¿Cómo ocurre un ataque de "préstamo relámpago"? La verdad detrás de las tres principales mecanismos que permiten a los hackers llevarlo a cabo

En el rápido desarrollo de DeFi, los ataques de préstamos relámpago se han convertido en una amenaza de seguridad cada vez más grave. Desde el primer incidente en 2020, los hackers han robado activos por valor de millones de dólares mediante este método de ataque. Para entender por qué los ataques de préstamos relámpago son tan frecuentes y difíciles de prevenir, primero es necesario comprender en profundidad el mecanismo de funcionamiento de los préstamos relámpago y cómo los atacantes aprovechan los puntos débiles en el ecosistema DeFi para llevar a cabo estos ataques coordinados y entre protocolos.

De préstamos sin garantía a amenazas en DeFi—la doble cara de los préstamos relámpago

Los préstamos relámpago son una innovación financiera lanzada inicialmente por Aave a principios de 2020. A diferencia de los préstamos tradicionales que requieren colateral y procesos de verificación de crédito complicados, los préstamos relámpago tienen tres características principales, que a su vez también ofrecen oportunidades para los atacantes.

Primero, son préstamos completamente sin garantía. El prestatario puede obtener millones de dólares en préstamo instantáneamente sin proporcionar ningún activo como colateral ni pasar por una revisión de crédito. En segundo lugar, todas las transacciones se ejecutan automáticamente mediante contratos inteligentes en la cadena de bloques. El acuerdo de préstamo establece que si el prestatario no puede devolver los fondos en una sola transacción de bloque, toda la operación de préstamo será revertida por completo, como si nunca hubiera ocurrido. Este mecanismo elimina el riesgo para el prestamista—independientemente de si el prestatario logra devolver o no, el sistema asegurará automáticamente la seguridad de los fondos. En tercer lugar, todo el proceso es extremadamente rápido. Desde la aprobación del préstamo hasta la devolución de los fondos, generalmente solo toma unos segundos, y todo debe completarse en el mismo bloque.

Gracias a estos diseños, los préstamos relámpago se han popularizado rápidamente en DeFi. Crean nuevas oportunidades de arbitraje para los usuarios, hacen posible ejecutar transacciones complejas y ofrecen muchas funciones innovadoras que no son posibles en las finanzas tradicionales. Por ejemplo, los usuarios que poseen activos volátiles pueden aprovechar los préstamos relámpago para intercambiar colaterales temporalmente y evitar riesgos de liquidación; o los prestatarios pueden cambiar la moneda de préstamo mediante préstamos relámpago para evitar costos derivados de la subida de tasas de interés.

Sin embargo, cuando aparecen préstamos ilimitados sin garantía, sin verificación de crédito y sin riesgo, los participantes malintencionados ven una oportunidad. Comienzan a aprovechar la dependencia de los protocolos DeFi en la información de precios, planificando una serie de manipulaciones coordinadas, completando en un solo bloque todo el proceso desde el préstamo, la obtención de beneficios y el pago. Esa es la esencia de los ataques de préstamos relámpago.

Análisis de detalles de ataques—dos casos clave de ataques de préstamos relámpago

Para entender cómo logran los ataques de préstamos relámpago, es necesario partir de casos concretos.

El ataque de Fulcrum y Uniswap en 2020

El primer ataque ampliamente conocido ocurrió en 2020. El atacante obtuvo un gran préstamo en ETH mediante un préstamo en DeFi en dYdX, y luego dividió ese monto en varias partes, enviándolas a diferentes plataformas de préstamos y transacciones. Este paso fue crucial—el objetivo del atacante era crear una reacción en cadena entre varios protocolos DeFi.

En la plataforma de préstamos Fulcrum, el atacante primero abrió una posición en corto de ETH contra WBTC. Al mismo tiempo, obtuvo un préstamo adicional de WBTC en otro protocolo DeFi, Compound. Luego, realizó una orden de compra masiva de WBTC en Uniswap, un exchange descentralizado con menor liquidez.

Debido a la liquidez limitada de WBTC en Uniswap, esta orden de gran volumen elevó inmediatamente el precio de WBTC. Para ejecutar la orden, Fulcrum se vio obligado a comprar WBTC a un precio mucho más alto que el normal del mercado. Mientras tanto, la posición en corto del atacante sufrió pérdidas enormes a medida que el precio de WBTC subía, pero los activos en WBTC que poseía en Compound aumentaron significativamente de valor.

En un solo bloque, el atacante completó todo el ciclo: devolvió el préstamo en ETH en dYdX y obtuvo beneficios de cientos de miles de dólares en la operación de arbitraje. Los usuarios de Fulcrum y Uniswap sufrieron pérdidas, y Fulcrum pagó un precio alto por el precio inflado de WBTC, perdiendo millones de dólares directamente.

El ataque al protocolo bZX y la manipulación del precio de stablecoins

Otro ataque de préstamos relámpago involucró a Fulcrum basado en el protocolo bZX. Este ataque reveló las vulnerabilidades en los contratos inteligentes respecto a la información de precios.

