratos: errores de reentrada (reentrancy), controles de acceso defectuosos, errores matemáticos y fallos de lógica que permitían a los atacantes acuñar, vaciar o bloquear fondos. El hackeo de The DAO de 2016 (un error de reentrada) es el ejemplo fundacional; desde entonces se han repetido variaciones de estas clases de errores.

Tres ideas que conviene interiorizar:

• Las auditorías reducen el riesgo; no lo eliminan. Una auditoría es una revisión humana con tiempo limitado. Muchos protocolos auditados han sido explotados, a veces por código añadido después de la auditoría y a veces por errores que los auditores pasaron por alto. Varias auditorías de firmas de prestigio, un programa de recompensas por errores (bug bounty) de larga duración y la verificación formal de los componentes centrales son mejores señales que un único sello de auditoría, y aun así no son garantías.
• El tiempo en producción es una prueba. Un contrato que ha custodiado miles de millones durante varios años y a lo largo de múltiples desplomes del mercado ha sobrevivido a intentos de ataque continuos y bien financiados. Un fork de ese contrato desplegado el mes pasado por un equipo anónimo no lo ha hecho, aunque el código parezca idéntico: los parámetros de despliegue, las claves de administración y las integraciones son todos distintos.
• La componibilidad multiplica la exposición. Los protocolos DeFi se apilan: un vault de rendimiento deposita en un mercado de préstamos que acepta un token de staking líquido como colateral. Tu posición soporta el riesgo de contrato de cada capa, y un fallo en cualquiera de ellas puede propagarse hacia arriba en cascada. Cuando tienes un token envuelto, en staking y capitalizado automáticamente, cuenta los contratos que hay entre tú y el activo subyacente.

Riesgo de oráculo: el contrato está bien, su información no

Los contratos inteligentes no pueden ver los precios por sí solos; dependen de oráculos, fuentes que informan de datos externos on-chain. Un protocolo de préstamos que decide si tu préstamo tiene colateral insuficiente, o un exchange de perpetuos que compensa una posición, actúa según el precio que entregue el oráculo. Si ese precio es erróneo, el protocolo ejecuta sin fallos sobre datos malos, y «ejecuta sin fallos» puede significar liquidarte injustamente o entregar tu colateral a un atacante.

El ataque clásico: un protocolo usa como fuente de precios un mercado con poca profundidad. El atacante usa un préstamo flash (flash loan) para empujar brevemente el precio de ese mercado a un nivel absurdo y luego pide prestado contra un colateral inflado o desencadena liquidaciones al precio falso, todo en una sola transacción. El exploit de Mango Markets en 2022 (unos 100 millones de dólares) siguió este patrón: manipular el precio en el que confía el protocolo y luego pedir prestado contra el valor fantasma.

Preguntas que sirven para mapear el riesgo de oráculo de una posición:

• ¿De dónde viene el precio? Las redes de oráculos descentralizadas que agregan muchas fuentes (Chainlink es la más utilizada) son mucho más difíciles de manipular que el precio al contado de un único pool de un DEX. Los precios medios ponderados por tiempo (TWAP) resisten los picos momentáneos, pero van por detrás de los desplomes reales.
• ¿Qué liquidez tiene el mercado de origen? Manipular el precio global de bitcoin es prácticamente imposible; manipular el precio de un token pequeño en un pool puede costar solo lo que cuesta la comisión del préstamo flash.
• ¿Qué pasa en el caos? En movimientos violentos, los oráculos pueden ir con retraso o divergir de los precios negociables, lo que provoca liquidaciones a precios que nunca viste en ningún exchange. Los activos de mercados poco profundos y los momentos volátiles concentran este riesgo.

Riesgo económico y de diseño: todo funciona como se programó y aun así pierdes

La categoría más interesante: ni error ni hackeo; simplemente fallan los incentivos del sistema.

Depegs. Cualquier activo que debe seguir a otro —stablecoins, tokens de staking líquido, activos envueltos— puede cotizar alejado de su objetivo. El colapso de Terra/UST en mayo de 2022 borró decenas de miles de millones de dólares, y su diseño algorítmico falló exactamente como predecían sus críticos: el mecanismo que mantenía la paridad en mercados tranquilos amplificó la espiral de la muerte en cuanto se rompió la confianza. Incluso los activos totalmente respaldados tambalean: USDC cotizó brevemente cerca de 0,87 dólares en marzo de 2023, cuando parte de sus reservas quedó atrapada en la quiebra de Silicon Valley Bank. Si tu posición mantiene o pide prestado un activo anclado a otro, un depeg cambia al instante las cuentas de tu colateral.

