El año pasado, DeFi fue hackeado por un total de 649 millones, ¿por qué a16z pide abandonar el principio de "el código es la ley"?

La industria DeFi enfrenta una realidad incómoda: cada vez más vulnerabilidades son explotadas por hackers. Según el informe de Slowmist, en 2025, las pérdidas por fallos de código en protocolos DeFi superaron los 649 millones de dólares, incluso proyectos veteranos como Balancer, que han operado de manera estable desde 2021, sufrieron en noviembre de 2025 una pérdida de 128 millones de dólares. En este contexto, Daejun Park, investigador senior de seguridad de a16z Crypto, publicó recientemente un artículo en el que hace un llamado a la industria para realizar un cambio de paradigma: pasar de “el código es la ley” a “las normas son la ley”, mediante la estandarización de normas de seguridad para hacer frente a amenazas cada vez más complejas.

Problemas profundos de la crisis de seguridad

La filosofía de “el código es la ley” en DeFi fue en su momento su principal ventaja competitiva, enfatizando la descentralización total y la transparencia del código. Pero las debilidades de este enfoque se han ido haciendo cada vez más evidentes: el código en sí puede tener vulnerabilidades, y estas suelen descubrirse solo después de su despliegue. Según las preocupaciones de los desarrolladores, los hackers utilizan cada vez más herramientas de IA para buscar estas vulnerabilidades, lo que hace que los métodos tradicionales de auditoría de seguridad sean insuficientes.

Los datos muestran que la magnitud del problema no es menor. Las pérdidas anuales de 649 millones de dólares implican que cada protocolo atacado enfrenta riesgos enormes. El caso de Balancer ilustra aún más que, incluso con código probado durante años, todavía puede haber vulnerabilidades pasadas por alto.

La propuesta de a16z

La solución propuesta por Daejun Park es relativamente concreta: mediante verificaciones de invariantes (invariant checks) para codificar de forma rígida las garantías de seguridad. En pocas palabras, definir en los contratos inteligentes reglas inalterables de antemano, de modo que cuando se disparen durante la ejecución de una transacción, el sistema revierta automáticamente esa transacción.

Las ventajas de esta propuesta son:

• Permite protección en tiempo real durante la ejecución, en lugar de depender solo de auditorías posteriores
• La mayoría de las vulnerabilidades conocidas en DeFi activarían estas verificaciones
• Comparado con reescribir completamente el código, su implementación tiene costos relativamente bajos

Park señala que este método podría detener a los hackers en el momento exacto del ataque, cambiando fundamentalmente la lógica de protección de seguridad en DeFi.

Desafíos prácticos

Sin embargo, la industria no acepta esta propuesta de manera unánime. Según las últimas noticias, el responsable de seguridad de Immunefi señaló dos problemas prácticos: primero, que las verificaciones de invariantes aumentan el coste en gas de las transacciones, lo que podría provocar pérdida de usuarios; y segundo, que esta solución no es una panacea.

El cofundador de Asymmetric Research planteó dudas desde un punto de vista técnico: la complejidad de muchas vulnerabilidades hace difícil diseñar reglas de invariantes que sean efectivas para detectar ataques sin generar falsos positivos. En otras palabras, el diseño mismo de las reglas es un reto.

Intentos existentes

Cabe destacar que esta idea no es completamente nueva. Según información relacionada, proyectos como Kamino y XRP Ledger ya están adoptando verificaciones de invariantes. Esto demuestra que, aunque hay desafíos, ya hay pioneros explorando esta vía.

Resumen

La llamada de a16z refleja un cambio importante en la industria DeFi: pasar de una búsqueda absoluta de descentralización y “el código es la ley” a un enfoque de seguridad controlada mediante “las normas son la ley”. Frente a las pérdidas anuales de 649 millones de dólares, este cambio resulta necesario y urgente.

No obstante, la implementación de esta solución no será sencilla. Los costos en gas, la complejidad del diseño de reglas y otros problemas prácticos aún deben resolverse. Una cuestión más profunda es si la industria DeFi está preparada para hacer un balance entre seguridad y descentralización. Este podría ser el tema central en las discusiones que vendrán en los próximos tiempos.