Ataque de gobernanza a Hifi Finance: cómo comprobar tus depósitos DeFi

En el protocolo DeFi Hifi Finance, una dirección hasta ahora desconocida se hizo con el control de la votación del protocolo el 28 de octubre de 2026 y después retiró colateral de usuarios por un valor de alrededor de 1 millón de dólares, alrededor de 900.000 euros al cambio del 29 de octubre. El hallazgo procede del analista on-chain Spreek, cuyo examen sostiene la cobertura del día. Bastaron cuatro votos, emitidos poco antes del cierre de una votación en curso. Esa misma dirección acuñó a continuación 25 millones de nuevos tokens de gobernanza.

Para los inversores europeos, aquí pesa menos el caso aislado que el patrón. Un ataque de gobernanza no necesita ningún fallo en el código del programa, de los que una auditoría podría detectar. Aprovecha las propias reglas de votación, y en muchos protocolos esas reglas están publicadas y sin plazo de espera. Quien deposita criptomonedas como garantía en un protocolo DeFi asume ese riesgo, aunque su propia cartera nunca se vea tocada.

Qué ocurrió en Hifi Finance: cuatro votos justo antes del cierre

Hifi Finance es un protocolo de préstamo sobre Ethereum. Los usuarios aportan activos como garantía y piden prestado contra ellos a un tipo fijo. Los cambios en el protocolo los decide una DAO, una organización cuyos acuerdos nacen de una votación de los poseedores de tokens y se ejecutan de forma automática.

Según el relato de Spreek, la dirección atacante se financió a través de Tornado Cash, un servicio que difumina el origen de las transferencias en la blockchain. Cuatro transferencias desde esa fuente dotaron a la dirección de peso de voto. Los votos cayeron en la fase final de una votación ya en marcha, es decir, en un momento en que los demás poseedores apenas podían reaccionar. Con la mayoría en la mano se pudo imponer el acuerdo, que autorizaba la acuñación de 25 millones de tokens de gobernanza. La salida del colateral llegó después del acuerdo y después de la acuñación.

Hifi Finance no se había pronunciado sobre el suceso a 29 de octubre. Todas las cifras y secuencias citadas proceden del examen de Spreek y deben leerse como provisionales; por ahora no existe una confirmación propia del proyecto.

25 millones de tokens nuevos, 8.255 dólares de volumen diario: la cuenta del atacante

Los 25 millones de tokens recién acuñados suenan al daño mayor, y no lo son. HIFI cotizaba a 0,00132 dólares el 29 de octubre, según los datos de CoinGecko. La oferta total del token se sitúa en torno a 141,98 millones de unidades. Los 25 millones recién acuñados equivalen, por tanto, a alrededor del 17,6 % de la oferta total.

Sobre el papel, esos tokens valen unos 33.000 dólares. Venderlos en ese volumen es otra cosa: la negociación en HIFI apenas alcanzó 8.255 dólares en 24 horas. La cantidad acuñada equivale a cuatro veces lo que cambia de manos en un día entero. Una venta habría hundido el precio antes de que una parte apreciable encontrase comprador.

Eso explica por qué el objetivo era el colateral depositado y no el token. La acuñación sirvió como medio para convertir el control del protocolo en acceso a valores ajenos.

Tokens RWA como colateral: el verdadero objetivo de la salida de fondos

El colateral retirado estaba compuesto en su mayoría por tokens RWA, según los informes disponibles. RWA son las siglas de real world assets: tokens que incorporan un derecho sobre un valor situado fuera de la blockchain, por ejemplo sobre bonos, créditos o participaciones inmobiliarias.

Estos títulos gustan como garantía porque su precio se mueve con más calma que el de una altcoin. Precisamente eso los hace atractivos para un atacante. Una altcoin robada pierde valor en el intento de venta; un token RWA con un valor de referencia estable se convierte en dinero con más facilidad. Qué activos acepta como garantía un protocolo de préstamo, y con qué condiciones, figura en las condiciones de protocolo de cada proveedor.

El ataque de gobernanza explicado: cómo el dinero de Tornado Cash se vuelve derecho de voto

Un ataque de gobernanza consiste en adquirir peso de voto en una DAO con el fin de imponer un acuerdo propio. En los casos documentados se distinguen varios caminos hacia ahí.

