Velocity sustituye a Drift tras el hackeo de 285 millones de dólares: qué cambia para los inversores en Alemania

El mercado de perpetuos Drift, en Solana, se llama Velocity desde su reinicio, y desde el 29 de septiembre de 2026 lo dirige otro equipo. La cofundadora Cindy Leow ha dejado su cargo, cinco meses después de que unos atacantes retiraran unos 285 millones de dólares de las bóvedas del exchange el 1 de abril. Para ti esto es más que un cambio de nombre: la negociación se liquida ahora en USDT y no en USDC, varias funciones han desaparecido y sigue sin haber una autorización MiCA para el mercado alemán.

Un perp DEX es un exchange descentralizado de contratos de futuros sin vencimiento en el que apuestas con apalancamiento a los movimientos del precio sin poseer la propia criptomoneda. El dinero no está en un banco, está en contratos inteligentes, las llamadas bóvedas. Justamente esas bóvedas fueron el objetivo en abril.

Velocity sustituye a Drift: el reinicio en cifras

La vuelta se produjo por etapas. El 17 de septiembre de 2026 el proyecto abrió su código. El 21 de septiembre cayó la lista blanca, que hasta entonces solo permitía operar a cuentas seleccionadas, y la beta pública quedó abierta a todos. El 29 de septiembre llegó el cambio en la dirección.

Leow justificó su salida en X por la fase en la que se encuentra ahora el proyecto. En esencia dijo que su fuerza está en construir de cero a uno, y que Velocity necesita ahora personas capaces de llevarlo de uno a diez; confía en este equipo para ello. Cinco nombres toman el relevo: un responsable de recuperación de fondos y acciones judiciales, un ingeniero de protocolo que antes dirigía la Helium Network, un director de producto con pasado en Binance, una responsable de alianzas y un responsable de crecimiento que llega de Binance y Trust Wallet.

El orden de magnitud en juego se lee en la historia previa. Antes del ataque, Drift había tramitado más de 150.000 millones de dólares de volumen de negociación, según datos del entorno del proyecto. Las plataformas de perpetuos de Solana juntas alcanzaron 1,08 billones de dólares de volumen acumulado hasta agosto de 2026. Su propio token, DRIFT, cotiza en el cambio de mes en torno a 0,019 dólares, muy lejos de los grandes nombres; en la clasificación por capitalización se sitúa alrededor del puesto 1.080.

El ataque del 1 de abril: 285 millones de dólares de las bóvedas

El 1 de abril de 2026 salieron de las bóvedas unos 285 millones de dólares. Antes del ataque había más de 550 millones de dólares bloqueados en el protocolo, de modo que la salida equivalía a cerca de la mitad del valor total depositado. El TVL, siglas de total value locked, designa la suma de todos los depósitos que están en los contratos de un protocolo.

Esa cifra sitúa el caso. En septiembre de 2026 las pérdidas por ataques cripto sumaron 766 millones de dólares en todo el sector. Un incidente aislado de 285 millones de dólares pertenece por tanto a la categoría más alta de lo ocurrido este año, y la plataforma afectada estaba entre las más activas del ecosistema de Solana.

Token de garantía falso: el camino del ataque en detalle

La palanca técnica fue un token de garantía falsificado. El colateral es la prenda que depositas para que el exchange te permita una posición apalancada; el contrato mide su valor frente a tu riesgo. Si se consigue que un token sin valor se reconozca como prenda solvente, es posible obtener un pago real contra nada.

Antes de eso hubo ingeniería social y no una intrusión técnica. Según la versión del proyecto, los atacantes obtuvieron derechos de administración construyendo confianza durante meses y manipulando a personas. Leow habló de una infiltración preparada a lo largo de seis meses. Esa es la parte que el código por sí solo no puede detener: donde una persona concede el permiso, la persona es el punto de ataque.

Para ti, como usuaria o usuario de una plataforma de negociación, de ahí se sigue una conclusión incómoda. Un protocolo puede estar escrito con limpieza y auditado varias veces y caer igualmente porque alguien con derechos ampliados fue engañado. Quien deja saldo de forma permanente en un exchange asume ese riesgo. Un panorama de qué plataformas entran en consideración para perpetuos y cómo están planteadas en custodia y protección lo encuentras en nuestra comparación de perp DEX.

Atribución a Corea del Norte: qué recogen Mandiant y TRM Labs

Las firmas forenses Mandiant y TRM Labs atribuyen el ataque a un actor vinculado a Corea del Norte. Leow misma lo calificó de ataque a nivel estatal. Aquí importa la diferencia entre atribución y prueba: tales análisis se apoyan en rastros en las cadenas de transacciones, en herramientas recurrentes y en patrones en la forma de actuar de los autores. Ningún tribunal se ha pronunciado, y las firmas presentan sus resultados como una valoración.

