¿Hará más seguro a Ethereum el fondo de 220 millones de dólares de TheDAO?

En mi artículo anterior, analicé cómo siete curadores tomaron el control de 220 millones de dólares en fondos no reclamados de TheDAO. Griff Green describió la misión como asegurar que Ethereum "esté listo para convertirse en la columna vertebral de la infraestructura financiera mundial". La iniciativa forma parte del plan de seguridad de un billón de dólares de la Fundación Ethereum. Pero, ¿este dinero realmente hará que Ethereum sea más seguro?

Los medios destruyen el fin

Los derechos de propiedad privada no pueden ser violados. Este principio es la base de la civilización.

La Quinta Enmienda de la Constitución de los Estados Unidos establece: "Ninguna persona será privada de la vida, la libertad o la propiedad, sin el debido proceso legal; ni se tomará propiedad privada para uso público, sin justa compensación". El mismo principio está protegido por el Convenio Europeo de Derechos Humanos y la Declaración Universal de Derechos Humanos.

Los fondos de otros no pueden usarse bajo ninguna excusa bien intencionada para obtener ganancias, establecer control o promover posiciones ideológicas sin el consentimiento explícito de los propietarios.

Los curadores tomaron el control de 220 millones de dólares para hacer que Ethereum fuera más seguro y confiable. Pero el acto en sí (usar efectivamente el dinero de otras personas sin consentimiento, sin una resolución judicial, sin el debido proceso) hace que Ethereum sea menos confiable.

La pendiente resbaladiza

También existe el problema de la escalada de precedentes. Hoy son fondos no reclamados de 2016 los que los curadores decidieron apostar y usar las recompensas. Pero cada paso reduce el umbral para el siguiente.

Eugene Volokh demostró en la Harvard Law Review que cuando se introdujo el registro de armas en Inglaterra, la ciudad de Nueva York y Australia, finalmente fue seguido por la confiscación de armas. No porque el registro lo requiriera lógicamente, sino porque hizo que la confiscación fuera más barata y fácil de implementar. Una vez que existió la infraestructura, el siguiente paso se volvió políticamente factible.

Volokh llamó a esto una "pendiente resbaladiza de reducción de costos": la decisión A no cambia la opinión de nadie sobre si B es correcto o incorrecto, pero reduce el costo práctico de B, lo que hace que sea más probable que suceda.

Hoy, la justificación es: estos fondos han estado inactivos durante años, por lo que las personas que los administran pueden apostarlos y usar las recompensas para el ecosistema. Esta justificación no se aplica solo a TheDAO. Funciona para cualquier cartera de contrato inteligente donde los fondos no se han movido durante un largo período.

Una vez que se establece el derecho a usar el dinero de otras personas para una buena causa, la definición de "buena causa" puede expandirse, y también puede hacerlo el conjunto de fondos considerados disponibles para ello.

No puedes salir de un problema que sigues creando

En cuanto a la seguridad de la cadena de bloques de Ethereum, la situación ha llegado a un punto en el que simplemente arrojar dinero al problema no ayudará.

En el mejor de los casos, veremos el mismo concurso de popularidad entre un círculo estrecho de beneficiarios que ocurre en casi todos los experimentos de financiación de DAO, independientemente del mecanismo.

Como dijo DL News, "las subvenciones dirigidas por DAO nunca están lejos de la controversia derivada de supuestas transacciones con información privilegiada y falta de transparencia". BlockScience, que estudió las rondas de financiación cuadrática de Gitcoin, encontró que tales sistemas exhiben el efecto Mateo, un efecto descontrolado de "los ricos se hacen más ricos", junto con ataques sybil persistentes y colusión.

Los ganadores se harán un poco más ricos y quizás incluso produzcan algunos parches. Que los hackers eludirán en poco tiempo.

Desconectado de la realidad

El problema más profundo es que el liderazgo de Ethereum parece ya no ser capaz de reconocer las consecuencias de sus propias acciones. Blockworks describió la situación como "la narrativa actual de que el liderazgo de Ethereum está desconectado y no es competitivo". No se pueden tapar agujeros en un barco cuando los capitanes siguen perforando nuevos.

