La seguridad se está convirtiendo en una prueba definitoria para los proyectos de finanzas descentralizadas (DeFi), ya que los protocolos enfrentan riesgos crecientes y un escrutinio más estrecho. Expertos de la industria afirman que las auditorías independientes, la verificación formal, los controles en tiempo real, la gobernanza transparente y la divulgación responsable de vulnerabilidades pueden ayudar a proteger los fondos de los usuarios y demostrar responsabilidad.

Los ejemplos analizados a continuación también ilustran por qué identificar y divulgar debilidades de forma temprana puede generar una confianza más duradera que prometer una seguridad perfecta. Dado que las transacciones en blockchain son generalmente irreversibles, la seguridad debe ir más allá de una auditoría previa al lanzamiento y mantenerse como parte del ciclo de vida de desarrollo y operación de un protocolo. Las cifras citadas en estos ejemplos —desde pérdidas por exploits de nueve cifras hasta competencias de auditoría de millones de dólares y techos de recompensas— indican cuánto valor depende hoy de la fiabilidad de este código.

Aave V3 hace de la seguridad un fundamento

Aave, en particular su protocolo V3, se cita como ejemplo de un proyecto que ha integrado la seguridad en su proceso de desarrollo. Aave V3 fue auditado por varias firmas independientes, incluidas Trail of Bits, SigmaPrime y ABDK, antes de su despliegue. El protocolo también opera un programa continuo de bug bounty a través de Immunefi, con pagos de hasta 250.000 dólares.

Una medida adicional es la verificación formal de sus contratos inteligentes. La verificación formal utiliza pruebas matemáticas para evaluar si el código se comporta según lo especificado, superando la revisión de código convencional.

"Desde mi perspectiva como ingeniero de software que construye pipelines de datos y ha desarrollado herramientas de auditoría de seguridad de código abierto (promptfirewall, ai-project-audit), veo un paralelo directo con cómo manejamos la integridad de los datos en sistemas empresariales", dijo Timur Rakhmatullin, ingeniero de software senior en Softline Solutions. "En Softline Solutions, donde trabajo en plataformas de datos que sirven a más de 1.500 cuentas de clientes, aplicamos el mismo principio: no confiar en nada, verificar todo, y hacer que la verificación sea automatizada y continua en lugar de una casilla de verificación única".

Rakhmatullin afirmó que este enfoque es especialmente importante porque la DeFi no cuenta con la misma red de seguridad que los intermediarios financieros tradicionales. Cuando un banco comete un error, los clientes pueden tener acceso a un proceso de reclamación. Cuando un contrato inteligente contiene una vulnerabilidad, los fondos pueden desaparecer de forma permanente. La irreversibilidad de las transacciones en blockchain puede afectar tanto a los usuarios como a la credibilidad de un proyecto.

En su opinión, los proyectos que sigan siendo viables a largo plazo tratarán la seguridad como infraestructura continua y no como una formalidad previa al lanzamiento. Dijo que la combinación de múltiples auditorías independientes, verificación formal, bug bounties continuos y divulgación transparente indica un compromiso genuino y no un "teatro de seguridad".

Morpho reduce su superficie de ataque

Ace Zhuo, CEO y ejecutivo de ventas y marketing de TradingFXVPS, señaló a Morpho como ejemplo de un protocolo diseñado para reducir la cantidad de código que debe protegerse. El contrato de préstamos central de Morpho Blue contiene alrededor de 650 líneas de código Solidity y es inmutable tras el despliegue. Ha sido revisado por varias firmas de auditoría independientes, verificado formalmente y abierto a competencias públicas de auditoría en las que se paga a investigadores por identificar debilidades.

"Lo que me parece impresionante es que Morpho intentó reducir la superficie de ataque antes de la auditoría", dijo Zhuo. Contrastó ese enfoque con 20.000 líneas de código actualizable controlado por un esquema de firma múltiple que puede cambiar las reglas, el cual, argumentó, no puede auditarse hasta la seguridad de la misma manera.

