¿Qué sucede con tus fondos si hackean un DEX? Explicación del riesgo on-chain

Contenido

1. Las tres superficies que los atacantes realmente atacan
2. La cuestión de la custodia es la variable más importante
3. Qué sucede realmente con tus fondos: cuatro escenarios
4. Seguros y recuperación: la realidad
5. Cómo reducir tu exposición personal
6. El alcance real del riesgo no custodial
7. Preguntas frecuentes

Más de 1.000 millones de USD salieron de DeFi en los primeros cuatro meses de 2026. KelpDAO perdió 292 millones de USD el 19 de abril cuando los atacantes explotaron una vulnerabilidad en el puente de LayerZero y drenaron rsETH. Drift Protocol perdió 285 millones de USD el 1 de abril después de que el Lazarus Group pasara seis meses realizando ingeniería social con empleados para obtener acceso a nivel de validador. A mediados de abril, el total acumulado ya superaba los 750 millones de USD.

La pregunta no es si DeFi será hackeado. Ocurre, repetidamente, y la escala sigue creciendo. La pregunta es si tus fondos están en riesgo cuando sucede, y la respuesta depende casi totalmente de dónde vivan tus fondos en el momento de la explotación.

Este artículo desglosa las tres superficies de ataque que importan, lo que significa cada una para tu capital y cómo la arquitectura de custodia determina tu exposición.

Las tres superficies que los atacantes realmente atacan

Errores en contratos inteligentes

El código que mantiene o enruta los fondos tiene un fallo lógico. Ejemplos clásicos: ataques de reentrancia, manipulación de préstamos flash, manipulación de precios de oráculos. En 2026, tanto Dango como Silo V2 sufrieron exploits de contratos inteligentes donde los atacantes encontraron errores de lógica en el propio código del protocolo.

Si tus fondos están dentro de un contrato explotado cuando es drenado (como margen abierto, liquidez o garantía), están directamente en riesgo. El código se ejecuta tal como fue escrito. No hay servicio al cliente que pueda revertirlo.

Exploits de puentes

Los puentes entre cadenas (cross-chain) son constantemente la superficie más peligrosa en DeFi. Cada puente es un contrato que mantiene activos en una cadena mientras emite representaciones en otra. Ese fondo de activos bloqueados es un objetivo público permanente.

La pérdida de KelpDAO en abril de 2026 es el ejemplo reciente más claro. Los atacantes explotaron una implementación de puente de LayerZero y drenaron 292 millones de USD en rsETH. Los fondos que estaban en el contrato del puente en el momento del exploit desaparecieron. Los fondos que ya se habían liquidado en cuentas on-chain no se vieron afectados, pero la ventana de exposición durante el puente es real.

Gobernanza e ingeniería social

Esto se subestima. La pérdida de 285 millones de USD de Drift Protocol en abril de 2026 no fue un exploit de código. Lazarus Group pasó aproximadamente seis meses construyendo relaciones con empleados, luego usó ese acceso para llegar a las claves de nivel de validador. El código del protocolo estaba bien. Las personas que lo operaban fueron comprometidas.

Travers Smith lo definió con precisión: ninguno de los ataques fue un hackeo en el sentido directo de una explotación de código informático; cada ataque explotó puntos de debilidad dentro de las estructuras de gobernanza. Si la gobernanza puede autorizar movimientos de fondos (y en la mayoría de los protocolos puede), entonces la gobernanza es una superficie de ataque. Compromete a las personas o claves que la controlan, y los fondos estarán en riesgo.

La cuestión de la custodia es la variable más importante

Antes de preguntar qué sucede si hackean un DEX, pregunta dónde viven realmente tus fondos. Tres arquitecturas te dan tres respuestas muy diferentes.

DEX custodial agrupado (estilo AMM)

Tus fondos se encuentran en grupos de liquidez compartidos junto con todos los demás depositantes. Un drenaje del grupo afecta a todos proporcionalmente. Si el grupo pierde el 60%, tú pierdes el 60%. No hay segregación entre tu capital y el de los demás. Este es el modelo de máxima exposición.

DEX CLOB no custodial (modelo Hyperliquid)

Los fondos viven en tu propia cuenta de margen on-chain, no en un grupo compartido. Esa es una diferencia estructural. Un exploit de contrato inteligente dirigido a la lógica central del protocolo aún puede afectar las posiciones abiertas y el margen (tu cuenta interactúa con código on-chain, y ese código puede tener fallos). Pero un compromiso del front-end no puede mover tus fondos sin tu firma de billetera. El riesgo de la capa de protocolo y el riesgo del front-end son problemas separados.

