El “hack” de Balancer de $234K y la familia de bugs en DeFi: no pueden ser eliminados.

El 31 de agosto, alguien vació un pool de liquidez de Balancer, que tenía aproximadamente…$234,000El valor de DPI, USDC, WETH y WBTC se puede calcular al depósitar lo equivalente a aproximadamente un satoshi de WBTC: cien millonesésima parte de una moneda. Ese depósito mínimo era suficiente para…4,408.8 tokens de pool de MintSegún la empresa de seguridad SlowMist, el atacante luego intercambió esos activos por los activos reales del pool.

Es tentador clasificar esto como “cosas pequeñas, cripto es cripto”. La resistencia es el punto clave. Debajo del titular de seis cifras se encuentra la verdadera causa del problema que dejó a Balancer con más de 120 millones de dólares en deuda en noviembre; cuatro meses después, ese mismo problema contribuyó a la quiebra de la empresa que desarrolló ese protocolo. La versión de 2026 no es nada especial. El mecanismo empleado no es nuevo, y el hecho de que siga en funcionamiento revela mucho sobre dónde realmente se encuentra el riesgo en DeFi. Permítanme mostrarles la cadena.

Cómo se compra una piscina por un satoshi

Los pools originales de Balancer realizan todas sus operaciones matemáticas con 18 decimales. El WBTC, el token de Bitcoin “envuelto” que está en el centro de atención, tiene 8 decimales. Normalmente, este desfase se debe a pequeños errores en los cálculos, pero el atacante logró reducir la reserva de WBTC del pool a cero, utilizando préstamos rápidos obtenidos de Spark, Aave, Morpho y Uniswap V3. Una vez que la reserva llegó casi a cero, el cálculo de “unirse” en el contrato se realizó de forma incorrecta: el resultado se redondeó a un solo satoshí. Las verificaciones que rechazan depósitos de tamaño similar a un token solo se aplican en otras partes del contrato, no en ese proceso específico.

Ese virus vive en Balancer V1.Código base de 2020 que es imutable: no puede ser actualizado y no está mantenido.El Balancer pasó a la versión V2 en 2021, y posteriormente a la V3. Los contratos de la versión V1 permanecieron en la cadena, conservando el dinero que los “loners” tenían en ellos. Dado que es uno de los componentes más copiados de la infraestructura DeFi, las reglas relacionadas con el acceso y salida de los recursos también se encuentran en los pools de otros proyectos. Los investigadores de seguridad señalaron que estas reglas están expuestas a riesgos. Esta primavera, clones directos del código en Polygon fueron atacados en un incidente separado.

Tampoco se trataba de un problema secreto. Los investigadores de seguridad señalaron un…Problema en GitHub desde enero de 2020Eso describe, en esencia, este modo de fallo: tokens decimales de baja calidad, con reservas insuficientes y la emisión de tokens en un precio demasiado bajo. El conocimiento no puede corregir un contrato inmutable.

Tres golpes, misma familia.

La expresión “misma familia de errores” está haciendo un trabajo real aquí, ya que los problemas relacionados con el redondeo y la precisión han afectado a Balancer en tres ocasiones.

• Agosto de 2023.Un error de redondeo en los grupos de datos añadidos de V2 permitió que los atacantes…Drenar más de 2 millones de dólares.En pocos días desde que se reveló la vulnerabilidad.
• 3 de noviembre de 2025.Un error en la dirección de redondeo en los grupos estables de V2: el camino de intercambio “exactamente correcto” se redondea de la forma incorrecta.Costó más de 120 millones de dólares.En menos de treinta minutos, se puede hacerlo en varias cadenas. Las empresas de seguridad…La estimación más citada fue de 128.6 millones de dólares.Las cuentas contables de Balancer indicaron que las pérdidas totales ascendían a 121.1 millones de dólares.El tercer ataque DeFi más grande de 2025.
• 31 de agosto de 2026.V1. $234,000.

Los listo porque el intervalo es el mensaje. Cada corrección protegió la versión para la cual fue escrita, y dejó en secreto a aquellas versiones expuestas. El error de noviembre había estado presente en su código durante años; una auditoría que podría haberlo detectado habría…Las matemáticas relevantes están fuera del alcance explícito.V1 nunca fue reparado en absoluto, porque es imposible hacerlo.