Zhuo dijo que muchos equipos de DeFi tratan las auditorías como insignias. Obtienen un informe y muestran el nombre del auditor en su sitio web, pero los fallos posteriores pueden ocurrir en código escrito después de la revisión, en una clave administrativa que no se ha rotado o en un oráculo no auditado que devuelve valores incorrectos durante períodos de alta volatilidad.

Afirmó que las causas recurrentes de los hackeos en DeFi incluyen feeds de precios defectuosos, claves comprometidas y actualizaciones de contratos inteligentes no auditadas. En su opinión, la confianza se gana escribiendo menos código, limitando el número de personas que pueden modificarlo y continuando las pruebas contra escenarios adversarios después del despliegue.

"Los usuarios no pueden leer Solidity, pero pueden leer el código de un equipo y determinar si dicho equipo trata 1 bug == todo el tesoro con la seriedad que merece", dijo Zhuo. "Cuando el dinero se mueve a la velocidad de las máquinas, no hay reversión ni ticket de soporte para resolver problemas. Lo que importa es producto = seguridad".

Morpho Midnight construye defensas desde el inicio

Brett Smith, fundador y CEO de 7aSavvy, también destacó a Morpho, en particular su protocolo de préstamos más reciente, Morpho Midnight. Dijo que el protocolo hace hincapié en auditorías independientes de contratos inteligentes, verificación formal y revisiones de seguridad públicas. Morpho Midnight ha sido evaluado por Spearbit, Trust Security y Blackthorn, además de una competencia pública de auditoría.

Smith dijo que la importancia del enfoque radica en que la seguridad se incorpora al desarrollo desde el principio en lugar de tratarse como una lista de verificación final. Las plataformas DeFi gestionan activos financieros reales mediante contratos inteligentes automatizados, por lo que una sola vulnerabilidad puede poner en riesgo los fondos de los usuarios.

La publicación de resultados de auditorías, el fomento de pruebas independientes y el mantenimiento de programas de bug bounty pueden dar a los usuarios mayor visibilidad sobre cómo se gestionan los riesgos, dijo Smith. También subrayó que una auditoría no garantiza una seguridad completa. En cambio, demuestra responsabilidad, mientras que la confianza se desarrolla mediante evidencia constante de que la seguridad se toma en serio.

Los resultados de auditoría solo importan cuando los equipos actúan

Cache Merrill, fundador de Zibtek, dijo que el trabajo de su empresa auditando plataformas DeFi para Wantoo ha demostrado que una auditoría solo es valiosa si el proyecto responde a los hallazgos.

Una falla en un contrato inteligente puede poner en riesgo fondos reales, y los usuarios pueden tener pocos recursos una vez completada una transacción. Merrill dijo que no evaluaría un proyecto emergente solo por su insignia de auditoría. Examinaría quién realizó la auditoría, si se abordaron los hallazgos y si el equipo divulgó sus riesgos restantes.

Las revisiones de seguridad también deben continuar cuando los contratos cambian o se agregan nuevas funciones. Una auditoría de una versión anterior no cubre automáticamente el código posterior. Para los usuarios, la evidencia de cómo un equipo prueba su código, responde a vulnerabilidades y asume responsabilidad por las correcciones es más significativa que una afirmación general de que una plataforma es segura.

Mostrar los riesgos antes que los beneficios

Larry Jones, fundador y anfitrión de STOCK UP! with Larry Jones, dijo que no podía recomendar un proyecto DeFi específico ni identificar uno digno de seguimiento. Dirige un canal de educación sobre bolsa e inversiones, no una operación de investigación blockchain, y dijo que no dirigiría a los lectores hacia un token o plataforma en particular.

Jones dijo que el principio más amplio de explicar los riesgos de seguridad antes de discutir los beneficios potenciales aplica directamente a la educación financiera. En su experiencia enseñando a principiantes sobre opciones, la credibilidad se construye mostrando a las personas dónde pueden salir perjudicadas antes de discutir qué podría hacer un producto por ellas.

