Tres eventos en las últimas 48 horas: un puente entre cadenas explotado mediante reutilización de codificación de mensajes, una interfaz DeFi que anuncia su cierre permanente tras una explotación en una bóveda que la obligó a dejar de operar, y dos votaciones de gobernanza de Uniswap activas ahora que extenderían el mecanismo de quema de tarifas del protocolo a nuevas cadenas y versiones. Wanchain / Midnight: Del 20 al 21 de julio de 2026, el monitor Phalcon de BlockSec identificó una explotación contra el puente de Wanchain de Cardano a BNB Chain, drenando aproximadamente 515,2 millones de tokens NIGHT de la tesorería del puente, valorados en aproximadamente $10 millones a los precios vigentes. El ataque se completó en cuatro transacciones dentro de una ventana de ocho minutos. BlockSec identificó la causa raíz como una falla en la codificación de mensajes firmados no inyectiva en el validador TreasuryCheck del puente: el contrato Plutus V2 hashiza 14 campos de rescate de longitud variable mediante concatenación cruda sin delimitadores, lo que permite que diferentes combinaciones de campos produzcan la misma cadena de bytes y reutilicen la misma firma. El atacante reprodujo una transacción legítima de BSC que autorizaba aproximadamente 3.110 NIGHT para extraer aproximadamente 203 millones de NIGHT en un solo rescate en el lado de Cardano, una inflación de aproximadamente 65.000 veces mediante ambigüedad en los límites de campo. Los tokens robados se canalizaron a monederos de Cardano antes de que aproximadamente el 90% se liquidara mediante intercambios en DEX de Cardano. Wanchain desconectó el puente. La Fundación Midnight confirmó que la blockchain de Midnight y su protocolo principal no fueron comprometidos. NIGHT es el token de gobernanza de Midnight y la fuente del DUST, el recurso de red para transacciones y ejecución de contratos inteligentes. Midnight lanzó su mainnet en marzo de 2026, y NIGHT sigue siendo transferible públicamente, lo que convierte a los tokens mantenidos bajo custodia del puente en una superficie de ataque activa independiente de la postura de seguridad propia de Midnight. SummerFi: El 20 de julio de 2026, https://t.co/SVnV4cvqcc y su empresa de desarrollo https://t.co/SVnV4cvqcc Labs anunciaron formalmente el cierre de la plataforma tras siete años, citando como causa directa una explotación del 6 de julio en el Lazy Summer Protocol. La explotación manipuló dos bóvedas de USDC en el mainnet de Ethereum en una sola transacción atómica, extrayendo aproximadamente $6,04 millones al inflar los activos reportados e iniciando un retiro excesivo contra un préstamo flash de $65,4 millones. El ataque afectó simultáneamente los depósitos de los usuarios, el capital propiedad del protocolo y las reservas del equipo, eliminando la capacidad operativa necesaria para reconstruir. La interfaz https://t.co/SVnV4cvqcc y los canales de soporte al cliente permanecen activos hasta el 31 de agosto de 2026. Después de esa fecha, la responsabilidad por retiros, corrección y operación continua del protocolo se transfiere completamente al DAO Lazy Summer. No se ha establecido una fecha de cierre para el protocolo subyacente porque opera bajo gobernanza descentralizada independiente. Las bóvedas Lazy Summer redirigen los depósitos a través de estrategias de préstamo que incluyen Aave y Morpho; el vector específico de ataque fue una falla de valoración en uno de esos adaptadores de estrategia que mantenía cifras obsoletas del NAV. CertiK atribuyó la explotación a un ataque con préstamo flash, mientras que SummerFi la caracterizó como manipulación del NAV, y no se ha publicado ninguna reconciliación independiente entre ambas versiones. El TVL previo a la explotación estaba entre $22 millones y $25 millones. Uniswap: Dos propuestas de gobernanza en cadena se abrieron el 19 de julio de 2026, con votación abierta hasta el 26 de julio. La Propuesta 100 activaría tarifas del protocolo en pools seleccionados de Uniswap v4 en siete cadenas: Ethereum, Arbitrum, Base, BNB Chain, Polygon, Optimism y Robinhood Chain. Las categorías objetivo son pools con tarifas estáticas sin hooks, pools de subasta continua y pools con hook agregador. La Propuesta 99 extendería las tarifas del protocolo v2 y v3 a Robinhood Chain, donde las tres versiones de Uniswap se desplegaron el 1 de julio de 2026. Ambas propuestas dirigen las tarifas recolectadas al sistema TokenJar y Firepit establecido bajo la votación UNIfication de diciembre de 2025, donde las tarifas se acumulan y solo pueden retirarse cuando se queman UNI equivalentes. Ese vínculo entre el flujo de tarifas y la reducción de oferta es inmutable una vez desplegado y no puede modificarse por gobernanza posterior. Al 19 de julio, cada propuesta tenía aproximadamente 2,94 millones de UNI a favor frente a un umbral de cuórum de 40 millones de UNI, aproximadamente el 7,4% del requisito. Una verificación de temperatura realizada del 7 al 12 de julio obtuvo un 93% de apoyo con 13,9 millones de UNI votando a favor. La brecha en el cuórum significa que la participación, no la opinión, es la variable abierta hasta el 26 de julio. Robinhood Chain es una cadena Arbitrum Orbit, por lo que la ejecución de gobernanza en esa cadena se realiza mediante tickets reintentables a través de su Inbox y el alias L2 del Timelock de Uniswap, una dependencia de enrutamiento que debe tener éxito para que el interruptor de tarifas se registre en cadena para ese despliegue.