Por ejemplo:

A pesar de saber que Ethereum enfrentaba numerosos problemas de seguridad sin resolver, el liderazgo procedió con la actualización de Fusaka, que redujo las tarifas e hizo que los ataques de spam fueran económicamente viables en la cadena de bloques de Ethereum.

El vínculo entre las tarifas bajas y el volumen de ataques ya estaba documentado: un estudio de la Universidad Carnegie Mellon publicado diez meses antes de la actualización encontró "una mayor prevalencia de ataques en cadenas con tarifas de transacción más bajas". Según mis datos, solo los ataques de envenenamiento de direcciones causaron 63,3 millones de dólares en pérdidas durante los dos meses posteriores a la actualización de Fusaka, un aumento de 13 veces en comparación con el mismo período anterior.

EIP-7702, introducido en mayo de 2025 como parte de la actualización de Pectra, está siendo activamente explotado por atacantes para vaciar carteras. Wintermute informa que más del 80 % de todas las delegaciones de EIP-7702 están vinculadas a contratos maliciosos, calificándolo de "ridículo y cruel que el mismo código de bytes copiado ocupe la mayoría de las autorizaciones de EIP-7702". En el momento de la investigación de Wintermute a mediados de 2025, los ataques individuales ya habían resultado en pérdidas de hasta 1,54 millones de dólares, con víctimas firmando transacciones por lotes en sitios DeFi fraudulentos.

Fireblocks, una empresa de seguridad, advirtió dos meses antes del lanzamiento de Pectra: "Un enfoque imprudente se esforzaría por permitir delegaciones lo más abiertas y libres posible, pero es probable que eso termine muy rápido con la pérdida de todos los fondos. Una sola delegación maliciosa es todo lo que se necesita".

Y ahora están sentando un precedente que permitiría declarar abandonados los fondos en contratos inteligentes después de un período de inactividad y usarlos sin el consentimiento de los propietarios. Cuando millones de usuarios hagan la transición a carteras de contratos inteligentes a través de la abstracción de cuentas, esto podría crear un riesgo para cualquiera que simplemente mantenga criptomonedas a largo plazo.

Demasiado roto para parchear

Pero incluso sin nuevos errores de los desarrolladores, la enorme cantidad de vulnerabilidades, tipos de ataques y vectores de ataque en Ethereum es tan vasta, y los hackers pueden adaptarse y lavar fondos con tanta facilidad, que cualquier inversión en seguridad simplemente se esfumará.

Los contratos inteligentes no se pueden parchear después de la implementación, lo que hace que, por defecto, cada vulnerabilidad sea permanente y cada activo robado sea prácticamente irrecuperable. Cada actualización de protocolo introduce nuevas superficies de ataque más rápido de lo que los defensores pueden responder. La extracción de MEV está incrustada en el propio mecanismo de ordenación de transacciones de Ethereum, con más de 4400 ataques sándwich por día y sin protección unificada a nivel de protocolo.

El modelo de aprobación ERC-20 (una elección de diseño central) ha sido explotado por 2700 millones de dólares en pérdidas por phishing entre 2021 y 2024, lo que provocó una operación del Servicio Secreto de EE. UU. dirigida específicamente a las estafas de aprobación de Ethereum. Un estudio de Frontiers in Blockchain documentó 220 incidentes importantes que resultaron en 8490 millones de dólares en pérdidas cuantificadas. Una encuesta de 2025 a 62 herramientas de seguridad de código abierto encontró que ninguna cubre todos los tipos de vulnerabilidad conocidos, y nuevas categorías siguen emergiendo más rápido de lo que se construyen herramientas para detectarlas.

Como concluyó un estudio de ScienceDirect de 2025 sobre dos años de actividad de MEV en Ethereum, los atacantes se están volviendo "más sofisticados ya que tienden a encadenar diferentes tipos de ataques", y "el valor extraído podría obstaculizar la adopción de Ethereum en proyectos futuros". O como lo expresó la ACM de manera más contundente: "nuestras capacidades para asegurar el sistema Ethereum son limitadas".

Intencionalmente o no, el resultado es un sistema que recompensa desproporcionadamente el comportamiento deshonesto y, por lo tanto, lo incentiva.

Los problemas de seguridad deben resolverse de forma fundamental. Hay enfoques para hacerlo. Podría explorar algunos de ellos en próximos artículos.