Cascadas de liquidaciones. En los mercados de préstamos, la caída de los precios desencadena liquidaciones, que venden colateral, lo que empuja los precios a la baja, lo que desencadena más liquidaciones. Las posiciones que parecían conservadoramente colateralizadas pueden quedar arrasadas en una hora de cascada. El colateral correlacionado (pedir prestada una stablecoin con dos activos que se desploman a la vez) lo empeora.

Rendimiento insostenible. Si una posición paga un APY del 60 %, alguien lo está pagando. Cuando el pagador son las emisiones de tokens y no unos ingresos reales, el rendimiento suele desplomarse junto con el precio del token emitido, a menudo después de que hayan llegado depósitos suficientes para diluir las ganancias iniciales. Los diseños reflexivos, en los que el token de rendimiento respalda el propio rendimiento, son la forma más pura de este fallo.

Dinámicas de corrida bancaria. Los pools de préstamos prometen retiradas inmediatas, pero prestan los depósitos. Cuando la utilización llega al 100 % —todos quieren salir a la vez—, las retiradas hacen cola hasta que los prestatarios devuelven el préstamo o son liquidados. Puedes ser solvente sobre el papel e ilíquido en la práctica.

Gobernanza y riesgo humano

Algunos riesgos provienen de personas con poder legítimo sobre el protocolo.

• Claves de administración y actualizaciones. Muchos protocolos conservan derechos de actualización en manos de una multifirma del equipo. Es una parte de confianza que puede —por malicia, coacción o una clave robada— cambiar las reglas bajo tus fondos. Los timelocks en las actualizaciones te dan una ventana de salida; su ausencia es una señal de alerta.
• Captura de la gobernanza. La votación con tokens puede ser atacada o comprada; una propuesta aprobada puede cambiar los factores de colateral, las comisiones o los flujos de la tesorería en contra de tu interés. (Esto merece un tratamiento aparte: consulta la guía de gobernanza de esta ruta.)
• Fraude directo. Los rug pulls —equipos que lanzan, atraen depósitos y vacían— siguen siendo habituales en la larga cola. Los equipos anónimos, los forks sin auditar y los rendimientos muy por encima del mercado son la firma recurrente.
• Acción regulatoria. Las sanciones, las medidas de ejecución o las retiradas de cotización pueden congelar las interfaces web, cortar las rampas de acceso al dinero fiat o hundir la liquidez de un token. Los contratos pueden seguir funcionando mientras tu acceso práctico se deteriora.

Usar el mapa: poner precio al riesgo de una posición

El sentido de una taxonomía es aplicarla como una lista de comprobación. Para cualquier posición, pregúntate:

1. Contrato: ¿cuántas capas de contratos custodian mis fondos? ¿Qué antigüedad tiene cada una, cómo de auditada está y qué tamaño tiene?
2. Oráculo: ¿qué fuentes de precios pueden liquidarme o valorar mal mi colateral, y hasta qué punto son manipulables?
3. Económico: ¿de qué paridades, liquidaciones o fuentes de rendimiento depende? ¿Quién paga el rendimiento y qué se rompe en un desplome?
4. Humano: ¿quién tiene las claves de administración? ¿Hay un timelock? ¿Quién controla la gobernanza?

Después, dimensiona en consecuencia. Una comparación realista: prestar USDC en un mercado monetario grande y con años de antigüedad puede implicar dos capas de contratos, oráculos robustos y un rendimiento modesto; llamémoslo el extremo de bajo riesgo. Hacer farming en un pool con un APY del 45 % en un fork de un mes de vida con un equipo anónimo acumula todas las categorías a la vez. Si la segunda posición paga cinco veces el rendimiento de la primera, pregúntate si lleva solo cinco veces el riesgo. Normalmente la respuesta es no, y la reacción sensata es diversificar entre protocolos, mantener acotado el tamaño de las posiciones y tratar un rendimiento desproporcionado como una señal de riesgo y no como una ganga.