Dos superficies de operación DeFi fallaron en las últimas 48 horas: una vulnerabilidad en el firmante de oracle de un exchange de perpétuos de activos del mundo real, y una explotación contable de vault que obligó a un protocolo de rendimiento de siete años a cerrar por completo. Ostium / Arbitrum: El 15 de julio de 2026, un atacante que poseía la clave privada comprometida de un firmante de oracle utilizó el forwarder PriceUpKeep registrado por Ostium para enviar informes de oracle autorizados con fechas futuras contra el vault de perpétuos RWA del protocolo. El forwarder, un componente de automatización legítimo, aceptó los informes como válidos porque la clave del firmante no había sido revocada. El atacante abrió y cerró aproximadamente 20 operaciones en bucle en una sola llamada executeBatch, cada ronda acumulando el margen desde aproximadamente $1,000 hasta una posición final que desencadenó un pago de aproximadamente $18 millones en USDC desde el vault de liquidez OLP. Blockaid y CertiK detectaron el drenaje con estimaciones de pérdidas que oscilan entre $18 millones y $22 millones, lo que representa aproximadamente el 28% del TVL del vault antes de la explotación. Ostium detuvo inmediatamente todas las operaciones y recomendó a los usuarios revocar los permisos para todos los contratos del protocolo mientras se realiza la investigación. No se ha publicado ningún post-mortem ni se ha proporcionado ninguna cronología para reanudar las operaciones. El vector de ataque no fue código de contrato inteligente, sino la clave externa de firma que autorizaba la entrega de datos de precios, la misma clase de infraestructura que falló en Bonzo Lend en Hedera y en el Lazy Summer Protocol de https://t.co/SVnV4cvqcc a principios de este mes. https://t.co/SVnV4cvqcc Labs: El 16 de julio, https://t.co/SVnV4cvqcc Labs publicó un anuncio de cierre confirmando que la empresa no tiene un camino viable hacia adelante tras la explotación mediante flash-loan del Lazy Summer Protocol el 6 de julio. El atacante manipuló el valor liquidativo de dos vaults de Ethereum USDC en una sola transacción atómica al donar tokens del vault Silo Varlamore sobrevaluados a adaptadores de estrategia que habían sido limitados para la salida pero seguían incluidos en los cálculos activos del precio por acción. Un depósito al precio real y una redención contra activos líquidos al precio inflado extrajo aproximadamente $6,04 millones: $5,64 millones del vault USDC de menor riesgo y aproximadamente $400,000 del vault de mayor riesgo. El equipo afirmó que una parte significativa de su propio capital estaba mantenido en los vaults afectados, eliminando el margen necesario para financiar el trabajo de recuperación y las operaciones continuas. La interfaz https://t.co/SVnV4cvqcc y los canales de soporte permanecerán activos hasta el 31 de agosto de 2026. El Lazy Summer DAO, un cuerpo de gobernanza independiente, conserva el control sobre el protocolo subyacente y trabaja para restaurar los retiros y redenciones del vault independientemente del cierre de la empresa Labs. https://t.co/SVnV4cvqcc operó durante aproximadamente siete años, surgiendo de la Maker Foundation en junio de 2021, y el Lazy Summer Protocol había acumulado casi $200 millones en TVL durante sus primeros nueve meses antes de que la explotación pusiera fin a su operación comercial. En conjunto, ambas fallas se rastrean hasta la misma brecha en la capa de operación: infraestructura externa con privilegios, una clave firmante de oracle y un cálculo de valuación de vault, que estaban fuera del código de contrato inteligente auditado pero directamente en la ruta de los fondos de los usuarios. Ningún protocolo fue comprometido a través de su propia lógica contractual. Ambos terminaron con cierres totales de operaciones o trading.

