El aviso de JPMorgan: 20.000 millones evaporados y una confianza bajo mínimos
El banco de inversión más grande del mundo ha hablado. Y sus palabras pesan. JPMorgan lanzó el miércoles una advertencia que pone cifras al miedo que ya latía en el sector: los fallos de seguridad en las finanzas descentralizadas (o DeFi) están frenando en seco el apetito del dinero institucional por Ethereum. En un informe liderado por el director gerente Nikolaos Panigirtzoglou, la entidad cifra en 20.000 millones de dólares el valor total bloqueado (TVL) que se esfumó en cuestión de días tras el último gran exploit. Son 20.000 millones evaporados, una cifra comparable al producto interior bruto de un país como Jamaica.
El ataque al protocolo Kelp DAO y su token de restaking líquido rsETH sirvió como detonante. Lo que empezó como un fallo de seguridad en un único activo se convirtió en una hemorragia de capital que saltó de unos protocolos a otros, borrando liquidez incluso en plataformas que no tenían relación directa con el activo comprometido. “La estructura interconectada de DeFi convierte un incidente localizado en un shock que golpea a todo el ecosistema”, apuntan los analistas.
De Kelp DAO al Grupo Lazarus: un exploit que desató un apagón de liquidez
En paralelo al desplome del TVL, los analistas observaron un movimiento que se repite cada vez que tiembla el suelo bajo la DeFi: una rotación masiva de fondos hacia stablecoins, en especial hacia USDT. La moneda de Tether ofrece mayor liquidez en los intercambios centralizados y opciones de salida a efectivo más rápidas, lo que la convierte en el refugio predilecto durante las crisis on-chain. Aunque esta rotación aún no se ha traducido en un aumento de la capitalización de USDT, los tipos de interés para tomar prestado en los protocolos DeFi se dispararon de forma brusca tras el exploit, según datos de la firma de análisis CryptoQuant.
En el plano de la atribución, el equipo de investigación de LayerZero y varios expertos independientes en seguridad blockchain han señalado al Grupo Lazarus, vinculado a Corea del Norte, como responsable del ataque. Una parte de los fondos ha sido congelada, pero otra sigue fluyendo a través de monederos y protocolos de privacidad. La dificultad para perseguir estos flujos es otro de los puntos que JPMorgan subraya como barrera para el inversor tradicional, acostumbrado a trazabilidades claras y mecanismos de congelación inmediata.
Y si uno mira el acumulado anual de pérdidas por hackeos, la situación no es mejor. El ritmo de robos registrados en lo que va de año se mueve en cifras muy similares a las de 2025. Las auditorías de contratos inteligentes —smart contracts— han mejorado, pero los puentes entre cadenas (los bridges que interconectan Ethereum con otras redes) siguen concentrando el mayor porcentaje de riesgo sin resolver. Son, en palabras del informe, “el eslabón más débil”. Y es ahí, en esos cruces de código que mueven miles de millones, donde se cuecen los sustos más caros.
La estructura interconectada de DeFi convierte un fallo local en un shock que vacía liquidez de protocolos no expuestos directamente.
¿Puede DeFi recuperar la confianza del dinero institucional?
La gran pregunta que sobrevuela el informe de JPMorgan es si las finanzas descentralizadas están maduras para el dinero serio. Los datos que maneja el banco pintan un escenario agridulce. En términos de dólares, el TVL de DeFi ha repuntado algo al calor de la recuperación general del mercado cripto. Pero medido en ether, el valor bloqueado se ha quedado plano. Dicho de otro modo: la revalorización de los activos oculta una parálisis real del crecimiento orgánico. La comunidad más técnica de Ethereum lleva tiempo advirtiendo de que el TVL en dólares puede ser engañoso porque no descuenta la inflación del mercado.
Ese estancamiento en términos de ETH es especialmente relevante para los inversores institucionales. Si el ecosistema no es capaz de atraer capital fresco más allá del efecto arrastre de los precios, difícilmente justificará el escrutinio regulatorio y los costes de integración que exige una entrada a escala. Aunque los protocolos avanzan en gobernanza y transparencia, la combinación de puentes vulnerables y la velocidad a la que se propagan los pánicos sigue siendo una losa. Ningún fondo de pensiones va a destinar un porcentaje de su cartera a un entorno donde un solo fallo de código puede evaporar 20.000 millones en tres días.
Lo que más inquieta a los analistas no es el importe perdido, sino la velocidad del contagio. En apenas 72 horas, el pánico saltó de Kelp DAO a plataformas de préstamo y exchanges descentralizados que no tenían nada que ver con el activo comprometido, algo impensable en los mercados tradicionales. Ahí radica el verdadero cortafuegos: mientras la DeFi no demuestre que puede contener un incendio local sin que queme todo el barrio, el dinero grande preferirá mirar desde la acera.
La propia JPMorgan no cierra la puerta del todo. Señala que las mejoras en auditorías y la claridad regulatoria que pueda traer MiCA en Europa —ya plenamente en vigor— podrían allanar el camino. La próxima gran actualización de la red, Pectra, promete herramientas de abstracción de cuentas que, en teoría, dificultarán ciertos vectores de ataque. Pero, como se vio en los días posteriores al exploit, el hipervínculo entre protocolos es un arma de doble filo que ninguna cartera inteligente puede cortar de raíz. La confianza se construye despacio y se evapora en segundos.
Veinte mil millones. Esa es la factura de este último susto y el recordatorio de que en DeFi el riesgo no se ha domado.