Para valorar el caso, la atribución sigue siendo relevante. Los grupos respaldados por un Estado trabajan con más preparación y más medios que los autores ocasionales. Quien usa una plataforma que entra en el punto de mira de esos grupos no puede dar por hecho que una auditoría baste.

Tether aporta 127,5 millones de dólares: cómo se armó el paquete de rescate

Dos semanas después del ataque, el 16 de abril de 2026, la financiación del retorno estaba lista. Tether comprometió hasta 127,5 millones de dólares y otros socios aportaron 20 millones de dólares. En total quedaron disponibles hasta 147,5 millones de dólares, es decir, algo menos de 150 millones y alrededor de la mitad de la salida.

Ese cálculo explica que el reinicio fuera posible y, al mismo tiempo, es el punto en el que deberías mirar con atención. Un paquete de unos 147 millones de dólares no cubre 285 millones de dólares. Cómo se repartieron los fondos entre los depósitos en detalle y qué reclamaciones están atendidas y en qué cuantía no se deduce de los comunicados públicos. Quien entonces tenía saldo en la plataforma aclara por eso su propia situación directamente en la cuenta y no a través de resúmenes de terceros.

También conviene mirar quién interviene aquí. Un emisor de stablecoins y una serie de socios privados sostienen el caso. Ningún fondo de garantía de depósitos creado por ley entró en juego, y ninguna obligación legal exigía a nadie intervenir. Precisamente esa diferencia con el mundo regulado es el núcleo de lo que cuenta para ti en Alemania.

USDT en lugar de USDC: el cambio en la liquidación

Velocity liquida de forma distinta a Drift. La liquidación, es decir, la moneda en la que se contabilizan ganancias, pérdidas y garantías, pasa ahora por el USDT de Tether y no por el USDC de Circle. Los mercados al contado solo se mantienen para garantías, respaldo de préstamos y préstamo; la negociación en sí se concentra en los perpetuos.

El cambio tiene consecuencias prácticas. Si tienes USDC, necesitas un paso de conversión antes de poder operar, y cada canje cuesta comisión y tiempo. A eso se añade un desplazamiento del riesgo de emisor: en la liquidación dependes de la solvencia y la política de reservas de otra empresa. Ambas stablecoins son grandes, el USDT encabeza la clasificación de stablecoins por capitalización y cotiza de forma estable en torno a un dólar, pero es un compromiso distinto de una empresa distinta.

El alcance funcional más estrecho responde a una decisión deliberada. Menos productos significan menos interfaces en las que algo puede fallar. Quien buscaba mercados aislados o productos apalancados fuera de los perpetuos ya no los encuentra aquí y debe usar otra plataforma.

OtterSec y Asymmetric Research: 154 hallazgos en la auditoría

Antes del reinicio, el equipo hizo revisar el código. OtterSec realizó la auditoría de seguridad y anotó 154 hallazgos, de los cuales, según el informe, ninguno se clasificó como crítico. Asymmetric Research se ocupó de la seguridad operativa, es decir, de procedimientos, gestión de derechos y manejo de claves. Desde el 17 de septiembre el código está abierto, así que terceros pueden comprobarlo por sí mismos.

154 hallazgos suenan a mucho y no lo son. Un informe de auditoría enumera cada observación, desde la nota de estilo hasta el fallo real, y es la clasificación en niveles de gravedad la que aporta la información. Lo decisivo es la segunda parte del resultado: que ningún hallazgo se considere crítico cubre el código del programa. Lo que una auditoría de código no cubre es el camino del ataque de abril, que pasó por personas engañadas y derechos concedidos. De eso responde la revisión de la seguridad operativa, y sus resultados son más difíciles de juzgar desde fuera que una lista de hallazgos de código.

La solidez de una plataforma se te muestra en tres cosas comprobables: si los informes de auditoría están públicos y fechados, si el código está abierto y si alguien responde por los fallos. Velocity cumple los dos primeros puntos. En el tercero la cosa se adelgaza, y aquí ayuda mirar a los exchanges de criptomonedas regulados, cuyas obligaciones están fijadas por ley.

