El exploit de Drift en Solana ejecutado el 1 de abril drenó unos 295,4 millones de dólares de la fundación del protocolo, hoy rebautizada como Velocity. Seis meses después, las víctimas ya tienen un portal para reclamar: el token de recuperación DFX, que abrió su ventana esta semana con un tipo de cambio de alrededor de un centavo por cada dólar perdido.
La cifra no es un error de cálculo. Es lo que hay. El pozo de recuperación de Velocity contiene hoy 3,11 millones de dólares en USDT frente a un suministro fijo de casi 299,5 millones de tokens DFX, y esa división es la que produce los 0,0104 dólares por token que se vieron en el lanzamiento.
Para las decenas de miles de usuarios afectados, el portal llega con medio año de retraso y con la sensación de que el mecanismo no repara el daño, sino que lo reparte en cuotas. Quien perdió 100 dólares en abril tiene ahora 100 DFX, que puede mantener, canjear o vender por unos 1,04 dólares.
Qué es el token DFX y por qué cotiza por encima de su valor de canje
DFX es un token SPL estándar, es decir, un token fungible emitido con el formato nativo de Solana, el equivalente funcional al ERC-20 de Ethereum. Se entrega a razón de un DFX por cada dólar verificado como perdido y puede canjearse en el portal de la fundación o venderse en el mercado secundario, por ejemplo en el AMM de Raydium. Su valor en USDT no está fijado de antemano: resulta de dividir el saldo del pozo entre los DFX que siguen pendientes de redención.
El detalle llamativo es que el mercado secundario lo paga bastante por encima de su valor de canje. DFX subió alrededor de un 210% en 24 horas hasta rondar los 0,03 dólares, tres veces lo que paga el pozo. La trampa está en la liquidez: apenas 200.000 dólares de profundidad, suficiente para que cualquier orden mediana, mueva el precio varios puntos.
Un centavo por dólar no es una compensación: es el recordatorio de que en DeFi la víctima carga con la quiebra sin juez ni fondo de garantía.
Conviven, por tanto, dos precios muy distintos. El de la ventana de canje depende de los ingresos reales de Velocity; el del mercado descuenta que el pozo crecerá mucho más rápido de lo que crece.
Cómo se rellena el pozo de recuperación y cuánto tarda
La fundación diseñó el pozo para que solo pueda crecer. Cada día a las 00:00 UTC entra dinero procedente del ingreso neto de Velocity con tres tramos: el 60% de los primeros 30.000 dólares de facturación diaria, el 70% hasta los 100.000 y el 90% de todo lo que supere esa cifra, hasta que los depósitos cubran la pérdida total verificada. Como el suministro de DFX es fijo y el pozo, por diseño, nunca baja, el tipo de canje tampoco cae.
A esos ingresos se suman otras tres vías. Tether ha comprometido hasta 127,5 millones de dólares y otros socios estratégicos hasta 20 millones, aunque ambos tienen topes y se liberan por fases. La cuarta vía son los fondos robados que se logren recuperar: según la actualización del 30 de septiembre, hay 9,2 millones congelados después de que el atacante pasara parte del botín por Tornado Cash en agosto, la mezcladora de transacciones sancionada en Estados Unidos. Tres de las cuatro carteras de Ethereum vinculadas al ataque siguen guardando 107.165 ETH y no se han movido en meses.
Qué dice este caso sobre la seguridad DeFi en Solana
Solana ya ha pasado por esto antes. El hackeo del puente Wormhole en febrero de 2022 se llevó unos 320 millones de dólares, una de las mayores brechas del sector hasta entonces. Unos meses más tarde, en noviembre de 2022, el colapso de FTX arrastró buena parte de la confianza institucional en el ecosistema. Y antes, en septiembre de 2021 y febrero de 2022, la red sufrió paradas que dejaron a los validadores sin producir bloques durante horas. Cada episodio dejó una lección distinta; la de Drift tiene que ver con la letra pequeña de las compensaciones.
Aquí está el punto incómodo. En una quiebra tradicional, el cliente de un bróker o de un banco cuenta con fondos de garantía, un juez y un orden de prelación. En DeFi, cuando el contrato falla o el atacante encuentra la grieta, la víctima negocia con lo que el proyecto decida ofrecerle. Drift, un exchange descentralizado de derivados (perpetuos: contratos sin fecha de vencimiento que replican el precio de un activo), optó por convertir la deuda en un token y dejar que el mercado le pusiera precio. El resultado, hoy, es que la deuda se paga a un centavo por dólar y que ese mismo token se especula a tres centavos.
Tampoco ayudó la gestión de las primeras semanas. En mayo, los usuarios ya denunciaban que el marco de recuperación penalizaba a quien canjeara pronto, y en el foro de gobernanza del proyecto hubo acusaciones duras contra la votación del fondo de seguros, con un participante describiéndola como un intento de blanqueo. La desconfianza no nació con el DFX; viene de antes.
Mi lectura es que el mecanismo tiene una virtud y un riesgo. La virtud: es transparente y automático, cualquiera puede verificar el saldo del pozo y el tipo de canje del día. El riesgo: convierte a las víctimas en tenedoras de un activo ilíquido cuya cotización depende de los ingresos de una empresa que acaba de cambiar de nombre. Con 3,11 millones en el pozo frente a 295,4 millones reclamables, la cobertura ronda el 1%. Si Velocity multiplica sus ingresos, la foto cambia; si se estanca, la ventana cerrará con la mayor parte de la deuda sin pagar.
Ese es el calendario que conviene tener a mano: los DFX no reclamados se quemarán el 1 de enero de 2028 a las 00:00 UTC y con ellos desaparece cualquier derecho posterior. Para quien tenga tokens pendientes, la decisión no es menor: canjear hoy y asegurar el centavo, o mantener y apostar a que el pozo crezca.