El atacante nuevamente tomó un gran préstamo en ETH mediante un préstamo relámpago, y luego realizó una orden en un exchange descentralizado, Kyber, para comprar sUSD, una stablecoin vinculada al dólar. Originalmente, sUSD debería mantenerse cerca de 1 dólar, pero los contratos inteligentes solo reconocen la información de transacciones y precios, sin entender la lógica económica de que las stablecoins deben mantener un precio estable.

La orden masiva impulsó el precio de sUSD a 2 dólares. El oráculo del sistema detectó este “nuevo” precio, y con base en ese precio inflado, el atacante pudo tomar préstamos en ETH por un monto mayor al anterior. Tras completar el préstamo con el precio falso alto, el atacante devolvió el primer préstamo y se quedó con la diferencia de ganancia.

Estos dos ataques muestran un patrón común: los atacantes aprovechan la dependencia de los protocolos DeFi en la información de precios en la cadena, manipulando los precios en exchanges con baja liquidez mediante transacciones de gran volumen, y usando esa información falsa para engañar a los protocolos de préstamo y otras plataformas, completando en un solo bloque la obtención de beneficios y el pago.

Guía práctica de defensa—cómo enfrentar los ataques de préstamos relámpago

A medida que los ataques de préstamos relámpago se vuelven frecuentes, los protocolos DeFi y los expertos en seguridad han desarrollado estrategias de defensa en múltiples capas.

Oráculos descentralizados—confirmación de precios desde múltiples fuentes

La solución de defensa más directa es usar oráculos descentralizados para obtener los precios de los activos. A diferencia de depender de una sola fuente de información en la cadena, los oráculos descentralizados recopilan datos de múltiples fuentes independientes para determinar el “precio real”. Este proceso asegura que, incluso si un exchange manipula su precio, otras fuentes proporcionarán precios normales que contrarrestarán la información falsa.

Además, muchos oráculos descentralizados añaden capas adicionales de validación. Los datos se registran en la cadena, lo que significa que si alguien intenta manipular el precio mediante información falsa, la transacción será revertida durante la confirmación en bloques, extendiendo la ventana de protección más allá de un solo bloque y dificultando el ataque.

Precio promedio ponderado en el tiempo (TWAP)—promedio entre bloques

Otra estrategia efectiva es usar el precio promedio ponderado en el tiempo (TWAP). En lugar de tomar el precio en un momento específico, se calcula el promedio de los precios en varios bloques pasados o se toma la mediana durante ese período.

La ventaja del TWAP es que los ataques relámpago son operaciones atómicas que deben completarse en un solo bloque. Para manipular el TWAP, el atacante tendría que controlar los precios en varios bloques consecutivos, lo cual es prácticamente imposible en una blockchain descentralizada. Por ello, los protocolos DeFi que usan TWAP reducen significativamente las probabilidades de éxito de los ataques relámpago.

Actualizaciones frecuentes de precios y estrategias de múltiples bloques

Algunos protocolos adoptan medidas más activas, como aumentar la frecuencia con la que los oráculos consultan nuevos precios. Las actualizaciones frecuentes permiten detectar rápidamente movimientos de precios falsos. Además, otros implementan estrategias de “confirmación en doble bloque”, requiriendo que las transacciones se ejecuten en dos bloques separados en lugar de uno solo, extendiendo la ventana de operación del atacante y brindando más tiempo para detectar comportamientos anómalos. Sin embargo, estas técnicas también aumentan la complejidad y pueden afectar la experiencia del usuario.

Sistemas de detección de amenazas en tiempo real

Por último, algunas plataformas DeFi y empresas de seguridad han desarrollado herramientas de detección de ataques relámpago que identifican comportamientos sospechosos en tiempo real y toman medidas inmediatas. Debido a la variedad y evolución constante de estos ataques, la efectividad de estas herramientas aún requiere validación mediante casos prácticos.

Perspectivas futuras de DeFi—los ataques de préstamos relámpago dejarán de ser una amenaza

El ecosistema DeFi todavía está en una fase de rápida innovación. Con cada incidente de préstamo relámpago, el sistema evoluciona y surgen nuevas capas de defensa. Los atacantes seguirán buscando vulnerabilidades, pero las tecnologías de protección también se fortalecen continuamente.

Oráculos descentralizados, estrategias TWAP, actualizaciones frecuentes de precios y otras medidas ya han demostrado ser efectivas, y cada vez más protocolos las adoptan como estándar. A medida que los estándares de seguridad en la industria mejoran, el riesgo de los ataques de préstamos relámpago como amenaza sistémica disminuirá significativamente.

No obstante, lo más importante es que la comunidad DeFi debe construir una conciencia colectiva de seguridad. Los desarrolladores deben priorizar la seguridad en el diseño de nuevos protocolos, las auditorías deben profundizar en la revisión de vulnerabilidades en los mecanismos de precios, y los usuarios deben ser más cautelosos al elegir plataformas DeFi bien verificadas. Cuando todos los participantes consideren la protección contra los ataques relámpago como una responsabilidad esencial, la amenaza de estos ataques podrá ser eliminada de raíz.

En un proceso de evolución constante, la herramienta de innovación que es el préstamo relámpago en sí no es el problema. La cuestión radica en cómo ofrecer conveniencia, innovación y oportunidades de arbitraje mientras se establecen mecanismos de protección robustos. Cuando se logre ese equilibrio, DeFi será un ecosistema financiero más seguro y maduro.