Solana presume de velocidad y comisiones bajas, pero su historial de seguridad ha sido complicado. Entre 2021 y 2024, el ecosistema acumuló hackeos y exploits que, en conjunto, superaron los 400 millones de dólares en fondos comprometidos. El caso más conocido es el de Mango Markets, pero no fue ni el primero ni el más costoso.
Esta guía analiza los ataques más relevantes, cómo funcionaron técnicamente y qué dice cada uno sobre los riesgos reales de operar en una blockchain de alto rendimiento.
El hackeo de Mango Markets: manipulación de precio, no código roto
En octubre de 2022, Avraham Eisenberg ejecutó un ataque que robó aproximadamente 114 millones de dólares del protocolo de préstamos Mango Markets. Lo inusual es que el exploit no aprovechó un bug en el código. Eisenberg manipuló el precio del token nativo del protocolo, MNGO, en mercados con poca liquidez para inflar artificialmente el valor de su propio colateral.
El proceso fue el siguiente: compró una posición grande en futuros de MNGO usando dos cuentas diferentes, disparó el precio del token en mercados con bajo volumen y luego tomó préstamos contra ese colateral inflado, vaciando la tesorería del protocolo. Cuando el precio de MNGO volvió a su valor real, el colateral ya no cubría los préstamos. Los fondos del protocolo habían desaparecido.
Eisenberg llegó a negociar públicamente con la comunidad de Mango, devolvió parte de los fondos a cambio de inmunidad (que ningún juez le reconoció después) y fue detenido en diciembre de 2022. En 2024, un tribunal federal de Nueva York lo declaró culpable de fraude electrónico y manipulación de mercado. Recibió una condena de cuatro años de prisión.
Este caso ilustra un riesgo que va más allá del código. Los protocolos DeFi que dependen de oráculos de precio con poca liquidez son vulnerables aunque sus contratos estén perfectamente escritos. Para entender por qué esto importa, es útil conocer qué es la liquidez en cripto y cómo afecta al precio real de cualquier activo.
Wormhole: el puente que perdió 320 millones
En febrero de 2022, Wormhole fue víctima del segundo hackeo más grande de la historia de DeFi hasta esa fecha. Un atacante explotó una vulnerabilidad en el puente entre Solana y Ethereum y acuñó 120.000 wETH (ether envuelto) en Solana sin depositar el colateral correspondiente en Ethereum. El valor total robado superó los 320 millones de dólares.
El fallo estaba en una función de verificación de firmas que el atacante logró saltarse. Wormhole no validaba correctamente que las cuentas que autorizaban ciertas instrucciones eran legítimas. Con una firma fabricada, el atacante convenció al protocolo de que había depositado ETH en Ethereum cuando en realidad no lo había hecho.
Jump Crypto, empresa inversora en Wormhole, restituyó los fondos en 24 horas para mantener la solvencia del protocolo. La velocidad de respuesta evitó un efecto dominó, pero no cambió el hecho de que el código había fallado en un punto crítico.
Los puentes entre cadenas son una de las superficies de ataque más grandes del ecosistema cripto. Combinan complejidad técnica alta con grandes volúmenes de fondos bloqueados, una combinación que atrae a atacantes sofisticados.
Cashio y el exploit de la moneda de la nada
En marzo de 2022, el protocolo Cashio sufrió un ataque que le costó aproximadamente 52 millones de dólares. Cashio emitía una stablecoin llamada CASH respaldada por tokens de liquidez. El problema estaba en que el contrato no verificaba correctamente el origen de esos tokens de liquidez antes de emitir CASH.
El atacante inyectó cuentas falsas en la cadena de verificación, convenció al protocolo de que tenía colateral legítimo y acuñó CASH de forma ilimitada. Después vendió esos tokens en el mercado y desapareció. Las pérdidas las sufrieron los usuarios que tenían fondos depositados en el protocolo.
Este tipo de ataque se llama "infinite mint" o acuñación infinita. No es exclusivo de Solana, pero la velocidad de la red significa que el atacante puede ejecutar muchas transacciones en pocos segundos antes de que alguien detecte lo que está pasando.
