«El congelamiento de Arbitrum: el teatro de la descentralización se encuentra con la realidad.»
— Charles Guillemet, director de tecnología de Ledger.
El 19 de abril, miles de depositantes de Aave, el protocolo de préstamos descentralizados más grande del mundo, abrieron la aplicación para retirar su ether. No pudieron. La tasa de utilización del pool había llegado al 100%. Todo lo depositado estaba prestado; no quedaba liquidez. No era un problema de la interfaz ni de la wallet. Era un corralito. En DeFi. En 2026. En el protocolo de préstamos más grande del ecosistema Ethereum.
Ese es el estado real de las «finanzas descentralizadas”.
La obra comienza el 18 de abril. El puente de Kelp DAO, plataforma de restaking líquido sobre Ethereum, sufrió un exploit de USD 292 millones en rsETH, su token de ether restakeado.
LayerZero, la infraestructura de mensajería entre cadenas que Kelp usaba para su puente, atribuyó el ataque al grupo de hackers asociado al régimen de Corea del Norte, Lazarus, y señaló que Kelp operaba con una configuración llamada «1-de-1 DVN». Un DVN (red de verificadores descentralizados) es el componente que confirma que un mensaje enviado entre dos redes es legítimo antes de ejecutarlo. Qué ironía que en un sistema llamado red de verificadores descentralizados se dependa de un único guardián.
LayerZero afirma haberle recomendado repetidamente a Kelp que añadiera verificadores adicionales. Kelp, por su parte, apuntó de vuelta a LayerZero como responsable. El cruce de culpas cierra el primer acto.
Segundo acto. La onda expansiva no tardó en llegar al siguiente eslabón, contagiando dramas paralelos. Como rsETH se usaba como colateral en los mercados de Aave, los depositantes del protocolo se asustaron. El 19 de abril salieron 2,3 millones de ether de Aave — unos USD 5.400 millones en pocas horas. La fuga fue tan rápida que la utilización de ether en el protocolo llegó al 100%, los retiros quedaron bloqueados y el token AAVE cayó 20% en veinticuatro horas.
Justin Sun, fundador de la red Tron y uno de los inversores más visibles del ecosistema, publicó un mensaje dirigido al atacante ofreciéndose a negociar. Stani Kulechov, fundador de Aave, activó los poderes de emergencia del protocolo y congeló preventivamente los mercados de wrapped ether.
Tercer acto. Para el 20 de abril, el daño ya era sistémico. El TVL (valor total bloqueado) agregado de DeFi perdió USD 7.000 millones en un solo día. No fue una corrección de precios, fue una corrida bancaria. Más de treinta protocolos pausaron sus integraciones con LayerZero mientras se aclaraba el alcance del ataque.
Y el 21 de abril entró el cuarto acto. El Consejo de Seguridad de Arbitrum, la segunda capa (L2) de Ethereum por la que el atacante había movido parte del botín, congeló por decreto 30.766 ether vinculados al hacker, probablemente motivados por el drama acontecido hace algunas semanas cuando Circle decidió no congelar el USDC del atacante de Drift.
El Consejo de Seguridad (una multifirma 9 de 12) tiene poderes de emergencia que le permiten actualizar temporalmente contratos clave del sistema, como el Delayed Inbox en Ethereum (el puente que gestiona los mensajes entre L1 y L2). En una operación quirúrgica y reversible, actualizaron el contrato por unos instantes para añadir una función que permitía originar un mensaje cross-chain en nombre del atacante (sin necesidad de su llave privada), forjando una transacción como si el propio hacker hubiera ordenado la transferencia de sus fondos a la wallet controlada por el protocolo. Una vez ejecutada la transferencia en L2, revirtieron el contrato a su estado original, sin afectar el estado general de la cadena ni a ningún otro usuario o aplicación.
Un grupo de firmantes con una multifirma movió fondos que, en teoría, una red «descentralizada» no debía poder mover. Y funcionó.
Y ahora, como si se tratara de un rescate bancario, como ese señalado por Satoshi en el bloque génesis de Bitcoin, Lido DAO, EtherFi y el fundador de Aave, Stani Kulechov, participan en un esquema coordinado de rescate para cubrir el déficit de rsETH generado por el hackeo.