Perp DEX sin autorización MiCA: la situación jurídica para los usuarios alemanes

MiCA, el reglamento de la UE sobre mercados de criptoactivos, regula paso a paso desde 2024 quién puede ofrecer servicios cripto en la Unión Europea. Un proveedor con autorización está sujeto a requisitos de capital propio, separación del dinero de los clientes, procedimientos de reclamación y supervisión por una autoridad; en Alemania es la BaFin. Qué obligaciones llegan con ello a las empresas lo hemos recogido en nuestro panorama sobre la licencia MiCA y sus obligaciones.

Velocity no actúa como proveedor autorizado en la UE. Los mecanismos de protección de MiCA no te alcanzan, por tanto. No hay una autoridad a la que dirigirte en caso de conflicto, ni obligación legal de separar el dinero de los clientes, ni garantía de depósitos. Que en abril se reunieran fondos privados muestra con claridad la diferencia: allí decidieron empresas de forma voluntaria; aquí una autoridad habría impuesto requisitos.

En los mercados descentralizados de futuros esto es la regla y no una particularidad de este proveedor. La misma situación se da en Hyperliquid, también accesible desde Alemania sin autorización MiCA. Técnicamente utilizable y jurídicamente protegido son dos cosas distintas.

Apalancamiento y liquidación: el riesgo sigue igual

El reinicio no ha cambiado nada en el producto. Un perpetuo corre sin fecha de vencimiento, y la tasa de financiación, la funding rate, compensa a intervalos regulares la diferencia con el precio al contado; según la situación del mercado, la pagas o la recibes. Liquidación significa que el exchange cierra tu posición automáticamente en cuanto tu prenda ya no cubre las pérdidas. Con un apalancamiento alto basta un movimiento del precio de pocos puntos porcentuales.

El mercado está ahora tranquilo y eso engaña con facilidad. Solana cotiza en el cambio de mes en torno a 118 dólares y ha subido alrededor de un 63 % en dos meses, desde unos 73 dólares. Los depósitos DeFi en Solana están de nuevo en 6.500 millones de dólares, un alza del 38 % en dos meses. Si se cuenta la recuperación en SOL y no en dólares, se relativiza: con un 63 % de subida del precio y un 38 % de alza del valor en dólares, en conjunto hay más bien menos SOL en los protocolos que antes. Una cifra en dólares que sube no prueba que haya vuelto la confianza.

Impuestos sobre las ganancias en perpetuos: el plazo de tenencia no se aplica

En los criptoactivos que tienes directamente, una ganancia está exenta en Alemania tras un año de tenencia; dentro del año se aplica el límite para las operaciones privadas de venta. Esa lógica procede del párrafo 23 de la ley alemana del impuesto sobre la renta y presupone que has comprado y vendido un bien.

Con un perpetuo no compras la criptomoneda. Tienes un contrato de futuros, y las ganancias derivadas se tratan por regla general como rendimientos del capital según el párrafo 20 de la misma ley, con la retención a cuenta y las restricciones de compensación que allí se aplican a las pérdidas por operaciones a plazo. No existe un plazo de tenencia tras el cual algo quede exento. La calificación en cada caso depende de tu situación global, y la normativa sobre operaciones a plazo está en movimiento; este texto no sustituye un asesoramiento fiscal. Lo que necesitas al margen de eso es un registro completo de cada posición, y para ello hace falta una documentación limpia de cada posición.

Velocity y Drift: tus tres próximos pasos

1. Aclara el saldo antiguo. Si en abril tenías saldo en Drift, consulta tú misma o tú mismo tu situación en la cuenta y anota qué parte de tus reclamaciones está atendida. El paquete de rescate de hasta 147,5 millones de dólares no cubre por completo la salida de 285 millones de dólares, y los resúmenes externos no sustituyen tu propia comprobación; para documentar tus posiciones usa el software fiscal y los rastreadores de cartera.
2. Prevé el cambio de liquidación. Calcula qué te cuesta en comisiones el canje de USDC a USDT y decide cuánto saldo dejas de forma permanente en un exchange sin autorización MiCA. Las alternativas con supervisión legal están en la comparación de exchanges de criptomonedas regulados.
3. Separa las tenencias del exchange. Lo que mantienes a largo plazo corresponde a tu propia custodia; solo los fondos para posiciones abiertas se quedan en la plataforma. Qué dispositivos sirven lo muestra la comparación de carteras de hardware.

La fuente primaria sobre el reinicio es la web del exchange, Velocity. Las cifras sobre la salida de fondos y la recuperación de los depósitos en Solana las ha reunido Crypto Briefing.

(1 de octubre de 2026. Este artículo no constituye asesoramiento de inversión. Los precios y las tarifas cambian; comprueba las condiciones con el proveedor antes de comprar.)