El más sencillo es la compra de derechos de voto en el mercado. Funciona sobre todo allí donde el token de gobernanza cuesta poco mientras los fondos gestionados son elevados. Con el préstamo flash, el atacante toma un crédito que se obtiene y se devuelve dentro de una sola transacción; le procura, durante el momento de la votación, un peso de voto que nunca le perteneció. La propuesta maliciosa, por último, es un proyecto de acuerdo cuyo texto suena inofensivo pero cuyo código ejecutado desplaza derechos. Bajo esa forma está registrado el caso Hifi Finance. A ello se añade la captación de votos dormidos, es decir, de tokens que sus poseedores nunca delegaron y que deciden cuando la participación es baja.

Todos esos caminos tienen en común que el código del protocolo trabaja exactamente como se escribió. Una auditoría que busca errores en el código aquí no encuentra nada. Hasta dónde llega eso lo mostró en agosto de 2026 el caso Term Finance, que tratamos bajo la pregunta de por qué el código auditado no protege frente a los exploits de gobernanza.

Tres ataques de gobernanza en seis días: X100, Yapeswap y Hifi Finance

El caso Hifi Finance no está solo. Un recuento del registro público de hackeos de DefiLlama, que recoge 1.328 incidentes, arroja para los siete días hasta el 29 de octubre de 2026 once incidentes documentados en todo el mercado cripto, tres de ellos clasificados como ataques de gobernanza. Los tres cayeron en una ventana de seis días. Este recuento lo elaboró cryptoticker.io por su cuenta el 29 de octubre de 2026.

• 24 de octubre de 2026, X100: 4,75 millones de dólares, registrado como ataque de gobernanza mediante préstamo flash en Ethereum. Sobre ese caso describimos cómo un préstamo flash compró dos de los tres escaños del senado.
• 25 de octubre de 2026, Yapeswap: 21.900 dólares, propuesta maliciosa, también en Ethereum.
• 28 de octubre de 2026, Hifi Finance: propuesta maliciosa en Ethereum. En el registro aún no consta una cuantía del daño.

Visto en un periodo más largo, la imagen pierde algo de nitidez, pero sigue siendo clara. En los 90 días hasta el 29 de octubre de 2026, el registro recoge siete ataques de gobernanza con un daño conjunto de 22,58 millones de dólares, y en doce meses doce casos con 47,9 millones de dólares. Tres casos en seis días quedan por tanto claramente por encima de la media de esos doce meses.

Un ejemplo más antiguo muestra que el tamaño del protocolo no influye: la DAO de BONK perdió 20 millones de dólares en julio de 2026 según los mismos datos del registro, sin que mediara un hackeo en el sentido habitual.

El precio de HIFI cae un 25 %: capitalización por debajo de 200.000 dólares

El token mismo ha reaccionado con claridad al suceso. HIFI cedió un 25,4 % en 24 horas y se situaba a 0,00132 dólares el 29 de octubre de 2026. La capitalización de mercado queda así en 186.141 dólares. Frente al máximo histórico de 2,63 dólares, alcanzado el 16 de septiembre de 2023, faltan un 99,95 %. Los cuatro valores proceden de CoinGecko.

Estas cifras importan para el análisis más de lo que parece a primera vista. Un protocolo cuyo token de gobernanza vale en total menos que un piso gestiona, en el caso de Hifi Finance, garantías de orden millonario. La relación entre el precio del control y el valor de lo controlado es el verdadero incentivo del ataque. Donde un token es barato y los fondos gestionados son altos, comprar derechos de voto sale a cuenta.

Timelock y quórum: los dos ajustes de toda votación en una DAO

Dos conceptos deciden lo vulnerable que es una votación. Un timelock es un plazo de espera entre el acuerdo y su ejecución; da a los demás poseedores tiempo para advertir un acuerdo y retirar fondos. Un quórum es la participación mínima que necesita un acuerdo para ser válido.

Cuanto más largo el timelock y más alto el quórum, más caro resulta un ataque. Ambos cuestan, sin embargo, capacidad de maniobra: un protocolo con un plazo de siete días no puede responder a una emergencia en unas horas. Los protocolos eligen aquí de forma distinta, y la elección se puede consultar públicamente. Cómo había fijado Hifi Finance esos valores no se desprende del material disponible; el proyecto no se ha pronunciado al respecto hasta ahora.