Por qué el ecosistema Solana concentra estos riesgos
Solana no es inherentemente menos segura que otras blockchains a nivel de protocolo base. El problema está en la capa de aplicación. Tres factores explican la concentración de incidentes:
- Velocidad de despliegue. Las comisiones bajas y la rapidez de Solana incentivan lanzar protocolos rápido. Esa presión reduce el tiempo dedicado a auditorías de seguridad.
- Liquidez fragmentada. Muchos protocolos del ecosistema manejan grandes cantidades de fondos con oráculos de precio poco líquidos, exactamente el escenario que explotó Mango Markets.
- Complejidad de los smart contracts en Solana. El modelo de programas de Solana (basado en Rust y en una arquitectura diferente a la EVM) requiere un conocimiento técnico específico que no todos los equipos tienen al nivel necesario.
Esto no significa que Ethereum sea inmune. Los ataques a protocolos DeFi en Ethereum, desde el DAO hack de 2016 hasta los exploits en Curve Finance en 2023, demuestran que el problema no es la cadena sino la complejidad del código financiero. Para conocer cómo funciona la capa de ejecución de contratos en Solana, el artículo sobre Gulf Stream y Sealevel explica la ejecución paralela de transacciones y sus implicaciones técnicas.
Qué ha cambiado desde entonces
El ecosistema de Solana ha madurado en términos de seguridad, aunque de forma gradual. Varios cambios concretos se produjeron entre 2022 y 2026:
Las auditorías de código se convirtieron en un requisito tácito para que cualquier protocolo consiguiera respaldo de fondos de capital riesgo serios. Empresas como OtterSec, Sec3 y Neodyme se especializaron en auditorías para programas Solana escritos en Rust.
Los protocolos más grandes adoptaron límites de retiro por tiempo (circuit breakers), mecanismos que congelan automáticamente las operaciones si detectan flujos de fondos anómalos en un corto período. Es una medida imperfecta, pero reduce el daño en las primeras horas de un ataque.
Los oráculos de precio migraron progresivamente hacia soluciones más robustas. Pyth Network, el oráculo dominante en Solana, mejoró sus mecanismos de detección de precios manipulados. Pero ningún oráculo es infalible cuando la liquidez del activo subyacente es muy baja.
Qué debe tener en cuenta el usuario
Si usas protocolos DeFi en Solana, hay algunas reglas prácticas que reducen la exposición al riesgo sin requerir conocimientos técnicos avanzados.
Primero, comprueba siempre si el protocolo tiene auditoría publicada. La mayoría de los exploits nombrados aquí afectaron a protocolos que o no tenían auditoría o la tenían de empresas sin experiencia en el modelo de programas de Solana. El informe de auditoría debería estar en el repositorio público del código.
Segundo, desconfía de los APY muy altos en protocolos nuevos. Un rendimiento anualizado del 200% en un protocolo lanzado hace tres semanas no es una oportunidad: es el mercado diciéndote que el riesgo es proporcional.
Tercero, no concentres todo en un único protocolo. El ecosistema DeFi de Solana tiene opciones maduras y auditadas, pero diversificar entre protocolos reduce el impacto de cualquier exploit individual. El artículo sobre el ecosistema DeFi de Solana y sus protocolos ofrece una visión más amplia de las opciones disponibles y sus diferencias.
Cuarto, recuerda que en DeFi no hay seguro de depósito. Si un protocolo pierde tus fondos, no existe ningún mecanismo de reclamación garantizado. Esa es la diferencia fundamental con un banco o con un exchange regulado.
Un sector que aprende, despacio
Los hackeos del ecosistema Solana no son una señal de que la tecnología sea fallida. Son una señal de que construir software financiero seguro es difícil, que la presión por lanzar rápido genera deuda técnica y que los incentivos económicos para atacar son muy altos cuando hay cientos de millones en juego.
La velocidad de Solana sigue siendo real. Sus comisiones siguen siendo bajas. Pero esas ventajas no eliminan los riesgos de la capa de aplicación. Conocerlos antes de depositar fondos es la diferencia entre usar DeFi con criterio y usarlo por impulso.
⚠ Riesgo: los protocolos DeFi no están cubiertos por ningún fondo de garantía. La información de este artículo tiene fines educativos y no constituye asesoramiento financiero, fiscal ni legal. Las criptomonedas son activos volátiles y puedes perder todo el capital invertido. Consulta con un profesional antes de tomar decisiones.