"Los proyectos y educadores que perduran son los dispuestos a reducir el ritmo y decir 'esto es lo que puede salir mal' antes de llegar a 'esto es lo que esto podría hacer por ti'", dijo Jones. Comparó una auditoría correctamente realizada con ese mismo principio expresado en código: un proyecto identifica dónde pueden existir debilidades en lugar de ocultarlas.

Jones dijo que las audiencias financieras han estado expuestas a suficientes afirmaciones promocionales para reconocer las garantías sin fundamento. En su opinión, mostrar primero la desventaja no es opcional; es el fundamento sobre el que se construye la confianza.

Monitorización continua y controles en tiempo real

Ankit Sarawagi, curador de CFO Matrix, señaló un protocolo DeFi emergente cuyo programa de seguridad se centra en la monitorización continua, la gestión proactiva de identidades y accesos y la observabilidad continua de APIs.

Sarawagi dijo que las marcas verdes de verificación son solo un punto de partida y que las políticas deben aplicarse en tiempo real. Al probar continuamente configuraciones y límites de identidad, un equipo puede detectar anomalías y errores de configuración antes de que se conviertan en incidentes. Este proceso continuo puede proporcionar a usuarios y socios evidencia de que los controles siguen funcionando según lo previsto.

Euler V2 responde a las lecciones del exploit

Lizaveta Piaskova, gerente de PR en Innowise, citó a Euler V2 como ejemplo de un protocolo reconstruido tras un exploit. Euler se lanzó en 2021, pero el V2 fue efectivamente reconstruido desde cero después de un incidente en 2023.

En marzo de 2023, el protocolo original perdió aproximadamente 197 millones de dólares a través de una función introducida en un parche anterior que a su vez había sido auditado. La falla era una verificación de salud de cuenta ausente en una ruta de donación y se volvió peligrosa en combinación con la lógica de liquidación. La revisión se había centrado en el cambio, pero el cambio rompió una invariante ubicada en otra parte del protocolo.

Para el relanzamiento del V2 en 2024, el equipo comprometió más de 4 millones de dólares en trabajo de seguridad. Ese programa incluyó 29 auditorías de 12 firmas, seguidas de una competencia pública con un premio de 1,25 millones de dólares. Más de 600 investigadores participaron y no se encontraron problemas de gravedad alta o media. Un programa de bug bounty se activó con el lanzamiento.

La arquitectura también cambió. El V2 divide el sistema en módulos separados, permitiendo que cada revisión cubra una superficie más reducida y facilitando la evaluación de cambios dentro de módulos individuales.

Piaskova dijo que la diferencia clave entre las dos versiones no era simplemente el número de auditores. El V2 fue diseñado para que la revisión cubriera todo el sistema y continuara después del lanzamiento. Una sola auditoría examina una instantánea del código dentro de un alcance definido. Las auditorías independientes, una competencia pública y un bug bounty permanente indican que un protocolo espera que se encuentren debilidades y está dispuesto a pagar a investigadores para identificarlas antes que los atacantes.

El enfoque también tiene límites. En noviembre de 2025, un gestor de fondos externo que supervisaba el dinero de Stream Finance divulgó una pérdida de aproximadamente 93 millones de dólares, mientras que unos 285 millones de dólares de exposición surgieron en protocolos de préstamos que incluyen Euler, Silo, Morpho y Gearbox. Ningún contrato de Euler fue explotado. El riesgo llegó a través de colaterales que los curadores de bóvedas habían elegido aceptar.

Para equipos nuevos, dijo Piaskova, la lección es evaluar los límites del sistema con la misma seriedad que el código. Eso incluye revisar cada actualización contra el sistema completo, realizar una competencia pública después de las auditorías pagadas, dimensionar el bounty según el valor en riesgo y tratar cada listado de colateral u oráculo como una decisión de seguridad.

