¿Qué es lo que mejor se aprende esta semana?
La semana pasada dejó varios grandes titulares. Según su propia divulgación, BitMine llegó a controlar cerca del 4,9 % de la oferta de Ethereum tras comprar 53,5 mil ETH (fuente: Cointelegraph, 7). Los validadores de la red Solana, en la primera votación on-chain a nivel de toda la red, aprobaron acelerar la desinflación de SOL, es decir, duplicar el ritmo anual del 15 % al 30 % (fuente: Cointelegraph, 14).
Pero para el Aula elegimos el evento que muestra con mayor claridad un mecanismo concreto: el exploit del protocolo Tectonic en la red Cronos.
¿Por qué precisamente este caso? Porque tiene una cadena causal claramente legible y una variable que se movió primero. Eso es exactamente aquello con lo que se puede aprender a leer el riesgo on-chain.
¿Qué pasó?
Según Cointelegraph, un atacante despojó al protocolo de préstamos Tectonic de una cantidad estimada en torno a los 75 millones de dólares. La reacción fue extraordinaria: los validadores de la red Cronos pausaron toda la blockchain. Crypto.com, cuyo nombre se asocia a la red Cronos, señaló que tanto su aplicación como su exchange siguieron funcionando sin restricciones (fuente: Cointelegraph, 10).
Detener toda una cadena no es un paso habitual. Es el freno nuclear. Se usa cuando el riesgo de más daños es mayor que el coste de que la red deje de producir bloques durante un tiempo. El mero hecho de que los validadores recurrieran a ello es una señal de la magnitud.
¿Qué cifra se movió primero y qué significa?
Aquí está el núcleo de la lección. Primero no se movió el saldo del protocolo. Primero se movió el precio del token de garantía.
Un protocolo de préstamos (una aplicación en la que un usuario deposita un activo como garantía y contra él pide prestado otro activo) vive y muere en función de cómo calcula el valor de la garantía. Si la garantía es un token que se negocia poco y con escasa liquidez, su precio se puede empujar hacia arriba de forma relativamente barata. El escenario descrito encaja precisamente con este tipo de ataque: el precio de un token poco líquido fue empujado al alza, el atacante lo usó luego como garantía inflada y pidió prestados contra él activos reales que se llevó.
Una distinción importante: la mecánica exacta del ataque no la confirma la fuente primaria que podemos citar. Lo probado es que hubo un exploit, la pérdida se estima en torno a los 75 millones de dólares y la red fue pausada (fuente: Cointelegraph, 10). La mecánica exacta y la magnitud de la manipulación de precio las presentamos como una explicación probable, no como un hecho confirmado.
La cifra que se adelantó a todas las demás no fue, por tanto, "cuánto perdió el protocolo". Fue "cuánto se movió el precio del token que sirve de garantía". La pérdida fue solo la consecuencia.
¿Qué se lleva el lector para la próxima vez?
Esto no es la historia de un solo protocolo. Es un patrón recurrente que aparece en DeFi desde hace años. Cuando la próxima vez veas un protocolo de préstamos o de margen, hay tres preguntas que dicen más sobre el riesgo que el marketing del proyecto:
- ¿Qué acepta el protocolo como garantía? Cuanto más amplia sea la lista de tokens aceptados y cuanto menos líquidos sean esos tokens, mayor es la superficie de ataque. Una garantía que se puede inflar de forma barata es una garantía en la que no se puede confiar.
- ¿De dónde saca el precio? El protocolo tiene que enterarse en algún sitio de cuánto vale la garantía. Si lee el precio de un lugar con pocas operaciones (por ejemplo de un único pool pequeño), basta con manipular ese pool. Los sistemas resistentes toman el precio de varias fuentes independientes con suficiente profundidad.
- ¿Cuál es la liquidez del token de garantía, no su capitalización de mercado? La capitalización de mercado puede parecer grande, pero lo decisivo es cuánto dinero basta para mover el precio. Eso es liquidez, no capitalización.
Dicho de otro modo: vigila la calidad de la garantía y la fuente del precio, no el tamaño del protocolo. Un protocolo grande con mala garantía es más vulnerable que uno pequeño con buena garantía.
¿Qué no sabemos todavía?
Separemos con honestidad lo probado de lo abierto:
- La causa raíz exacta del exploit de Tectonic no fue confirmada en la fuente primaria que citamos. La estimación de la mecánica (garantía inflada mediante manipulación de precio) es una explicación probable, no un hallazgo oficialmente confirmado.
- El importe exacto de la pérdida es una estimación (en torno a 75 millones de dólares), no una cifra cerrada.
- El calendario de recuperación de la red Cronos y una posible compensación a los afectados no estaban claros a partir de una fuente verificada en el momento de escribir.
Lo que sí se cumple sin reservas: la red fue pausada, la pérdida se mueve en decenas de millones de dólares y la infraestructura de Crypto.com, según la empresa, siguió funcionando (fuente: Cointelegraph, 10). El resto queda abierto y lo completaremos cuando aparezcan datos verificables.
Esto no es un consejo sobre qué hacer con ningún token. Es una guía de lectura de un tipo de riesgo. La próxima vez que veas un protocolo que acepta una garantía exótica, sabrás qué cifra vigilar primero.