DeFi pierde 885 millones de dólares en ataques fuera del alcance de sus auditorías

Un nuevo estudio revela que los protocolos DeFi perdieron cerca de 885 millones de dólares por ataques que ocurrieron completamente fuera del alcance de sus auditorías de seguridad. El hallazgo, contenido en un preprint asociado a la firma de investigación ack3, expone una brecha estructural: buena parte del código y la infraestructura que los usuarios asumen como «auditados» nunca fue revisado por los auditores.

El trabajo analiza 135 incidentes reportados durante la primera mitad de 2026 y concluye que, tras excluir dos casos atípicos de gran magnitud, el 72,1% de las pérdidas provino de vectores que quedaban por fuera de lo que las auditorías examinaron. En otras palabras, los ataques no explotaron fallos que los revisores hubieran pasado por alto dentro de su encargo, sino componentes que directamente nunca estuvieron sobre la mesa.

Publicidad

Estabilidad respaldada en Bitcoin

Descubre Dollar on Chain →

Por qué DeFi pierde tanto pese a estar auditado

La conclusión incómoda es que el sello de «auditado» transmite una seguridad mayor a la real. Una auditoría cubre un conjunto acotado de contratos inteligentes en una versión concreta del código. Todo lo demás —integraciones con otros protocolos, puentes entre cadenas, módulos añadidos después de la revisión, la infraestructura fuera de la cadena o los mecanismos de gobernanza— suele quedar fuera del perímetro contratado.

Los datos del preprint que documenta los 135 incidentes apuntan a que ese perímetro es justamente donde se concentra el dinero perdido. El conjunto de datos de ack3 se publicó además en formato legible por máquina, lo que permite verificar caso por caso qué tipo de fallo golpeó a cada protocolo.

El matiz de los «dos valores atípicos» es relevante. Sin excluirlos, la foto se distorsiona porque un par de ataques de tamaño desproporcionado pueden inflar o alterar los porcentajes generales. Al retirarlos, el 72,1% ofrece una imagen más representativa del riesgo cotidiano que enfrentan los protocolos de tamaño medio.

Los casos de agosto que ilustran el problema

Varios incidentes recientes aportan contexto operativo a esa estadística. La ICON Foundation publicó el 30 de agosto un análisis post mortem de un exploit de repetición en su red, un tipo de ataque que aprovecha la reejecución de transacciones legítimas y que rara vez cae dentro del alcance de una auditoría de contratos estándar.

En paralelo, la red aelf anunció una pausa de la red el 18 de agosto tras un incidente de seguridad, con una actualización de progreso el 26 de agosto sobre la respuesta. Detener una cadena entera es una medida excepcional que refleja la gravedad de fallos que escapan al código auditado y afectan a la operación del protocolo en su conjunto.

El caso de SODAX resulta ilustrativo del límite de las auditorías: su archivo público de auditorías incluye una revisión de su capa de relay de noviembre de 2025, pero la existencia de un informe no garantiza que cada componente crítico —los puentes y relays entre cadenas suelen ser el eslabón débil— haya sido cubierto con la misma profundidad.

Qué implica para inversores y usuarios

El estudio no sostiene que las auditorías sean inútiles, sino que su promesa está mal calibrada. Confiar en un protocolo únicamente porque exhibe el sello de una firma reconocida ignora una pregunta esencial: qué se auditó exactamente y qué quedó fuera. El alcance de cada revisión suele figurar en el propio informe, pero pocos usuarios lo leen.

Los puentes entre cadenas siguen siendo el punto más castigado del sector. La interconexión entre protocolos, que multiplica las oportunidades de rendimiento, multiplica también las superficies de ataque que ninguna auditoría individual abarca por completo. Cuando el dinero se mueve entre varias cadenas y contratos, la seguridad depende del eslabón más débil de toda la cadena, no del componente mejor revisado.

Para el ecosistema DeFi, el mensaje es que la seguridad no es un estado que se alcanza y se certifica una vez, sino un proceso continuo. Cada actualización de código, cada nueva integración y cada módulo de gobernanza reabre la superficie de riesgo. Mientras las auditorías sigan limitándose a fotografías estáticas de un código en un momento dado, la brecha entre lo auditado y lo realmente expuesto seguirá alimentando cifras como los 885 millones de dólares documentados en este informe.

El debate de fondo apunta a estándares más amplios: revisiones que incluyan la infraestructura fuera de la cadena, monitoreo permanente y transparencia sobre qué componentes quedan sin cubrir. Hasta que eso ocurra, el sello de «auditado» seguirá siendo una señal parcial, no una garantía.