La crisis de hackeo de $7.7 mil millones en DeFi pone de manifiesto los riesgos sin asegurar

La búsqueda de rendimientos está superando a la protección en DeFi, dejando miles de millones vulnerables a ataques. Lo que comenzó como la promesa del “DeFi Summer” de 2020: un sistema financiero sin permisos, transparente y sin intermediarios, ahora canaliza decenas de miles de millones a través de protocolos descentralizados. Pero esa liquidez está sorprendentemente poco asegurada. Según DeFiLlama, los protocolos de préstamos sin seguro han perdido $7.7 mil millones por explotaciones desde el auge de DeFi, y solo en abril de 2026 se registraron más de $600 millones en pérdidas de seguridad, con incidentes de alto perfil como los ataques a Drift y Kelp DAO dominando el mes. ¿Por qué tan poca cobertura? El seguro DeFi es minúsculo en comparación con el sector que pretende proteger. DeFiLlama lista 28 protocolos de seguro, pero Nexus Mutual —el jugador más conocido— representa casi toda la capitalización total del sector, que asciende a aproximadamente $123.5 millones. Eso representa solo el 0.14% del mercado de DeFi, que ronda los $83 mil millones. Hugh Karp, fundador de Nexus Mutual, lo llama una barrera importante para la adopción masiva de DeFi: “Menos del 2% del TVL de DeFi está cubierto o asegurado”, dijo a CoinDesk. Parte del desafío es que los riesgos han evolucionado. Los primeros productos de seguro valoraban y cubrían errores en contratos inteligentes, que son relativamente fáciles de auditar. Pero los atacantes han explotado cada vez más debilidades fuera de cadena: claves privadas comprometidas, phishing y ingeniería social, que son más difíciles de cuantificar y valorar para los aseguradores. “Muchos de los mayores ataques han surgido fuera de cadena por fallas en la seguridad operativa”, dijo Karp. Estos modos de fallo son difíciles de estandarizar y suscribir, lo que eleva las primas y hace que la cobertura sea inasequible para muchos usuarios. Puentes, colateralización y los límites de la cobertura El ataque a Kelp DAO —que drenó cientos de millones manipulando un puente para acceder a activos que luego se reutilizaron como colateral en plataformas de préstamos como Aave— pone de manifiesto la brecha entre lo que normalmente cubre el seguro y cómo se desarrollan los ataques modernos. Karp señaló que “el fallo central del riesgo de puente no es algo que habría estado cubierto”. Incluso cuando las pólizas podrían aplicarse, la cobertura suele ser indirecta y condicional: las pérdidas solo califican si desencadenan consecuencias específicas aguas abajo, como malas deudas en mercados de préstamos causadas por oráculos congelados. ¿Por qué los usuarios omiten el seguro? Para muchos participantes en DeFi, las matemáticas son simples: los rendimientos importan más que la protección. Pagar primas del 2-3% puede arruinar estrategias de rendimiento con márgenes bajos, y la mayoría de los usuarios están impulsados por rendimientos. “La mayoría de los usuarios de DeFi están impulsados por rendimientos y no quieren renunciar a varios puntos porcentuales de retorno por cobertura”, dijo Dan She, socio principal de auditoría en CertiK. Debilidades estructurales en el modelo de seguro Más allá de las preferencias de los usuarios, los cimientos del seguro DeFi han sido inestables. Muchos protocolos de seguro se construyeron sobre la misma infraestructura componible que los atacantes explotaron —efectivamente apilando exposición contraparte sobre exposición contraparte. El rápido crecimiento inicial hizo que el TVL del seguro saltara de aproximadamente $3 millones a principios de 2020 a $1.89 mil millones en noviembre de 2021, con actores como Nexus Mutual, Cover Protocol, InsurAce, Tidal Finance y Bridge Mutual liderando el avance. Pero varios colapsaron o se estancaron: Cover Protocol fue hackeado y fracasó, y Armor.fi, Bridge Mutual y Tidal se estancaron o desaparecieron entre 2021 y 2024 debido a tokenómicas insostenibles, problemas de gobernanza y conflictos de interés. El capital que respalda los fondos de seguro también ha sido una debilidad. “Cuando ocurren explotaciones, el capital que respaldaba la cobertura a menudo estaba expuesto a los mismos riesgos que los protocolos que cubrían, por lo que se evaporó precisamente cuando más se necesitaba”, dijo Matthew Pinnock, COO de Altura. Gaspard Peduzzi, fundador de Spectra Finance, añade que asegurar DeFi con otros protocolos nativos de DeFi simplemente apilaba más riesgo contraparte sobre el riesgo existente. ¿Quién paga cuando las cosas salen mal? Debido a que la cobertura es escasa y los fondos pueden agotarse, las pérdidas terminan cayendo en algún lugar. Karp describe la secuencia típica tras un ataque: los módulos de seguridad del protocolo absorben las pérdidas iniciales, luego se recurre al tesoro, y si estos son insuficientes, los depositantes comunes enfrentan recortes. “En la práctica, cuando no hay cobertura, el costo recae desproporcionadamente sobre los participantes menos sofisticados”, dijo. ¿Se está adaptando la industria? Hay señales tempranas de cambio. Algunos equipos están experimentando con integrar directamente el seguro dentro de los productos DeFi en lugar de vender pólizas independientes. Otros abogan por coberturas más específicas que aborden riesgos bien entendidos. Algunos expertos incluso sugieren integrar proveedores tradicionales (fuera de cadena) de seguros en el espacio para aportar experiencia en suscripción y capital que no sea nativo de DeFi. Pero el cambio es incremental. El mercado de seguros DeFi sigue siendo pequeño no porque falte demanda, sino porque la superficie de riesgo es compleja y en evolución. El desglose de DeFiLlama por tipo de ataque subraya esto: las compromisiones de claves privadas representan la mayor parte del valor robado, seguidas por ataques de phishing dirigidos a billeteras multisignatura. La conclusión A medida que continúan los ataques y aumentan las pérdidas, el mercado enfrenta una elección clara: aceptar el intercambio actual entre rendimientos altos y baja protección, o desarrollar soluciones de seguro más robustas, posiblemente híbridas, que puedan cubrir realísticamente cómo se atacan los protocolos DeFi modernos. Si esto no ocurre pronto, las brechas en el seguro podrían convertirse en una carga estructural para el crecimiento del sector —y dejar a los usuarios cotidianos cargando con la factura.