MiCA y DeFi: sin garantía de depósitos para el colateral de un protocolo

Quien tiene criptomonedas en Europa con un proveedor supervisado piensa con facilidad en los sistemas de garantía que conoce de su banco. Nada de eso vale para un protocolo DeFi. MiCA, el reglamento de la UE sobre los mercados de criptoactivos, impone obligaciones a las empresas que custodian, negocian o emiten criptoactivos con carácter profesional, y exige para ello una autorización. Un protocolo sin operador, cuyas reglas decide una DAO, no es una empresa de ese tipo y en la práctica no queda sujeto a esas obligaciones.

De ahí se siguen tres cosas. No hay garantía de depósitos para los valores que entregas a un protocolo como colateral. No hay autoridad supervisora ante la que puedas declarar la pérdida y esperar una indemnización. Y no existe obligación del protocolo de reparar el daño; que los poseedores recuperen algo depende de la buena voluntad y de los medios de la DAO correspondiente.

Esto no es un argumento contra DeFi, pero sí un argumento a favor de una separación clara. Los fondos que no quieres perder no pertenecen a un protocolo cuyas reglas de votación no has comprobado.

Autocustodia frente a custodia del protocolo: dónde están realmente tus criptomonedas

La diferencia decisiva está en la pregunta de quién tiene la llave. Si las criptomonedas reposan en tu propia cartera, un ataque de gobernanza contra un protocolo no las alcanza. Si las has aportado como garantía, las custodia un contrato cuyas reglas determina una votación.

Ambas cosas tienen su lugar. Sin colateral aportado no hay crédito ni rendimiento de lending. Solo que el reparto debería ser una decisión y no un efecto secundario. La parte de tu cartera destinada a estar quieta corresponde a un soporte que tengas tú en la mano; qué aparatos sirven para eso y cuánto cuestan figura en nuestra comparativa de carteras hardware.

El patrón detrás de los casos: votos baratos, garantías caras

Lo que une los tres casos de la semana pasada no es un fallo técnico. Es una relación de precios. El derecho de voto resultaba más barato de conseguir que el valor del que dispone. Mientras un token de gobernanza se deprecia y las garantías depositadas en el protocolo mantienen su valor, esa relación sigue desplazándose a favor de un atacante.

Para valorar un protocolo, eso significa que la capitalización del token de gobernanza en relación con los fondos gestionados es una magnitud que los inversores deberían leer igual que el tipo de interés. Las dos cifras son públicas.

Colateral DeFi: tres preguntas antes de tu próximo depósito

1. ¿Cómo está valorado el token de gobernanza frente a los fondos gestionados? Si la capitalización del token queda muy por debajo de las garantías depositadas en el protocolo, comprar derechos de voto resulta atractivo sobre el papel. Qué proveedores exponen abiertamente condiciones y garantías lo muestra la comparativa de proveedores de lending cripto.
2. ¿Qué plazo media entre el acuerdo y su ejecución? Sin timelock, un acuerdo surte efecto de inmediato y nadie puede intervenir. Si buscas rendimiento dentro de un protocolo, las condiciones de cada proveedor están en la comparativa de plataformas de staking.
3. ¿Qué parte de tu cartera tiene que estar en el protocolo? Lo que no debe trabajar no necesita contrato. Necesita una llave en tu mano. Los aparatos para ello están en la comparativa de carteras hardware.

Un ataque de gobernanza no va contra la cartera, va contra la votación. En Hifi Finance bastaron cuatro votos en la fase final para acuñar 25 millones de tokens y mover colateral por un valor de alrededor de 1 millón de dólares. El token mismo cedió un 25,4 % y vale en total menos que las garantías de las que disponía. Tres casos así en seis días apuntan a que esa relación de precios se está aprovechando de forma sistemática.

Los informes sobre el suceso se apoyan hasta ahora en un único examen on-chain; falta una declaración del proyecto. La cuantía del daño no es por tanto sólida todavía, el patrón sí.

(29 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)

Fuentes: DefiLlama, registro de incidentes documentados y ChainCatcher sobre el examen on-chain de Spreek.