El debate sobre la seguridad en DeFi se intensifica tras un repunte de hacks en abril: ¿Es todo inseguro o una nueva fase de adaptación?

Las declaraciones de un fundador de OpenZeppelin sobre la creciente amenaza de la IA en las vulnerabilidades de contratos inteligentes dividen a la comunidad cripto entre el abandono y la defensa continua.

Madrid, 2026. La afirmación del fundador de OpenZeppelin, Manuel Aráoz, de que «todo DeFi es inseguro» ha provocado un intenso debate en la comunidad cripto, impulsado por la creciente capacidad de la inteligencia artificial (IA) para identificar vulnerabilidades en contratos inteligentes. Esta polémica surge tras un incremento de incidentes de seguridad en DeFi durante abril, que contribuyó a las mayores pérdidas mensuales en criptomonedas desde febrero de 2025. Mientras algunos expertos señalan a la IA como un factor agravante, otros defienden que el problema no está en la tecnología en sí, sino en la necesidad de adoptar medidas de seguridad continuas y proactivas.

«Todo DeFi es inseguro»: La advertencia de Manuel Aráoz

Manuel Aráoz, fundador de OpenZeppelin, la empresa líder en seguridad de contratos inteligentes, publicó en X (antes Twitter) que considera que «todo DeFi es inseguro». Su principal argumento es la creciente capacidad de los agentes de IA para identificar y explotar vulnerabilidades en el código de los contratos inteligentes. La declaración se produce tras un aumento significativo de ataques en el ecosistema DeFi durante el mes de abril.

División en la comunidad: ¿Vulnerabilidad fundamental o falta de adaptación?

El «doble riesgo» de la IA según SlowMist

Yu Xian, fundador de SlowMist, una destacada firma de seguridad blockchain, respondió a Aráoz destacando una «amenaza dual» de la IA. Esta amenaza incluye a atacantes externos (black-hat hackers) que utilizan herramientas de IA y a grupos organizados con habilidades de ingeniería social. Yu Xian instó a los equipos de proyectos DeFi a adoptar «urgentemente» herramientas avanzadas de IA para detectar riesgos en código en vivo y procesos de DevOps, y a realizar revisiones periódicas de vectores de ataque on-chain y off-chain.

«Los equipos de DeFi deben ser más diligentes y despiadados que los black hats», argumentó Yu Xian, señalando que las capacidades de ataque automatizado siguen evolucionando.

La visión de Cyvers: Un problema de superficie de ataque, no de abandono

Meir Dolev, cofundador y director de tecnología de Cyvers, advierte que la evidencia forense pública de que la IA ejecuta directamente estos ataques es aún limitada. «Lo que está verificado es la tendencia general», declaró Dolev, señalando informes de Chainalysis y el FBI sobre estafas cripto habilitadas por IA.

Dolev sostiene que DeFi es «excepcionalmente vulnerable» debido a que su código es público, los fondos se mueven al instante, los contratos son componibles y los atacantes «solo necesitan un error para tener éxito». Las áreas más expuestas son: lógica de contratos inteligentes, claves de administrador, DevOps, front-ends, flujos de firmantes e ingeniería social. «La IA hace que cada una de estas superficies de ataque sea más fácil de sondear y escalar», afirmó el ejecutivo.

Más allá de la IA: Las debilidades estructurales de DeFi

Aunque se vincula el repunte de ataques a la IA, sigue siendo difícil probar que la IA ejecute directamente los exploits. El pico de pérdidas en abril fue el más alto desde febrero de 2025, y algunos analistas lo asocian al auge de la «IA agente» (agentic AI). Este contexto contrasta la postura de «abandono» con la necesidad de una adaptación defensiva.

«DeFi sigue siendo reparable»: La necesidad de una seguridad continua

Medidas concretas para blindar los protocolos

Meir Dolev (Cyvers) afirma que abandonar DeFi no es una respuesta práctica. Propone un cambio de paradigma: pasar de auditorías periódicas a una seguridad en tiempo real y continua. Las medidas recomendadas por Dolev incluyen:

• Revisión de código asistida por IA.
• Ejercicios regulares de «red team».
• Fortalecimiento de DevOps.
• Gestión de claves más robusta.
• Simulación de transacciones en tiempo real.
• Puntuación de riesgos previa a la firma.

«DeFi sigue siendo reparable, pero solo si la seguridad se convierte en un control de capa de ejecución siempre activo, no en una casilla de verificación previa al lanzamiento», concluyó Dolev.

Datos clave: Abril de 2026 registró las mayores pérdidas mensuales en criptomonedas desde febrero de 2025. La afirmación de Manuel Aráoz se hizo pública el martes a través de la red social X. Como ejemplo de la tendencia de ataques recientes, se menciona un exploit relacionado con Squid y Safe Labs que provocó una pérdida de 3,2 millones de dólares.