Una lista de comprobación de seguridad para DeFi

La mayoría de las pérdidas en DeFi a nivel individual no vienen de fallos exóticos de los protocolos, sino de errores operativos: firmar una transacción maliciosa en un sitio falso, dejar abiertas aprobaciones antiguas de tokens o no darse cuenta de que una posición se acerca a la liquidación. La solución no es saber más, sino tener más rutina. Esta guía es esa rutina: qué comprobar antes de conectarte, antes de firmar, mientras una posición está abierta y en un calendario de mantenimiento periódico.

Antes de tocar un protocolo: la verificación previa

Diez minutos de comprobaciones antes de tu primer depósito filtran la mayoría de los desastres.

• Verifica que estás en el sitio real. Los clones de phishing de las interfaces web de DeFi son la forma más común de que los particulares pierdan fondos: los atacantes compran anuncios en buscadores, registran dominios parecidos y secuestran cuentas de Discord y de X de los proyectos para publicar enlaces falsos. Obtén la URL una sola vez de dos fuentes independientes (el dominio documentado por el proyecto y un rastreador como DefiLlama), y luego guárdala en marcadores y entra siempre y únicamente por el marcador. Nunca a través de los resultados de búsqueda, nunca a través de un enlace en un mensaje directo, un chat o una respuesta de «soporte».
• Comprueba la escala y la antigüedad. En un agregador, mira el TVL del protocolo y cuánto tiempo lleva operando. No ocurre nada mágico en ningún umbral, pero un contrato que ha custodiado cientos de millones durante dos años ha sobrevivido a una presión de ataque real; un fork de una semana, no. Dimensiona tu exposición según esa diferencia.
• Busca auditorías y un programa de recompensas por errores (bug bounty), y luego aplícales un descuento. Varias auditorías de firmas conocidas y un bug bounty activo son requisitos mínimos para los protocolos serios. Su ausencia es descalificante; su presencia no es una prueba de seguridad.
• Identifica las claves de administración. Repasa la documentación para ver quién puede actualizar los contratos y si las actualizaciones pasan por un timelock. Un protocolo cuya multifirma del equipo puede cambiar las reglas al instante exige más confianza que uno con una demora de 48 horas y un proceso de gobernanza público.
• Entiende el rendimiento antes de perseguirlo. Si no puedes explicar en una frase quién paga el rendimiento y por qué, no has terminado la verificación. Un APY desproporcionado es una señal de riesgo, no una ganga.

Antes de cada firma: aprobaciones e higiene de las transacciones

Todo en DeFi ocurre a través de transacciones que firmas, lo que convierte el momento de la firma en tu última línea de defensa.

• Lee lo que muestra realmente la billetera. Las billeteras modernas simulan las transacciones y muestran lo que saldrá de tu billetera y lo que llegará. Ve más despacio y léelo. Un swap debería mostrar tokens que salen y tokens que entran; si una interacción de «reclamar recompensa» muestra que salen tus NFT o tus tokens, detente.
• Trata las aprobaciones de tokens como un riesgo permanente. Antes de que un contrato pueda mover tus tokens, le concedes una aprobación. Históricamente, las interfaces han pedido aprobaciones ilimitadas por comodidad, lo que significa que ese contrato (o quien lo explote más adelante) puede mover todo tu saldo de ese token, para siempre, hasta que la revoques. Prefiere las billeteras e interfaces que te permiten fijar un importe de aprobación exacto, y úsalo en todo lo que vaya más allá de las interacciones rutinarias con los grandes protocolos.
• Cuidado también con las firmas off-chain. No toda firma peligrosa es una transacción. Las aprobaciones basadas en firma y las firmas de órdenes (el mecanismo detrás de muchos kits que vacían billeteras, los llamados wallet drainers) no cuestan gas y pueden autorizar transferencias más tarde. Un sitio que te pide firmar algo que no entiendes —sobre todo datos hexadecimales largos o estructurados con la dirección de otra persona como gastador u operador— es un momento para parar e investigar.
• Envía una transacción de prueba en los recorridos nuevos. La primera vez que pasas fondos por un puente a algún sitio, la primera retirada a una dirección nueva, la primera interacción con un protocolo nuevo: envía una cantidad pequeña, confirma que llega y que se comporta como debe, y luego envía el resto. La comisión adicional es el seguro más barato de las criptomonedas.
• Separa tus billeteras. Mantén una billetera caliente con fondos limitados para el uso activo de DeFi y para experimentar, y una billetera fría aparte —idealmente respaldada por hardware— que guarde los activos a largo plazo y nunca se conecte a dApps al azar. Que vacíen una billetera caliente debería ser una molestia, no una catástrofe. (La propia configuración de la billetera se trata en profundidad en la ruta de seguridad.)

