Manuel Aráoz, fundador de la plataforma de seguridad blockchain OpenZeppelin, declaró que la totalidad del ecosistema de finanzas descentralizadas enfrenta vulnerabilidades estructurales debido a la capacidad de los agentes de codificación basados en inteligencia artificial para identificar y explotar debilidades en los contratos inteligentes. La postura sobre seguridad en DeFi fue compartida directamente por el desarrollador a través de su cuenta oficial.
PSA: I now consider *all* of DeFi unsafe.
Coding agents are superhuman at finding vulnerabilities, and smart contract security is too asymmetric: defenders need to fix every bug while attackers need just one exploit to steal funds.
— Manuel Aráoz (@maraoz) May 26, 2026
Esta vulnerabilidad estructural se evidencia en el impacto acumulado a lo largo de los años. Las métricas de mercado confirman que los fallos en los protocolos han permitido un drenaje sistemático de liquidez, marcando un historial de vulnerabilidades del mercado que supera la marca de los 17.000 millones de dólares en pérdidas confirmadas durante la última década. Las pérdidas confirmadas superiores a 17.000 millones representan un punto de inflexión operativo.
La evolución técnica de los actores maliciosos presiona directamente la infraestructura de una industria que maneja capital a escala global. El uso de modelos automatizados para escanear código expone a toda la liquidez depositada, elevando las amenazas al sector de criptomonedas que actualmente administra un valor superior a los 130.000 millones de dólares. El ecosistema requiere una adaptación técnica inmediata frente a estas herramientas.
Yu Xian, fundador de la firma de auditoría SlowMist, respondió a las advertencias de Aráoz documentando una doble amenaza. El riesgo combina la actuación de hackers de sombrero negro equipados con herramientas automatizadas de lenguaje y operaciones de grupos altamente organizados especializados en el compromiso de claves de administrador mediante ingeniería social avanzada. La exigencia sobre los desarrolladores requiere implementar revisiones de código en tiempo real.
Frente a la materialización de brechas de seguridad, los protocolos afectados estructuran marcos de mitigación de daños. Las medidas incluyen la emisión de tokens de compensación, la reestructuración de la tesorería y la publicación de un plan técnico para recuperar activos sustraídos, los cuales se ejecutan bajo cronogramas estrictos para devolver la liquidez a los proveedores de los contratos explotados.
Meir Dolev, cofundador y director de tecnología de Cyvers, indicó que, si bien la tendencia del uso de herramientas avanzadas en asaltos es clara, aún existe evidencia forense limitada sobre la ejecución completamente autónoma de exploits complejos por parte de la IA. Las métricas de seguridad documentadas por entidades de análisis reflejan el volumen de fondos robados anuales, pero la ejecución final todavía requiere intervención de operadores humanos en etapas clave del drenaje.
Dolev subrayó que la exposición técnica en las plataformas descentralizadas es mayor debido a la transparencia del código fuente y la componibilidad de los contratos. Los atacantes solo necesitan encontrar un vector válido, ya que los fondos se mueven instantáneamente sin intermediarios capaces de revertir la liquidación on-chain. Los puntos más vulnerables identificados abarcan la lógica del contrato, los flujos de firma de transacciones y los procesos de despliegue.
Las estrategias de mitigación propuestas por Cyvers exigen abandonar la dependencia de las auditorías periódicas previas al lanzamiento. La defensa de la tesorería requiere implementar controles de ejecución permanentes. Los protocolos deben habilitar herramientas de simulación de transacciones antes de firmar, sistemas de calificación de riesgo dinámico y ejercicios continuos de equipo rojo para identificar vectores de ataque antes que las redes de bots maliciosos.
La arquitectura interconectada de las finanzas descentralizadas significa que una vulnerabilidad en un contrato base afecta a todos los protocolos construidos sobre él. Cuando un atacante identifica una falla en un protocolo de mercado monetario de capa uno, los agregadores de rendimiento y los proveedores de liquidez automatizados integrados sufren drenajes en cascada. La exposición de contratos dependientes amplifica el capital sustraído en cada evento de seguridad detectado.
La adaptación técnica de los desarrolladores incluye la integración de herramientas de análisis estático impulsadas por aprendizaje automático en los entornos locales de desarrollo. Estas plataformas permiten a los equipos evaluar miles de simulaciones con entradas de datos manipuladas y secuencias de transacciones inusuales. El objetivo es identificar bloqueos lógicos y vulnerabilidades de reentrada antes de la publicación del código en la red principal.
El debate sobre la resiliencia estructural continuará marcando las pautas de desarrollo durante los próximos meses de 2026. Las firmas de análisis de seguridad, incluyendo a Cyvers y SlowMist, publicarán el 15 de julio de 2026 el informe forense completo detallando los vectores de ataque precisos explotados durante abril.
Este artículo tiene fines informativos y no constituye asesoramiento financiero.
