Los protocolos de préstamos de finanzas descentralizadas automatizan el crédito mediante contratos inteligentes, permitiendo a los usuarios depositar garantías y acceder a liquidez sin intermediarios tradicionales. Pero esta eficiencia depende de contar con información de precios confiable. Los atacantes pueden explotar debilidades en los sistemas de valoración y convertir distorsiones temporales del mercado en deuda incobrable permanente.
El problema central no necesariamente implica que un oráculo haya sido hackeado. Un oráculo puede funcionar correctamente mientras informa un precio proveniente de un mercado que un atacante manipuló deliberadamente. Si un protocolo de préstamos depende de un pool con poca liquidez o de una ventana de precios demasiado estrecha, una operación relativamente grande puede modificar temporalmente el valor reconocido por el contrato inteligente.
Cómo Los Ataques De Manipulación De Precios Explotan Los Préstamos DeFi
Consideremos un token que cotiza a $10. Si un atacante eleva su precio observable hasta $50, un protocolo de préstamos puede considerar que la misma garantía vale cinco veces más. El atacante puede entonces pedir prestados activos líquidos como stablecoins, ETH o BTC utilizando esa posición inflada.
Cuando termina la manipulación, el token puede regresar hacia su precio anterior. Los activos prestados ya salieron del pool de préstamos, mientras que la garantía ya no alcanza para cubrir la deuda. El déficit resultante se convierte en deuda incobrable para los prestamistas o para la tesorería del protocolo.
Los activos con poca liquidez generan condiciones especialmente atractivas. Los mercados profundos requieren un capital considerable para mover los precios, mientras que los pools pequeños de exchanges descentralizados pueden reaccionar fuertemente ante operaciones menores. Esto crea una diferencia importante entre capitalización de mercado y liquidez disponible. Un token puede mostrar una valoración elevada y, aun así, carecer de suficiente profundidad para respaldar grandes préstamos de forma segura.
Inverse Finance demostró este riesgo en abril de 2022. Su mercado monetario Anchor sufrió una manipulación del oráculo relacionada con INV y un mercado INV/WETH en SushiSwap. Inverse informó que aproximadamente $15,6 millones en DOLA, ETH, WBTC y YFI fueron prestados utilizando garantías INV infladas.
Los préstamos flash pueden aumentar la escala de estas operaciones. Proporcionan capital temporal que generalmente debe devolverse dentro de la misma transacción, permitiendo a los atacantes combinar operaciones de mercado, depósitos de garantías y préstamos de forma atómica. Sin embargo, el préstamo flash normalmente no constituye la vulnerabilidad fundamental. Si los mecanismos de precios y controles de riesgo son sólidos, el acceso temporal a capital no genera automáticamente una explotación.
Por Qué El Diseño Del Oráculo Y Los Controles De Liquidez Importan
Los protocolos DeFi consideran cada vez más la arquitectura de los oráculos como parte de su modelo de seguridad. Utilizar múltiples mercados, períodos de promediación más largos y fuentes independientes puede encarecer la manipulación. Sin embargo, los precios promedio ponderados por tiempo no son automáticamente seguros si el mercado subyacente tiene muy poca liquidez o el diseño de muestreo presenta debilidades.
Los parámetros de riesgo ofrecen otra defensa. Los protocolos pueden establecer ratios préstamo-valor más bajos, límites de suministro y techos de deuda para garantías volátiles o poco líquidas. Los mecanismos de emergencia también pueden restringir los préstamos cuando los precios se mueven de manera inusual o cuando distintas fuentes muestran grandes divergencias.
Estas protecciones no debilitan la propuesta central de DeFi. Por el contrario, pueden preservar los préstamos permissionless mientras dificultan la ejecución de ataques económicos.
El incidente de Mango Markets en 2022 ofreció otro ejemplo de cómo los precios manipulados pueden aumentar la capacidad de endeudamiento. El episodio involucró mercados de MNGO y aproximadamente $110 millones en activos cripto retirados de la plataforma. La lección técnica sigue siendo relevante: los límites de préstamo deben reflejar la liquidez que respalda los precios de las garantías y no solamente su valoración mostrada.