Uniswap V4 apuesta por desafíos independientes

Uniswap V4 se lanzó el 31 de enero de 2025 tras encargar nueve auditorías de seguridad independientes de sus contratos centrales y de soporte a seis organizaciones de auditoría consolidadas.

Para identificar problemas que las revisiones iniciales pudieron pasar por alto, el proyecto también realizó una competencia de seguridad de 2,35 millones de dólares con más de 500 investigadores de seguridad. Lanzó un programa continuo de bug bounty que ofrece recompensas de hasta 15,5 millones de dólares por vulnerabilidades críticas.

Aaron Whittaker, ingeniero de IA y profesional de desarrollo web en Thrive Internet Marketing Agency, dijo que las recompensas significativas alientan a investigadores independientes a investigar debilidades recién descubiertas y reportarlas de forma responsable. Dijo que los usuarios quieren evidencia documentada de que especialistas externos examinaron los contratos en lugar de depender solo de afirmaciones de marketing.

Uniswap reportó que no se encontraron vulnerabilidades críticas en su competencia de seguridad ni en su programa de bug bounty antes del lanzamiento. Whittaker dijo que los protocolos de despliegue por etapas son importantes tanto en software empresarial como en sistemas on-chain. En los flujos de trabajo de Demand Gen DevOps de su empresa, las herramientas que apoyan operaciones de clientes pasan por auditorías de permisos y pruebas de integración antes del lanzamiento.

Mientras que los defectos de software en herramientas de marketing pueden causar tiempos de inactividad, las vulnerabilidades en contratos inteligentes pueden resultar en pérdidas financieras irreversibles, lo que exige estándares de seguridad más estrictos en DeFi. Whittaker dijo que los informes de auditoría publicados y los bug bounties continuos dan a los usuarios hallazgos de seguridad que pueden examinar antes de comprometer sus fondos.

Código ligero y pruebas en capas

Omer Malik, CEO de ORM Systems, describió las auditorías de seguridad como una importante señal de confianza porque los usuarios de DeFi colocan activos financieros reales en sistemas gobernados por contratos inteligentes. También citó a Morpho Midnight, cuyo programa de seguridad incluye revisiones independientes de código, verificación formal y pruebas continuas de vulnerabilidades.

El programa ha incluido revisiones de Spearbit, Trust Security, Blackthorn y StErMi, junto con una competencia pública de auditoría. Malik dijo que este enfoque en capas puede identificar debilidades que una sola evaluación podría pasar por alto.

También destacó el esfuerzo de Morpho por reducir la complejidad técnica. Morpho Midnight fue diseñado en torno a aproximadamente 1.100 líneas de código, haciendo que su sistema central sea más fácil de examinar y verificar. Morpho documenta un programa de bug bounty de 2,5 millones de dólares que cubre varios de sus protocolos.

Desde una perspectiva de tecnología empresarial y gestión de riesgos, Malik dijo que evaluaría un proyecto DeFi según tres criterios: informes de auditoría independientes, procedimientos transparentes de divulgación de vulnerabilidades y evidencia de que los problemas identificados han sido resueltos. Un certificado de auditoría por sí solo es insuficiente porque las vulnerabilidades pueden surgir mediante actualizaciones, integraciones o cambios en las condiciones operativas.

La publicación de hallazgos de auditoría y el mantenimiento de pruebas de seguridad continuas pueden reducir la incertidumbre para inversores, desarrolladores y usuarios, dijo Malik. Añadió que incluso los protocolos extensamente auditados conservan riesgos de contratos inteligentes, liquidez y operación.

Centrifuge conecta la seguridad con la gobernanza

Penny Sommerfeld, directora de RecruitBlock, identificó a Centrifuge como un ejemplo de negocio DeFi que coloca la seguridad y los estándares institucionales en el centro de su estrategia de crecimiento. El trabajo de la empresa conectando la gestión de activos tradicional con las finanzas descentralizadas está respaldado por auditorías de seguridad independientes, verificación formal y revisiones continuas del protocolo.

