Una vulnerabilidad crítica identificada en el protocolo Balancer V1 ha permitido el drenaje de 234 000 dólares este lunes. Aunque la cifra parece limitada para los estándares actuales de las finanzas descentralizadas, este incidente pone de manifiesto una debilidad estructural vinculada a la arquitectura inmutable del código. Desplegada inicialmente en 2020, esta primera versión del protocolo se basa en contratos inteligentes que, por naturaleza, no pueden recibir actualizaciones ni parches de seguridad. Esta situación se ve agravada por la desaparición de la entidad original, Balancer Labs, dejando tras de sí un código operativo pero técnicamente inalterable.

El mecanismo del ataque se basa en un fallo de redondeo oculto en la función joinswapPoolAmountOut. Mediante una serie de préstamos flash (flash loans) anidados en varias plataformas, el atacante logró comprimir las reservas del pool hasta un nivel cercano a cero. La divergencia entre el cálculo en coma fija de 18 decimales y los activos con un número reducido de decimales, como el WBTC, permitió manipular los redondeos. Al depositar una cantidad ínfima de tokens, el pirata pudo generar participaciones de liquidez indebidas y extraer los activos subyacentes, ilustrando una explotación metódica de un error de lógica matemática.

Más allá de este caso aislado, el riesgo principal reside en la proliferación de este código dentro del ecosistema DeFi. La versión V1 de Balancer ha sido ampliamente replicada e integrada en múltiples protocolos de terceros, a menudo sin que los equipos de desarrollo actuales midan la magnitud de la deuda técnica heredada. Numerosos clones, a veces olvidados o aislados, siguen ejecutando esta lógica vulnerable en diversas blockchains, exponiendo a los proveedores de liquidez a pérdidas repentinas sin posibilidad de recurso alguno.

Este asunto subraya los peligros persistentes de la inmutabilidad en un sector donde la sofisticación de los ataques no deja de crecer. Si bien la versión 3 del protocolo integra ahora salvaguardas explícitas para controlar el sentido de los redondeos, las implementaciones antiguas siguen siendo bombas de relojería. Para los usuarios, la única estrategia de defensa eficaz consiste en retirar manualmente sus fondos de los pools que explotan esta arquitectura obsoleta. El pasado del código sigue así acechando al presente, demostrando que, en la blockchain, un error de programación nunca se borra realmente.