El hackeo, por sí solo, no es la historia
Los hackeos no ocurren porque haya un administrador con permisos especiales en el contrato. Ocurren porque DeFi es tecnología experimental que se pone en producción manejando miles de millones de dólarescon incentivos astronómicos para atacarla, con código componible donde el riesgo de un protocolo se inyecta en el siguiente, y con una superficie de ataque que crece más rápido que la capacidad de auditarla.
El exploit de Kelp no explotó una puerta trasera humana: envenenó dos nodos RPC —los servidores que consultan el estado de Ethereum— y engañó al validador para que firmara transacciones que nunca ocurrieron. Lo mismo habría sucedido contra un protocolo totalmente inmutable. El problema fue la inmadurez de la tecnología.
Por eso Drift hace dos semanas, Kelp esta semana, y quién sabe cuántos más en el futuro. Este abril, cada dos días se ha registrado un nuevo hackeo. Parece la naturaleza del sector. Lo ha sido así desde su nacimiento. Los números acumulados lo confirman: según datos de DefiLlama y Chainalysis, desde 2020 los protocolos DeFi han perdido más de USD 9.000 millones por ataques. Si bien hubo dos picos históricos en 2021 y 2022 —momento en que la tecnología recién nacía— y desde entonces los ataques se han ido moderando, en apenas cuatro meses de 2026 el monto robado casi iguala a 2025.
Pedir que DeFi no sea hackeado es como pedirles a los aviones de 1910 que no se caigan: pasa porque la tecnología todavía no está terminada. Pero al igual que sucede con los aviones, hasta que se mantuvieran estables en el aire, varios tendrían que caer. En DeFi, esto parece significar ser hackeados.
Esto no exime a los protocolos de su responsabilidad; la intensifica. Cuando un puente opera con una configuración que su propio proveedor desaconseja, cuando un protocolo de préstamos acepta como colateral un token cuya paridad depende de una infraestructura que nunca auditó, cuando una aplicación con USD 30.000 millones bajo administración no tiene plan para una corrida bancaria, la inmadurez deja de ser excusa y se vuelve negligencia.
La ficción se rompe en la respuesta, no en el ataque
Cuando Aave congeló los mercados de wrapped ether para proteger su solvencia, lo hizo porque podía hacerlo. Cuando el Consejo de Seguridad de Arbitrum movió 30.766 ether de un atacante, lo hizo porque la red entera admite esa figura. Cuando LayerZero anunció que dejará de firmar mensajes de aplicaciones con configuración 1-de-1 DVN, está ejerciendo un poder de veto que las aplicaciones «descentralizadas» aceptaron al integrarse.
Son tres intervenciones humanas, coordinadas, sobre protocolos supuestamente descentralizados. Ninguna es ilegítima: todas se ejecutaron siguiendo los mecanismos formales de cada proyecto. Todas son la confesión pública de que esos mecanismos existen.
Guillemet puso el dedo exactamente ahí. La intervención de Arbitrum fue posible porque la red está clasificada como «Stage 1» en el marco de L2BEAT, la plataforma de referencia que evalúa el grado de descentralización de las segundas capas de Ethereum.
Stage 1 significa que un comité de firmantes con llaves criptográficas puede modificar el estado de la cadena en situaciones de emergencia. Stage 2, el nivel en el que esa capacidad desaparece y el sistema opera sin intervención humana posible, no lo ostenta hoy ninguna segunda capa de uso masivo. Ni Optimism, ni Base, ni zkSync, ni Starknet, ni Linea, ni la propia Arbitrum. Todas viven en el estadio donde la descentralización es un objetivo de hoja de ruta, no un hecho presente.
Contratos actualizables. Stablecoins congelables. Puentes con llaves de administrador. Mercados pausables. Consejos de Seguridad con multifirma. La lista no es la excepción; es el ecosistema.
El congelamiento de Arbitrum no inauguró nada. Lo que hizo fue sacar al espectador de la suspensión de incredulidad. Durante años, los usuarios entraron a DeFi creyendo que veían una máquina autónoma que nadie podía tocar; esta semana se encendieron las luces de la sala y, por un momento, toda la escenografía se volvió visible. La obra sigue en cartelera, pero el hechizo ya no funciona igual.