Tres cambios en la capa de protocolo de las últimas 48 horas: una vulnerabilidad en el executor cross-chain activa hoy, una bifurcación dura de Cardano en la cuenta regresiva final y Aave V3 en vivo en un ZK rollup con límites iniciales restringidos. LayerZero: El 15 de julio, PeckShield informó que los monederos del executor de LayerZero fueron comprometidos en ocho redes, incluyendo Ethereum, BNB Chain, Base, Arbitrum, Avalanche, Optimism, Mantle y Plasma, con aproximadamente $2.4 millones extraídos. El atacante puenteó los fondos hacia Ethereum y convirtió la mayoría de los activos en 956 ETH y aproximadamente $322,000 en USDC. El rol de executor en LayerZero gestiona la abstracción de gas y la entrega de mensajes en cadena; una vulnerabilidad en esta capa afecta la ejecución de mensajes en cada cadena donde el executor estuvo activo. LayerZero aún no ha publicado un informe formal del incidente, y la causa raíz del acceso a los monederos no ha sido confirmada. Los protocolos que utilizan el executor de LayerZero Labs como predeterminado deben tratar la entrega de ejecución en las cadenas afectadas como una variable de riesgo abierta hasta que se publique el post-mortem. Cardano: La iniciación de la bifurcación dura Van Rossem fue ratificada en el límite del epoch 642 el 13 de julio a las 21:45 UTC, completando los umbrales de votación requeridos por el marco de gobernanza Voltaire de Cardano para DRep, operadores de stake pool y el Comité Constitucional. La implementación de la bifurcación dura está programada para el 18 de julio a las 21:45 UTC. La actualización activa la Versión del Protocolo 11, una bifurcación dura intra-era que actualiza el modelo de costos de Plutus para reducir las tarifas de ejecución de contratos inteligentes, introduce nuevos primitivos criptográficos, impone la unicidad de las claves VRF y revisa las reglas de entradas de referencia. Al momento de la ratificación, el 93% de la producción actual de bloques ya ejecutaba la versión 11 del nodo y la preparación del exchange, medida por liquidez rastreada, había superado el 84%. Cualquier operador de stake pool, exchange o servicio de infraestructura que aún ejecute un nodo heredado se desincronizará en el bloque de implementación del 18 de julio. Esta es la primera bifurcación dura de Cardano ejecutada completamente a través de la gobernanza Voltaire en cadena, sin control unilateral de IOG. Aave / zkSync Era: El 10 de julio o alrededor de esa fecha, la DAO de Aave ejecutó la propuesta de activación para Aave V3 en zkSync Era, listando cinco activos iniciales: USDC, USDT, WETH, wstETH y ZK. La piscina se lanzó con límites deliberadamente bajos para préstamo y suministro, aproximadamente $10,000 por activo, para permitir pruebas internas antes de que el Aave Guardian los aumente a niveles aprobados por la gobernanza. La implementación utiliza Aave v3.1 y fue re-desplegada con la versión 1.5.3 del compilador zksolc tras identificar y corregir un problema previo con una dependencia del compilador. La autoridad administrativa de la piscina reside en el Aave Guardian durante el período de arranque. La activación sigue a la evaluación técnica completa del infraestructura de red zkSync realizada por BGD Labs y la aprobación de los parámetros de activos por parte de los proveedores de riesgo. Los desarrolladores y protocolos en zkSync Era ahora tienen acceso a la infraestructura de préstamo y colateral de Aave, con límites que se espera aumenten una vez que el Guardian confirme una operación estable.

