Gobernanza DeFi bajo la lupa: una wallet pidió el 98% del USDC de Ampleforth

Una vulnerabilidad en la gobernanza DeFi quedó al descubierto luego de que una sola wallet lograra presentar una propuesta para retirar cerca del 98% del saldo en USDC de la tesorería de Ampleforth, el protocolo detrás del token elástico AMPL. La operación no llegó a ejecutarse: terminó con cero votos a favor y sin ninguna transferencia de fondos, pero expuso lo frágil que puede ser el diseño de decisiones on-chain cuando el poder de voto se concentra.

El movimiento partió de una dirección que recibió 87.238,5461 FORTH de poder de voto delegado, según la transacción de delegación registrada en la red. FORTH es el token de gobernanza del protocolo, es decir, el que otorga derecho a proponer y votar cambios sobre los fondos y parámetros del sistema.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Cómo funcionó el fallo en la gobernanza DeFi de Ampleforth

Con ese poder delegado, la wallet superó el umbral mínimo exigido para crear una propuesta y envió la Proposal 54 a través del portal de gobernanza. El texto de la propuesta pedía transferir prácticamente todo el USDC disponible en la tesorería a una dirección externa, lo que en la práctica habría vaciado las reservas en stablecoin del proyecto.

El detalle relevante es que el sistema de gobernanza permitió que un solo actor, sin tenencia propia significativa, alcanzara el requisito para proponer simplemente acumulando delegaciones. El contrato de tipo Governor Bravo que utiliza Ampleforth fija un umbral de propuesta; una vez cruzado, cualquier dirección puede someter a votación una acción sobre los activos del tesoro, por agresiva que sea.

Tras enviar la propuesta, la misma wallet transfirió los 87.238,5461 FORTH fuera de la dirección y luego ejecutó la función cancel(54), cancelando su propia propuesta. El episodio se cerró sin que el USDC saliera de la tesorería.

Un aviso sobre la concentración de poder de voto

Aunque no hubo pérdida de fondos, el caso funciona como una prueba de concepto incómoda para cualquier protocolo que gestione un tesoro mediante votaciones on-chain. La capacidad de reunir poder de voto delegado y disparar una propuesta que compromete casi la totalidad de las reservas muestra que el umbral de propuesta, por sí solo, no es una barrera suficiente frente a un actor decidido.

En la mecánica de estos sistemas, entre la creación de la propuesta y su eventual ejecución existen fases de votación y, en muchos casos, un periodo de espera con timelock. Esas etapas dan margen a la comunidad para reaccionar, votar en contra o cancelar acciones sospechosas. En este episodio, la ausencia total de votos y la posterior cancelación evitaron cualquier daño, pero también dejaron en evidencia que el freno dependió de que nadie apoyara la maniobra, no de un impedimento técnico previo.

La preocupación de fondo es conocida en el sector: la concentración de tokens de gobernanza en pocas manos puede convertir un mecanismo pensado para la descentralización en un vector de ataque. Cuando el poder de decisión sobre millones en activos puede delegarse y agruparse con rapidez, la línea entre participación legítima y captura del protocolo se vuelve delgada.

Qué pueden revisar los protocolos

El incidente reabre el debate sobre las salvaguardas que los proyectos DeFi deberían reforzar para proteger sus tesorerías:

• Umbrales de propuesta más altos o proporcionales al tamaño de la acción solicitada.
• Límites al porcentaje de la tesorería que una sola propuesta puede mover.
• Periodos de timelock y quórum mínimo que dificulten decisiones exprés sobre los fondos.
• Sistemas de monitoreo y alertas que detecten delegaciones masivas y propuestas anómalas en tiempo real.

La documentación oficial del proyecto describe cómo funciona su gobernanza basada en FORTH, incluyendo el rol de las delegaciones y los umbrales. Firmas de seguridad on-chain como GoPlus Security también han comenzado a señalar públicamente este tipo de patrones, que hasta ahora solían pasar inadvertidos hasta después de una explotación.

Casos recientes de brechas de datos y ataques dirigidos, como la filtración que obligó a Swiss Bitcoin Pay a apagar sus servidores, refuerzan la idea de que la seguridad en cripto ya no se limita al código de los contratos, sino que abarca también el diseño de los procesos de decisión. Para Ampleforth, el saldo fue un susto sin consecuencias económicas; para el resto del ecosistema DeFi, un recordatorio de que un tesoro robusto no vale mucho si el mecanismo que lo custodia puede activarse con la delegación adecuada.