Mientras las posiciones están abiertas: seguimiento

Las posiciones DeFi no son cuentas de ahorro; cambian de estado mientras duermes.

• Conoce tus cuentas de liquidación. Si has pedido prestado, anota tu precio de liquidación y tu factor de salud, y activa la alerta antes de necesitarla. Los rastreadores de cartera (DeBank, Zapper y los paneles propios de cada protocolo) muestran los factores de salud; varios servicios pueden enviar alertas cuando un factor de salud baja de un umbral que elijas. Importa tener un colchón realista: una posición que se liquida con una caída del precio del 25 % no es conservadora en un mercado que con regularidad hace eso en un día.
• Vigila las paridades de las que dependes. Si tu posición mantiene, pide prestado o aporta liquidez con una stablecoin, un token de staking líquido o un activo envuelto, un depeg cambia tu riesgo al instante. Echar un vistazo rápido a la paridad forma parte de revisar la posición.
• Sigue el canal de anuncios del protocolo. Los exploits, las pausas, los avisos de migración y las propuestas de gobernanza que afectan a tu posición aparecen allí primero. Para cualquier protocolo que custodie una parte significativa de tus fondos, esto es supervisión, no fanatismo. Los timelocks de gobernanza solo protegen a los usuarios que están mirando.
• Revisa cada mes el rendimiento real. Las emisiones se reducen, los incentivos terminan, la composición de los pools cambia. La posición en la que entraste con un APY del 12 % puede pagar ahora un 3 % con el mismo riesgo; llegados a ese punto, la operación que hiciste ya no existe y merece una decisión nueva.

La rutina de mantenimiento periódico

Pon un recordatorio periódico de verdad en tu calendario; la memoria no es un sistema.

Cada mes (15-30 minutos):

1. Revisa y revoca aprobaciones. Usa una herramienta de gestión de aprobaciones de confianza —Revoke.cash es el estándar más utilizado, y Etherscan ofrece un verificador de aprobaciones de tokens— para listar todos los contratos que siguen autorizados a mover tus tokens, en cada cadena que uses. Revoca todo lo que no estés usando de forma activa, las aprobaciones ilimitadas a protocolos que probaste una vez y todo lo concedido a contratos que no reconoces. Cada revocación cuesta una pequeña comisión de gas; en las L2 son centavos.
2. Haz inventario de posiciones. Enumera todos los protocolos que tienen ahora tus fondos, en cada cadena. Las posiciones que olvidaste son riesgo sin vigilar: las posiciones de LP huérfanas y los depósitos de polvo (dust) se acumulan con una rapidez sorprendente.
3. Comprueba la salud de las posiciones. Factores de salud, estado de las paridades y rendimiento real actual frente a aquello a lo que te apuntaste.

Cada trimestre:

• Poda. Sal de las posiciones demasiado pequeñas para vigilarlas con provecho, consolida el polvo y cierra las cuentas en los protocolos que has dejado de usar.
• Vuelve a verificar tus mayores exposiciones. ¿Se ha hundido el TVL del protocolo? ¿Se ha marchado el equipo? ¿Han cambiado las claves de administración? ¿Se han publicado hallazgos de auditoría? La verificación que hiciste al entrar se deteriora.
• Ensaya la recuperación. Confirma que las copias de seguridad de tu frase semilla están donde deben estar y que realmente puedes restablecer el acceso, antes de que una emergencia lo ponga a prueba por ti.

Cuando algo sale mal

Decide el plan de actuación antes de entrar en pánico.

• Si se explota un protocolo que usas: retira lo que se pueda retirar si el exploit sigue en curso, revoca de inmediato tus aprobaciones a los contratos afectados y apóyate en el canal oficial del protocolo —no en mensajes directos de Discord— para los pasos siguientes. Quien te escriba por mensaje directo ofreciéndote ayuda para recuperar fondos es un segundo estafador; ese patrón es casi universal.
• Si firmaste algo malicioso: traslada de inmediato los activos que queden en esa billetera a una limpia, empezando por los más valiosos y más líquidos. Después revoca las aprobaciones de la billetera comprometida. Da por hecho que esa billetera está quemada para siempre.
• Acepta los límites de la recuperación. Las transferencias on-chain son definitivas. Las acciones realistas tras un incidente son la contención y la denuncia: no existe ninguna línea de soporte que revierta transacciones, y cualquier servicio que afirme lo contrario es una estafa.