Cómo 11 auditorías no pudieron detener el hackeo de 128 millones de dólares a Balancer redefiniendo los riesgos de DeFi

Durante años, Balancer se mantuvo como una de las instituciones más confiables de DeFi, un protocolo que había sobrevivido a varios mercados bajistas, auditorías e integraciones sin escándalos.

Sin embargo, esa credibilidad se derrumbó el 3 de noviembre, cuando la firma de seguridad blockchain PeckShield informó que Balancer y varias de sus bifurcaciones estaban bajo un ataque activo que se extendía a través de múltiples cadenas.

En cuestión de horas, más de $128 millones desaparecieron, dejando un rastro de pools drenados, protocolos congelados e inversores conmocionados.

Los datos de PeckShield mostraron que el protocolo de la plataforma en Ethereum sufrió las pérdidas más graves, de aproximadamente $100 millones. Berachain siguió con $12.9 millones, mientras que Arbitrum, Base y bifurcaciones más pequeñas como Sonic, Optimism y Polygon registraron robos menores pero aún significativos.

A medida que se desarrollaba el drenaje, Balancer reconoció un "posible exploit que afecta a los pools de Balancer v2", afirmando que sus equipos de ingeniería y seguridad estaban investigando el problema con alta prioridad.

Sin embargo, este reconocimiento hizo poco para frenar los retiros en integradores y bifurcaciones.

Al final del día, los datos de DeFiLlama mostraron que el valor total bloqueado (TVL) de Balancer había disminuido un 46% hasta aproximadamente $422 millones desde $770 millones al momento de la publicación.

¿Qué sucedió?

Los análisis forenses preliminares de la firma de seguridad blockchain Phalcon indicaron que el atacante se dirigió a los Balancer Pool Tokens (BPT), que representan las participaciones de los usuarios en los pools de liquidez.

Según la firma, la vulnerabilidad surgió de cómo Balancer calculaba los precios de los pools durante los intercambios por lotes. Al manipular esa lógica, el explotador distorsionó el feed de precios interno, creando un desequilibrio artificial que les permitió retirar tokens antes de que el sistema se corrigiera.

El analista de criptomonedas Adi escribió:

Mientras tanto, la arquitectura de bóveda componible de Balancer, que ha sido elogiada durante mucho tiempo por su flexibilidad, amplificó el daño. Debido a que las bóvedas podían referenciarse entre sí dinámicamente, la distorsión se propagó a través de pools interconectados.

Curiosamente, Conor Grogan de Coinbase señaló que el enfoque del atacante sugería una sofisticación profesional.

Grogan observó que la dirección del atacante fue inicialmente financiada con 100 ETH de Tornado Cash, lo que implica que los fondos probablemente se originaron en exploits anteriores.

"La gente normalmente no estaciona 100 ETH en Tornado Cash por diversión", escribió, sugiriendo que el patrón de transacción reflejaba un hacker experimentado y previamente activo.

Colapso de confianza en DeFi

Si bien el exploit en sí fue técnico, su impacto fue psicológico.

Balancer había sido considerado durante mucho tiempo como un lugar conservador para los proveedores de liquidez, un lugar para estacionar activos y obtener un rendimiento modesto y constante. Su longevidad, auditorías e integraciones en las principales plataformas DeFi fomentaron la ilusión de que la resistencia equivalía a seguridad. La brecha del 3 de noviembre destruyó esa narrativa de la noche a la mañana.

Lefteris Karapetsas, fundador de la plataforma cripto Rotki, lo llamó "un colapso de confianza" y no solo un hackeo de la plataforma DeFi.

Denunció el hecho de que:

Esa reacción captó el sentimiento más amplio. En un mercado que valora la autocustodia y el código verificable, la confianza había reemplazado silenciosamente a la fe como base oculta de DeFi.

El fracaso de Balancer mostró que incluso los sistemas matemáticamente sólidos son vulnerables a la complejidad imprevista.

Robdog, el desarrollador seudónimo de Cork Protocol, dijo:

Implicaciones para DeFi

El exploit de Balancer golpeó en un punto delicado para las finanzas descentralizadas, rompiendo un breve período de calma. En octubre, las pérdidas totales por hackeos cayeron a un mínimo anual de solo $18 millones, según PeckShield.

Sin embargo, con un solo incidente en noviembre, la cifra ya ha superado los $120 millones, convirtiéndolo en el tercer peor mes para las brechas de DeFi en 2025.

Mientras tanto, este ataque destaca una paradoja fundamental en el corazón de DeFi: la componibilidad, la característica que permite a los protocolos conectarse y construirse unos sobre otros, también amplifica el riesgo sistémico.

Cuando un protocolo central como Balancer se rompe, el impacto se propaga instantáneamente a través de las redes que dependen de él.

En Berachain, los validadores pausaron la producción de bloques para prevenir el contagio. Otros protocolos siguieron con suspensiones temporales de funciones de préstamo y puente.

Estas reacciones rápidas limitaron las pérdidas, pero también subrayaron una verdad más amplia que muestra que DeFi opera sin los mecanismos de coordinación que estabilizan las finanzas tradicionales.

En este espacio, no hay reguladores, bancos centrales o respaldos obligatorios. En cambio, la gestión de crisis depende en gran medida de desarrolladores y auditores trabajando en conjunto, a menudo en cuestión de minutos, para contener las consecuencias.

Considerando esto, Robdog dijo:

Más allá de la pérdida técnica inmediata, el daño a la confianza puede ser más difícil de reparar.

Cada exploit importante erosiona la confianza en la promesa de DeFi de código autorregulado. Para los inversores institucionales que consideran la exposición a la industria, los fallos repetidos señalan que los mercados descentralizados siguen siendo experimentales.

Karapetsas señaló:

Esa percepción ya está dando forma a las políticas en las principales economías a nivel mundial.

Suhail Kakar, un destacado desarrollador web3, destacó una realidad aleccionadora tras el exploit de Balancer: incluso múltiples auditorías de seguridad de alto perfil no pueden garantizar la seguridad en DeFi.

Como señaló, Balancer se sometió a más de diez auditorías, con su contrato de bóveda central revisado por varias firmas independientes; sin embargo, el protocolo aún sufrió una brecha importante.

El punto de Kakar destaca un sentimiento creciente en la industria de que "auditado por X" ya no es una marca de infalibilidad; más bien, refleja la complejidad inherente y la imprevisibilidad de los sistemas descentralizados donde incluso el código bien probado puede albergar vulnerabilidades no vistas.

Las autoridades en los Estados Unidos están desarrollando marcos que introducirían regulaciones en los protocolos DeFi. Los observadores de la industria esperan que el exploit de Balancer acelere estos esfuerzos, mientras los legisladores lidian con el creciente riesgo de la continua integración entre las criptomonedas y la industria financiera tradicional.

The post How 11 audits couldn't stop Balancer's $128 million hack redefining DeFi risks appeared first on CryptoSlate.