'Todo el Defi es inseguro', advierte un desarrollador mientras los Agentes de IA reconfiguran las amenazas de seguridad

Los atacantes drenaron aproximadamente $200,000 de los pools de liquidez DeFi en Ethereum — específicamente Uniswap V3 — tras explotar debilidades en el sistema de incentivos de WUSD.fi y GLOVE, según investigadores de seguridad de ExVul.

Los atacantes hicieron circular fondos a través de múltiples billeteras para obtener recompensas repetidamente, aprovechando los fallos integrados en la estructura de incentivos del protocolo.

Una Oleada De Ataques Golpea El Ecosistema

Ese incidente fue uno de varios que sacudieron el espacio DeFi en los últimos días. También surgieron a principios de esta semana anuncios fraudulentos de Google que se hacían pasar por Uniswap, redirigiendo a usuarios desprevenidos a sitios de Phishing diseñados para robar credenciales de billeteras — una estafa que, según los informes, drenó al menos $400,000 antes de ser detectada.

Los incidentes consecutivos prepararon el terreno para una advertencia pública directa de Manuel Aráoz, fundador de OpenZeppelin, una de las firmas de seguridad de contratos inteligentes más utilizadas en la industria.

Aráoz dijo que ahora considera que todo DeFi es inseguro, una declaración que se propagó rápidamente en los círculos de desarrolladores después de que la publicara en línea.

Su razonamiento apunta a un problema fundamental en el funcionamiento de la seguridad blockchain. Los defensores tienen que encontrar y parchear cada vulnerabilidad, mientras que un atacante solo necesita una para drenar un protocolo por completo.

Las Herramientas De IA Alteran El Equilibrio

Aráoz señaló las herramientas de codificación impulsadas por IA como la razón por la que ese equilibrio se ha vuelto más difícil de gestionar. Los informes indican que cree que estas herramientas permiten a los atacantes analizar contratos en busca de debilidades a una velocidad y escala que la mayoría de los equipos de seguridad no pueden igualar.

Fue más lejos en comunicaciones privadas, según se informó aconsejando a amigos y familiares que retiraran sus fondos de las principales plataformas DeFi en su totalidad, incluyendo Aave, MakerDAO y Compound. Esas tres plataformas representan una parte significativa del Valor total bloqueado (TVL) en las finanzas descentralizadas.

Los analistas de ciberseguridad han planteado preocupaciones similares, advirtiendo que la IA está acelerando la velocidad con la que los atacantes pueden mapear vulnerabilidades, construir infraestructura de Phishing y ejecutar estrategias de explotación simuladas contra protocolos activos.

El problema se ve agravado por cómo están construidos los protocolos DeFi modernos. Muchos ahora apilan múltiples componentes unos sobre otros — puentes, sistemas de préstamos, mecanismos de Staking, contratos de recompensas automatizados — y cada capa adicional amplía la superficie que debe defenderse.

El propio OpenZeppelin alertó anteriormente sobre lo peligrosas que pueden ser estas combinaciones, identificando una vulnerabilidad que surgió de la interacción entre los estándares ERC-2771 y Multicall, dos tipos de contratos ampliamente utilizados que crearon una exposición no intencionada cuando se usaban juntos.

Los principales protocolos han respondido invirtiendo recursos en auditorías, programas de recompensas por errores y verificación formal. Los informes señalan que incluso esos esfuerzos no han cerrado completamente la puerta a los ataques de Phishing y los esquemas de manipulación de incentivos.

La preocupación ahora es si los proyectos DeFi más pequeños — aquellos sin presupuesto para revisar seguridad de forma continua — pueden resistir a atacantes que se mueven más rápido que antes.

Imagen destacada de Binance, gráfico de TradingView