Sommerfeld dijo que la participación institucional requiere más que tecnología sólida. Las empresas también necesitan liderazgo experimentado en finanzas, riesgo, cumplimiento y gobernanza, junto con la capacidad de cumplir los estándares que los socios institucionales esperan.

Las auditorías proporcionan garantía técnica, pero la confianza duradera también depende de la responsabilidad, los controles efectivos y la calidad de las personas que los supervisan. En su opinión, las empresas que invierten tanto en seguridad como en liderazgo experimentado estarán mejor posicionadas para desarrollar relaciones institucionales sostenibles.

Kamino Finance utiliza salvaguardas continuas

Cédric Rose, fundador y administrador de propiedades de Management 305, dijo que sus más de 14 años gestionando operaciones de alto riesgo y plataformas de gestión integrada lo han llevado a evaluar ecosistemas tecnológicos mediante la gestión proactiva de riesgos.

Citó a Kamino Finance como un ejemplo DeFi emergente que coloca procedimientos de auditoría estrictos y monitorización de riesgos en tiempo real en el centro de sus bóvedas automatizadas. Según Rose, el proyecto somete continuamente sus contratos inteligentes a auditorías independientes de terceros y mantiene programas activos de bug bounty antes de escalar la liquidez.

Rose comparó el enfoque con el mantenimiento preventivo y la evaluación de proveedores utilizados para proteger activos físicos de alto valor. Dijo que la supervisión transparente puede reemplazar la incertidumbre con fiabilidad verificable, permitiendo a los usuarios ver que se mantienen salvaguardas activas en torno a su capital.

Verificación formal y credibilidad a largo plazo

Sudhanshu Dubey, gerente de entregas y arquitecto de soluciones empresariales en Errna, dijo que las auditorías de seguridad conectan la transparencia de blockchain con la necesidad práctica de seguridad financiera. Con base en dos décadas de experiencia diseñando sistemas distribuidos de nivel empresarial, Dubey dijo que la idea de que "el código es la ley" se convierte en una responsabilidad en lugar de un beneficio a menos que el código se pruebe de forma rigurosa y adversaria.

En su opinión, los proyectos DeFi que ganen confianza a largo plazo tratarán la seguridad como un requisito arquitectónico continuo en lugar de una obligación única. Identificó la verificación formal y los procesos de seguridad continuos como características distintivas de los proyectos que buscan demostrar viabilidad a largo plazo.

En lugar de depender de una única instantánea de auditoría, la verificación formal utiliza pruebas matemáticas para evaluar si los contratos inteligentes se comportarán correctamente bajo condiciones especificadas. Dubey dijo que los protocolos de alta confianza publican proactivamente su historial completo de auditorías, incluidos los hallazgos críticos y de gravedad alta de las revisiones iniciales. Ese nivel de divulgación indica que un equipo está enfocado en corregir defectos en lugar de obtener una insignia de marketing.

El tema es especialmente relevante para los proyectos DeFi de activos del mundo real (RWA) e institucionales, ya que pueden estar involucrados capital tradicional y requisitos de cumplimiento. Dubey dijo que los sistemas descentralizados no tienen función de deshacer: una vulnerabilidad en un pool de liquidez o un puente cross-chain puede permitir el robo de fondos antes de que un equipo desarrolle una respuesta.

Añadió que los proyectos no deberían simplemente afirmar que no pueden ser hackeados. Deberían demostrar la capacidad de responder con inteligencia cuando aparecen vulnerabilidades. En su opinión, la participación de nivel empresarial requiere auditorías de múltiples empresas y un programa de bug bounty efectivo. Para los lectores que evalúen cualquier protocolo, las señales recurrentes en estos ejemplos son concretas: historiales de auditoría publicados, evidencia de que los hallazgos fueron abordados, bounties dimensionados según el valor en riesgo, y listados de colateral y oráculos tratados como decisiones de seguridad por derecho propio.