Los institucionales no van a tolerar lo contrario
Es aquí donde la conversación de esta semana se conecta con la que tuvimos en febrero sobre la captura institucional de Bitcoin. Porque la misma lógica que sacó a Bitcoin fuera de la cadena y lo metió en custodios regulados está empujando a DeFi hacia el control humano como norma.
Los fondos, tesoros corporativos, bancos y agencias que empiezan a tokenizar activos —como anticipamos en La tokenización está por desbocarse— no van a firmar prospectos que digan «en caso de hackeo los fondos se pierden por inmutabilidad del protocolo». No lo van a firmar sus abogados, no lo van a firmar sus reguladores, no lo van a firmar sus clientes. Exigirán reversibilidad, exigirán listas negras, exigirán la capacidad de congelar en emergencia. Ya JP Morgan expresó que la ola de hackeos está reduciendo el atractivo de DeFi para los inversores institucionales.
Y la industria, que ya demostró esta semana que tiene esas capacidades, se las va a entregar sin mayor resistencia. Porque el incentivo económico de servir a ese capital es demasiado grande para que el ethos fundacional aguante.
El usuario de DeFi quiere que le devuelvan la plata cuando lo hackean. El institucional quiere garantías de custodia. El protocolo quiere sobrevivir un ciclo más. Los tres empujan en la misma dirección, y esa dirección se llama control humano y centralizado sobre el protocolo.
El mercado, además, refuerza el empuje. Cuando AAVE cayó 20% en veinticuatro horas sin haber sido hackeado directamente, los inversionistas votaron con los pies contra la arquitectura que permite ese contagio. El veredicto fue inmediato y está en la contabilidad on-chain. La misma transparencia que celebramos en el caso de la familia Trump penaliza aquí a un protocolo que no hizo nada irregular.
Así funciona el mercado de criptomonedas en su mejor versión: castiga rápido, castiga público, castiga a todos por igual. Y esta semana castigó a DeFi entera por una verdad que ya sabía.
El sinceramiento es la moraleja de la historia
DeFi debería admitir que sus protocolos son administrados por equipos humanos con poderes de emergencia. Probablemente lo haría, primero con eufemismos, después con naturalidad. Algunos lo llamarán «finanzas automatizadas». Otros «finanzas on-chain».
Desaparecería, de a poco, la palabra descentralizadaso quedará reservada para un puñado de protocolos que no quieran que el ethos muera, como sucedió con Ethereum Classic cuando Ethereum cocinó su contabilidad tras el hackeo a The DAO.
Y eso, paradójicamente, sería sano. Pero este ecosistema tiene una capacidad notable para reencuadrar sus fracasos sin cambiar estructuralmente, o «hacerse el loco» y seguir como si nada (como las stablecoins algorítmicas que siguen existiendo luego del colapso de Terra-Luna).
Porque el problema del teatro de la descentralización no es que los protocolos tengan botones de emergencia. El problema es que los usuarios no sabían que los tenían. Operaban bajo la promesa de autonomía absoluta, depositaban su capital creyendo que ningún comité podría intervenir, y descubrían lo contrario solo en la crisis.
El sinceramiento le devuelve al usuario algo elemental: la información que necesita para decidir dónde pone su dinero. Saber que Aave puede congelarte el wrapped ether, que Arbitrum puede moverte los fondos, que LayerZero puede desconectarte de sus integraciones, es una verdad incómoda pero útil. Mucho más útil que una descentralización ficticia.
La propuesta de Guillemet de hacer que cada protocolo publique su nivel real de descentralización al estilo de una etiqueta nutricional apunta exactamente ahí. No es una salida que la industria adopte mañana, pero marca la vara con la que habrá que medir, de aquí en adelante, cualquier proyecto que reclame el adjetivo de descentralizado.
Como escribimos hace dos semanas al cumplir once años en CriptoNoticias, la verdadera mitigación de la confianza solo es posible cuando no existe un punto único de fallo humano. Esta semana dejó claro que DeFi, al menos en el estadio en que vive hoy, no cumple esa condición. Y que los actores que están por llegar no quieren que la cumpla.
El teatro se acabó. Las luces prendidas revelan el truco. Lo que DeFi decida hacer con esta honestidad forzada definirá los próximos años del sector. Lo que el usuario haga con ella, en cambio, se decide en una sola pregunta: si tu dinero puede ser congelado por decreto, ¿sigue siendo tuyo?