Cuatro cambios a nivel de protocolo de las últimas 48 horas: se implementaron dos actualizaciones de mainnet, una prueba de gobernanza de bitcoin se acerca a una fecha límite crítica y se produjo un fallo de seguridad en un oracle en una L1. NEAR Protocol: El 10 de julio, el mainnet de NEAR activó la versión v2.13.0, implementando tres cambios de infraestructura distintos simultáneamente. La actualización añadió soporte para firmas post-cuánticas utilizando el algoritmo ML-DSA-65 finalizado por el NIST en la capa de validadores. También habilitó la división automática de shards, permitiendo que la red redistribuya dinámicamente la carga entre shards a medida que aumenta la congestión, sin necesidad de cambios manuales de parámetros mediante gobernanza. El tercer cambio implementa NEP-611, un nuevo sistema de gas que permite a las aplicaciones patrocinar las tarifas de transacción de los usuarios, eliminando la necesidad de que los usuarios finales posean NEAR para realizar transacciones. Stellar: El 10 de julio, el mainnet de Stellar implementó el Protocolo 27, denominado Zipper. La actualización introduce credenciales de contratos inteligentes y delegación de verificación de identidad de desarrolladores. Las credenciales permiten que los contratos inteligentes almacenen y verifiquen atestaciones sobre cuentas o direcciones directamente en la cadena, haciendo que la capa de contratos de Stellar sea utilizable para flujos de trabajo sensibles al cumplimiento sin depender de infraestructura de identidad fuera de la cadena. El momento es notable: DTCC seleccionó a Stellar como la capa de cadena pública para su piloto de valores tokenizados, que tiene programado comenzar operaciones limitadas de producción este mes. Bitcoin BIP-110: Al 12 de julio, la señalización de mineros para BIP-110 permanece por debajo del 1% con una fecha límite a principios de agosto. BIP-110 impondría una restricción de un año sobre las salidas OP_RETURN y otros métodos de transacción que transportan datos no financieros. La propuesta utiliza un mecanismo de bifurcación suave activada por usuarios que requiere el 55% de señalización de mineros, significativamente por debajo del umbral tradicional del 95%. Michael Saylor y Adam Back se han opuesto públicamente a la medida. Con menos del 1% de apoyo en el pool de minería al horizonte de la fecha límite, BIP-110 se encamina hacia una bifurcación minoritaria en lugar de un cambio generalizado en las reglas de la red, pero la vía UASF mantiene el resultado formalmente abierto hasta el disparador por altura de bloque. Bonzo Lend / Hedera: El 12 de julio o alrededor de esa fecha, Bonzo Lend perdió aproximadamente $9,05 millones tras un atacante explotar una falla de verificación en un contrato oracle de terceros implementado en la red Hedera. El protocolo perdió el 77% de su valor total bloqueado. El vector de ataque fue el contrato oracle en sí, no la lógica del protocolo de préstamo, lo que sitúa el fallo en la capa de feeds de precios y verificación, no en el contrato central de Bonzo. Hedera es una DLT basada en modelo de cuenta utilizada principalmente para casos de uso empresariales de liquidación, y Supra es un proveedor oracle de terceros. El fallo añade otro dato al patrón identificado por SlowMist en su informe semestral H1 2026: la infraestructura y los sistemas intercadena están absorbiendo una proporción desproporcionada de pérdidas en comparación con las vulnerabilidades del código de contratos inteligentes.

La IA acaba de hacer libre e infinita la memoria de hechos. Por lo tanto, el costo por olvidar detalles cayó a cero. La prima sobre lo que SÍ retienes: estructura, juicio, la pregunta correcta... aumentó enormemente. Si recuerdas cómo se resuelven los problemas pero no quién escribió el libro: estás hecho para esta era.

Recientemente escuché a los CEOs de DeepMind y Anthropic discutir este experimento mental: Imagina un nuevo país apareciendo de la noche a la mañana con una población de 10 millones de personas, todas más inteligentes que Albert Einstein. ¿Qué sucedería? En otro podcast, el CEO de Microsoft describió un futuro en el que una empresa podría tener 2 millones o incluso 20 millones de agentes de IA. Lo que muchas personas no comprenden es que un “agente de IA” es en realidad solo una serie coordinada de pasos. Por ejemplo, gestionar la basura del hogar podría implicar: 1. Un agente que rastrea la ubicación del contenedor de basura en todo momento. 2. Otro que monitorea el sitio web de la ciudad de Cary en busca de cambios en el horario. 3. Un tercero que establece alertas si ocurre alguna actualización. 4. Un cuarto que envía un mensaje de recordatorio a un humano o robot el día de la recolección. Estos pueden apilarse infinitamente para formar sistemas complejos. Cuando la gente dice “IA”, a menudo se refiere a todo este conjunto: los agentes, subagentes y reglas que los unen. Una vez que tengamos agentes verdaderamente capaces, ellos mismos diseñarán y optimizarán estos sistemas: creando planes, procedimientos de respaldo y acciones (utilizando LLMs o SLMs locales/personales). La siguiente fase —la auto-mejora recursiva— ya está cerca. Después de eso, el progreso se vuelve incontenible y la vida se vuelve muy extraña.

