Por Dino Etcheverry, CEO – Analista de datos y Arquitectura Blockchain en Fidestamp
El 30 de noviembre de 2025, Yearn Finance sufrió un exploit que volvió a encender las alarmas sobre la seguridad en el mundo DeFi. Un atacante logró drenar aproximadamente 9 millones de dólares mediante la explotación de una vulnerabilidad en el contrato “legacy” de su token yETH. Más allá de las cifras, este incidente sirve como un recordatorio de que, incluso en proyectos consolidados y auditados, los riesgos estructurales pueden generar pérdidas millonarias en minutos.
El ataque se basó en un fallo en la lógica de emisión del token yETH, que permitió al atacante acuñar cantidades prácticamente ilimitadas —más de 235 billones de tokens falsos— en una sola transacción. Con esos tokens, pudo ejecutar swaps en los pools de liquidez, principalmente en Balancer y en los pools de yETH–WETH, intercambiándolos por ETH y otros tokens derivados de staking líquido (LSTs). Parte de los fondos obtenidos fueron enviados posteriormente a mezcladores como Tornado Cash, dificultando su trazabilidad.
Es importante subrayar que no fue la blockchain la que falló, sino la combinación de varios factores humanos y de diseño:
-
Ausencia de restricciones en la emisión de tokens: cualquier actor podía aprovechar la función de mint sin límites, lo que generó un vector de ataque directo.
-
Contratos legacy activos: versiones antiguas de contratos permanecían en producción sin restricciones, lo que permitió que un fallo histórico siguiera siendo explotable.
-
Arquitectura insuficientemente segregada: la lógica de token, pool y vault no estaba completamente separada, lo que amplificó el impacto del ataque.
-
Falta de auditorías continuas y pruebas de estrés: la vulnerabilidad pasó desapercibida durante auditorías anteriores y no existían escenarios de prueba extremos que hubieran anticipado el riesgo.
Este caso, aunque limitado a la versión legacy de yETH, pone en evidencia los riesgos persistentes en DeFi y los errores comunes que aún se repiten: priorizar la rapidez sobre la robustez, mantener sistemas obsoletos activos y asumir que la reputación de un protocolo es suficiente garantía de seguridad.
Cómo podría haberse evitado
Para que incidentes de este tipo no se repitan, los protocolos DeFi deberían implementar varias medidas clave:
-
Control estricto de mint y emisión de tokens: límites máximos, roles de acceso bien definidos y validaciones robustas en cada función.
-
Archivado de contratos legacy: desactivar o restringir versiones antiguas que ya no son necesarias.
-
Separación clara de componentes: token, pools y vaults deben operar como módulos independientes con mecanismos de seguridad propios.
-
Auditorías periódicas y bug-bounties activos: revisar cada cambio, simular escenarios extremos y recompensar a investigadores externos por encontrar vulnerabilidades.
-
Mecanismos de contingencia y gobernanza proactiva: sistemas de pausa (circuit-breakers) y fondos de emergencia para limitar el impacto de ataques inesperados.
Este incidente refuerza una lección que los profesionales de blockchain y DeFi conocen bien: la confianza no se construye con marketing ni reputación, sino con código seguro, auditorías continuas y arquitectura robusta. Cada contrato, cada pool, cada vault, debe ser evaluado constantemente, porque la seguridad en DeFi es un proceso continuo, no un estado que se alcanza una vez.
Para los inversores, desarrolladores y usuarios del ecosistema, Yearn Finance ofrece una advertencia clara: incluso los protocolos consolidados pueden ser vulnerables si se descuida la disciplina técnica y la gobernanza. La descentralización no elimina riesgos; simplemente los transforma y los hace más visibles para quienes interactúan con los contratos.
En definitiva, el exploit de yETH es un recordatorio potente: el futuro digital será seguro o no será. La industria debe aprender de este tipo de incidentes y adoptar estándares mínimos de seguridad, auditoría y gobernanza. Solo así se podrá sostener la promesa de DeFi como infraestructura financiera global y confiable.
Nota:
Este artículo es informativo. No estamos afiliados ni alineados con ninguna de las herramientas, tecnologías o empresas mencionadas.