El libro de órdenes de límite central (CLOB) on-chain de Hyperliquid maneja la coincidencia, el margen, la financiación y la liquidación. Tu cuenta de margen es tuya on-chain. Un front-end que se enruta a Hyperliquid no retiene tus fondos, enruta tus órdenes firmadas.

Capa de terminal front-end (Stacked Markets)

Stacked Markets no mantiene saldos de usuario ni claves de firma. Si el terminal fuera comprometido, un atacante no encontraría fondos agrupados ni claves almacenadas. Nada se mueve sin tu firma de billetera. La superficie de riesgo para un exploit de front-end es estructuralmente diferente de un exploit de protocolo, porque no hay nada que drenar en la capa del terminal.

Esto no es una afirmación de marketing. Es verificable on-chain. La arquitectura es la prueba.

Qué sucede realmente con tus fondos: cuatro escenarios

Escenario A: Exploit de contrato inteligente a nivel de protocolo

Las posiciones abiertas y el margen están en riesgo. Los contratos inteligentes del protocolo gobiernan cómo se mantiene y libera el margen, por lo que un exploit crítico en ese código puede afectar tu cuenta directamente. La gravedad depende de la naturaleza del exploit y de si el protocolo tiene un mecanismo de seguro.

Hyperliquid mantiene una bóveda HLP que funciona como un fondo de seguro para pérdidas socializadas. Cuando la bóveda tiene suficiente capital, puede absorber parcialmente las pérdidas de eventos a nivel de protocolo. Pero la bóveda tiene límites; no es una garantía de recuperación total. Comprende el tamaño y los términos de cualquier fondo de seguro antes de depositar capital significativo en un protocolo.

Escenario B: Exploit de puente durante depósito o retiro

Los fondos en tránsito a través de un contrato de puente están en riesgo durante la ventana de puente. Los fondos que ya se han liquidado en tu cuenta de margen on-chain no se ven afectados por un exploit posterior del puente; ya están del otro lado.

La implicación práctica: minimiza el tiempo que tus fondos pasan dentro de los contratos de puente. Inicia el puente, complétalo, confirma la liquidación. No inicies una transacción de puente y la dejes pendiente durante horas. El exploit de KelpDAO afectó a los fondos que estaban en el contrato del puente en el momento del ataque.

Stacked Markets incluye flujos de depósito y retiro en el producto que conectan Arbitrum USDC en el margen de Hyperliquid sin necesidad de que salgas del terminal. Eso no elimina el riesgo del puente (ningún front-end puede), pero mantiene el flujo de trabajo contenido y los pasos visibles.

Escenario C: Terminal front-end comprometido

Si el terminal no tiene claves ni fondos, un compromiso del front-end no puede mover tu capital. Un atacante que obtiene acceso a un terminal de saldo cero no encuentra nada que drenar. Podrían intentar presentar una solicitud de firma maliciosa, que es exactamente la razón por la que lees cada confirmación de billetera antes de aprobarla.

Aquí es donde importa la arquitectura de billetera de agente. La billetera de agente opcional de Stacked Markets utiliza una clave de firma local basada en el navegador. Esa clave nunca llega a los servidores de Stacked Markets. Incluso si el terminal fuera comprometido a nivel de servidor, la clave de firma es local para tu navegador, no almacenada remotamente.

El riesgo residual en un compromiso de front-end es que se presente una transacción maliciosa para tu aprobación. Evitas eso leyendo lo que firmas. Las solicitudes de firma en lenguaje sencillo existen precisamente por esta razón.

Escenario D: Manipulación de oráculos

Esto es distinto de un hackeo, pero el resultado para tus posiciones puede parecer similar. Si un atacante manipula la fuente de precios utilizada por el protocolo, las posiciones pueden liquidarse a precios artificiales. El incidente JELLY de Hyperliquid es el ejemplo reciente más discutido de cómo la manipulación adyacente a los oráculos puede afectar las posiciones abiertas en un protocolo por lo demás sólido.

Punto clave. El riesgo de oráculo es un riesgo de capa de protocolo, no un riesgo de custodia. Que tus fondos sean no custodial no te protege de un precio de liquidación manipulado.