Qué impacto tu gran huelga tuvo en la empresa

El ataque de noviembre no es simplemente el origen de este otro ataque. Es la razón por la cual ya no queda ninguna empresa que pueda ser llamada “compañía”. El valor total bloqueado disminuyó.Aproximadamente 775 millones de dólares, hasta unos 300 millones de dólares.En el momento inmediato después de eso. Para cuando el departamento de desarrollo corporativo, Balancer Labs, se disolvió en marzo de 2026, TVL había disminuido aproximadamente…95% de los ingresos provenientes del pico en 2021, cerca de 3.5 mil millones de dólares.— aproximadamente 157 millones de dólares — mientras que la moneda de gobernanza de BAL se negociaba cerca deMínimos históricos alrededor de $0.15Con un valor de mercado de aproximadamente 10 millones de dólares. El cofundador, Fernando Martinelli, dijo que la entidad corporativa se había convertido en una carga, en lugar de un activo: la explotación del negocio había causado problemas legales reales y continuos, y la empresa ya no generaba ingresos suficientes para justificar su mantenimiento.$1 millón en tarifas anualesEn comparación con el trimestre anterior.

El plan de rescate era extremadamente honesto: detener por completo la creación de BAL; desmantelar el programa de almacenamiento de veBAL que servía como base para una economía de sobornos circulares, transferir todas las tarifas relacionadas con los protocolos al tesoro público, y comprar de vuelta las criptomonedas a quienes querían salir del sistema. Lo que queda es una operación reducida, donde la fundación y el DAO dependen de V3, la arquitectura diseñada para solucionar estos problemas desde el principio.Precisión decimal 18, direcciones explícitas de redondeoVerificación formal de los intercambios de ida y vuelta.

¿Quién realmente paga?

Ahora, la parte más importante. Cuando ocurrió el ataque de noviembre, Balancer contó aproximadamente…$45.7 millones de los $121 millones en pérdidas.Protegido o recuperado por equipos de seguridad, fundaciones y profesionales del área de seguridad. Pero el plan que el DAO presentó para devolver dinero a los proveedores de liquidez afectados era mucho más pequeño: alrededor de…8 millones de dólares, pagados en los mismos “monedas”.Por grupo de fondos, y solo para los LP en esos grupos donde los fondos realmente regresan, a través de un proceso activo de reclamación. El resto de las pérdidas se distribuyen entre los proveedores de liquidez, en proporción a su participación en el grupo de fondos, no por culpa suya.

Para el grupo de V1 que se eliminó el 31 de agosto, no existe ni siquiera un programa para aplicar. No hay ningún camino para realizar actualizaciones, no hay ningún responsable corporativo, ni seguro alguno. El “exploit” es simplemente una transacción permitida en código antiguo. El dinero se ha ido de los contratos más antiguos en la red; las copias de esos contratos se encuentran en otro lugar, también sin mantenimiento.

La sentencia

La lección importante es que seis cifras no representan nada en el mundo de las criptomonedas. Al contrario: la magnitud del hackeo indica dónde se encuentra el capital vulnerable, pero no cuán peligroso era el código. Un desgaste de 234,000 dólares y uno de 121 millones de dólares son simplemente el mismo error, pero con diferentes cantidades de dinero. Lo que los diferencia es solo que el primer caso involucra código que nadie puede proteger.

Eso cambia la cuestión de la diligencia en el proceso de auditoría para cualquier persona que tenga en cuenta BAL o cualquier tipo de pool que genere ingresos. La pregunta anterior era: “¿Ha sido auditado este sistema?” La pregunta mejor es: “¿Se puede corregir este problema? Y quién es responsable si no se puede?” Los auditores pasaron por alto esta serie de problemas durante años. El código más antiguo en la red no es lo más seguro; es precisamente porque no puede ser modificado. El indicador más fiable de la seguridad de un pool no es cuántas veces ha sido auditado. Es cuánta gente sigue manteniéndolo en funcionamiento… y qué pasa con su dinero cuando dejan de hacerlo.