La IA acaba de abaratar el ataque en DeFi
Durante mucho tiempo, la DeFi vendió una idea cómoda.
Si el código estaba auditado, el riesgo estaba bajo control. Si había bounty, monitoreo y un equipo técnico respetado, se podía dormir.
Esa cuenta nunca fue perfecta.
Ahora quedó peor.
El 26 de mayo de 2026, Manuel Aráoz, cofundador y CEO de OpenZeppelin, escribió en X que pasó a tratar toda la DeFi como insegura porque los agentes de código se volvieron superhumanos para cazar vulnerabilidades. La frase llamó la atención por el tono. Lo que realmente importa es el mecanismo detrás.
El costo de buscar fallas está cayendo.
Cuando ese costo cae, el problema deja de ser solo tecnológico. Se vuelve económico. Y la DeFi todavía no parece estar incorporándolo bien al precio del riesgo.
el atacante se volvió más rápido sin necesitar ser genial
Mucha gente oye "IA" e imagina a un invasor apretando un botón y recibiendo un exploit listo en la pantalla.
No hace falta que sea así para que la situación ya haya empeorado.
Basta con que la IA acelere el trabajo aburrido. Revisar contratos, comparar versiones, mapear dependencias, probar combinaciones de llamadas, buscar patrones conocidos de error, sugerir caminos improbables. Todo eso consume horas cuando lo hacen personas. Todo eso se vuelve más barato cuando parte de la triage se automatiza.
El efecto práctico es simple.
El atacante ya no necesita ser un genio raro para aumentar productividad. Necesita una buena herramienta, contexto razonable y tiempo suficiente para insistir.
En DeFi, insistir suele pagar.
la asimetría siempre existió. la IA solo apretó el tornillo
La seguridad de smart contracts siempre fue un juego cruel.
Quien defiende necesita acertar en toda la superficie relevante: contrato principal, integraciones, adapters, bridges, oráculos, gobernanza, permisos y upgrades. Quien ataca necesita encontrar un camino que funcione una vez.
Esa diferencia no nació con los modelos de IA.
Pero la IA empeora el lado que ya era malo. No elimina la necesidad de creatividad del atacante, pero comprime la fase de búsqueda. Y, en un mercado en el que buena parte del capital circula por composiciones cada vez más densas, reducir el tiempo de reconocimiento ya es medio camino.
Eso fue lo que el post de Aráoz puso en palabras más duras.
el dinero perdido muestra que el sector sigue lejos de la zona segura
La alerta sería solo retórica si llegara en un mercado limpio.
No es el caso.
Datos seguidos por DefiLlama indicaban más de US$ 1.100 millones perdidos en hacks de DeFi en los 365 días anteriores. El 18 de abril, Kelp DAO sufrió un ataque de cerca de US$ 292 millones. Un solo evento así borra meses de yield, destruye confianza y reabre la discusión sobre riesgo operativo en todo el sector.
Esto importa porque mucha tesis de DeFi sigue vendida como spread, eficiencia o innovación de producto.
Pero, antes de discutir spread, hay que discutir supervivencia.
una buena auditoría sigue valiendo. solo no vale tanto como antes
Sería exagerado concluir que la auditoría perdió utilidad.
No la perdió.
La auditoría sigue siendo un filtro básico. Monitoreo onchain, bug bounty, segregación de funciones, límites de exposición y circuit breakers también siguen valiendo.
El problema es otro.
Buena parte del stack de defensa fue montada para un atacante más lento, más caro y más escaso. Cuando la búsqueda de vulnerabilidades se vuelve más barata, el premio por complejidad cae. Protocolos con arquitectura elegante en el slide, pero superficie enorme en el código, pasan a cargar un pasivo mayor.
Ahí el mercado empieza a separar mejor una cosa de la otra.
Producto sofisticado no es lo mismo que producto robusto.
la próxima disputa de defi puede ser simplicidad
Sospecho que la consecuencia más subestimada de esta fase será estética y financiera al mismo tiempo.
Protocolos simples, con menos dependencias y menos magia de ingeniería, pueden volver a parecer atractivos. No porque la innovación importe menos, sino porque cada nueva capa de composición ahora necesita justificar un costo de ataque potencialmente más bajo del otro lado.
Eso cambia la forma de mirar valuation, prima de riesgo y confianza en tesis de yield.
Si el invasor puede investigar más rápido de lo que el protocolo puede endurecer la base, parte del retorno prometido se vuelve ilusión contable.
el mensaje para el inversor es bastante menos cómodo de lo que parece
Al mercado le encanta usar IA como sinónimo de productividad.
En DeFi, también puede convertirse en multiplicador de presión.
Presión sobre equipos chicos. Presión sobre protocolos que crecieron por integración en serie. Presión sobre usuarios que tratan una auditoría antigua como escudo eterno. Presión sobre tesis de renta que ignoran el riesgo de cola en el código.
Nada de eso significa que DeFi murió.
Significa otra cosa.
El sector entró en una fase en la que buscar fallas cuesta menos, mientras defender un sistema sigue siendo caro, lento e imperfecto. Cuando esa diferencia aumenta, el capital debería volverse más selectivo.
La pregunta ya no es solo dónde está el mejor yield.
Es dónde el código todavía merece confianza cuando el atacante dejó de trabajar solo.