Seguros y recuperación: la realidad

Un informe de CoinDesk de mayo de 2026 lo expresó claramente: menos del 2% del valor total bloqueado en DeFi está asegurado. Esa cifra ha estado cayendo, no subiendo, a medida que los atacantes pasaron de errores de contratos inteligentes (que al menos son teóricamente asegurables) a vectores fuera de la cadena como compromisos de claves privadas y phishing, que son mucho más difíciles de valorar y suscribir.

La mayoría de los fondos robados en 2026 permanecen sin recuperar. No hay equivalente a la FDIC en DeFi. No hay esquema de protección de depósitos, ni respaldo de banco central, ni regulador con mandato de recuperación. Cuando los fondos desaparecen de un protocolo DeFi, generalmente se pierden.

La bóveda HLP de Hyperliquid proporciona una mitigación parcial para las pérdidas a nivel de protocolo. Mantiene una reserva que puede absorber pérdidas socializadas cuando el fondo de seguro es insuficiente para cubrir las brechas de liquidación. Ese es un mecanismo real con capital real detrás, pero no es ilimitado y no cubre todos los escenarios de pérdida. Verifica el saldo actual de la bóveda y comprende su alcance antes de tratarlo como una red de seguridad.

El punto más amplio. No asumas que serás compensado después de un exploit DeFi. Planifica el tamaño de tu posición y tu exposición al protocolo en consecuencia.

Cómo reducir tu exposición personal

Ninguno de estos pasos elimina el riesgo. Lo delimitan.

• Comprende el modelo de custodia antes de depositar. AMM agrupado, CLOB segregado y front-end de saldo cero son tres perfiles de riesgo diferentes. Conoce cuál estás usando.
• Minimiza el tiempo en contratos de puente. Inicia el puente, complétalo, confirma la liquidación. No dejes fondos en tránsito más tiempo del necesario.
• Usa un front-end que no tenga claves ni fondos. La arquitectura de saldo cero significa que un compromiso del front-end no puede drenar tu capital sin tu firma de billetera.
• Lee cada solicitud de firma. Las confirmaciones de transacciones en lenguaje sencillo existen para que puedas verificar lo que estás aprobando. Úsalas.
• Verifica el historial de auditoría y la cobertura de seguro antes de depositar grandes sumas. Un protocolo con múltiples auditorías independientes y un mecanismo de seguro financiado es significativamente diferente de uno que no lo tiene.
• Usa el modo testnet antes de comprometer capital de mainnet en un nuevo terminal. Stacked Markets tiene un modo testnet con insignias de red claras. Puedes ejecutar el flujo de trabajo completo (depósitos, órdenes, retiros) sin riesgo de mainnet.
• Nunca dejes fondos en un protocolo que no puedas verificar on-chain. Si no puedes verificar tu saldo y posición en un explorador de bloques, no sabes lo que tienes.

El alcance real del riesgo no custodial

No custodial no significa riesgo cero. Significa que tu riesgo está delimitado.

En un DEX CLOB no custodial bien arquitectado con un front-end de saldo cero, la superficie de ataque sobre tus fondos es más estrecha que en un AMM agrupado. Un exploit de front-end no puede drenarte. Un exploit de puente solo afecta a los fondos en tránsito. Los ataques de gobernanza a nivel de protocolo siguen siendo un riesgo, pero requieren comprometer el protocolo en sí, no solo a un operador de front-end.

El riesgo de contrato inteligente a nivel de protocolo aún existe. Tu cuenta de margen interactúa con código on-chain, y ese código puede tener fallos. El código de Hyperliquid ha sido auditado, pero ninguna auditoría es una garantía. La bóveda HLP proporciona un amortiguador, no un respaldo.

Lo que hace la arquitectura no custodial es eliminar las capas de riesgo que no necesitan existir. Sin garantía agrupada significa sin pérdida compartida por un drenaje de grupo. Sin claves del lado del servidor significa que un compromiso del front-end no encuentra nada. Sin base de datos KYC significa sin brecha de datos personales. Los riesgos que quedan son inherentes al comercio on-chain en sí, y esos son los que puedes medir, monitorear y dimensionar tus posiciones alrededor.

Conoce lo que tienes. Conoce dónde vive. Conoce qué puede moverlo.

---

Prueba Stacked Markets en testnet: ejecuta el flujo de trabajo completo del terminal antes de arriesgar capital de mainnet.

stackedmarkets.com

Preguntas frecuentes