Las reseñas falsas son 👎. Así que creé lo contrario. AudienceScore: un protocolo abierto donde cada reseña está verificada por un recibo criptográfico y cada puntuación es recalculable por cualquiera. Puntuaciones que nadie puede comprar. Código abierto, diseñado para la era de la IA. https://t.co/vtrLnObyP7 https://t.co/UEKutXieMo

¿Se convertirá esto en la nueva realidad? https://t.co/gPdB5yZbY3

T. Rowe Price: La SEC aprobó el cambio propuesto en las reglas de NYSE Arca el 14 de junio para listar y operar acciones del T. Rowe Price Active Crypto ETF, ticker TKNZ. El fondo gestionado activamente tiene como objetivo 5 a 15 activos digitales, incluyendo bitcoin, ethereum, Solana y XRP, sin un índice fijo que seguir. T. Rowe Price gestiona más de $1.8 billones en activos. No se ha confirmado una fecha de inicio de operaciones: la aprobación de la regla es una condición previa, no el lanzamiento en sí. CFTC: La División de Supervisión de Mercados emitió una carta de no acción el 12 de junio que permite a los mercados de contratos designados registrados ante la CFTC convertir los futuros existentes de commodities digitales de estilo perpetuo en verdaderos futuros perpetuos de commodities digitales eliminando las fechas de vencimiento. El alivio se emitió tras solicitudes directas de Bitnomial Exchange y Coinbase Derivatives. Los exchanges deben solicitar comentarios a los participantes con posiciones abiertas, proporcionar al menos cinco días calendario de aviso previo, permitir la salida de posiciones bajo los términos existentes y certificar el cumplimiento con las Regulaciones 40.5 o 40.6 de la CFTC. El alivio expira el 30 de junio de 2026. No se aplica a plataformas offshore ni a activos que no sean commodities digitales.

Dos cambios en la infraestructura de stablecoins se implementaron el 25 y 26 de junio: un nuevo estándar de token nativo del protocolo se lanzó en Base junto con dos fallos del secuenciador, y Spark sembró liquidez compartida para intercambios de stablecoins en Uniswap v4. Base: La bifurcación Beryl se activó el 26 de junio a las 18:00 UTC, introduciendo B20, un estándar de token nativo del protocolo para emisores de stablecoins y activos del mundo real. Los tokens B20 funcionan como precompilados en Rust dentro del software del nodo de Base, en lugar de como contratos inteligentes desplegados, e incluyen permisos basados en roles, controles de acuñación y quema, restricciones de transferencia, y herramientas de congelación y incautación para emisores regulados. La actualización también reduce el período estándar de retiro con una sola prueba desde Base a Ethereum de siete días a cinco, e integra Reth V2, que, según Base, reduce el almacenamiento del nodo hasta en un 50 por ciento. El 25 de junio, horas antes de la programación original de Beryl, la producción de bloques se detuvo durante aproximadamente dos horas tras el bloque 47.806.542, cuando un fallo de consenso provocó que un bloque inválido ingresara a la canalización de secuenciación. La cadena se detuvo una segunda vez el 26 de junio con la misma firma, con los nodos atascados en el mismo bloque. Ambas interrupciones requirieron reinicios manuales de los nodos para restaurar la sincronización en todo el ecosistema. La causa raíz ha sido identificada, pero no se ha publicado ningún informe post-mortem. Como consecuencia, la habilitación en mainnet del Registro de Activación de B20 se pospuso sin una nueva fecha establecida. Los desarrolladores no pueden desplegar tokens B20 hasta que el registro esté activo. Spark / Uniswap: El 25 de junio, Spark desplegó aproximadamente $150 millones en liquidez de stablecoins en dos pools de Uniswap v4 en el mainnet de Ethereum. Los pools emparejan USDS de Sky contra USDT de Tether y PYUSD de PayPal. La estructura está diseñada como infraestructura de liquidación compartida para que bancos, fintechs y empresas de pago que ingresen a la emisión de stablecoins puedan acceder a un único sistema agrupado en lugar de cada uno estableciendo liquidez y gestión de inventario aisladas. Spark funciona como la capa de orquestación que controla la gobernanza de asignación; Uniswap v4 proporciona la arquitectura programable AMM. Se planea una función DualPool que permitirá que el capital inactivo se mueva hacia estrategias de rendimiento entre operaciones, en una fase posterior, pendiente de una revisión de seguridad independiente.