Aave ha logrado reunir alrededor de 160 millones de dólares, casi el 80% de los 200 millones que necesita para cubrir el agujero contable que dejó el ataque sufrido por Kelp DAO. La operación, según ha adelantado CoinDesk este domingo, se ha articulado a contrarreloj para evitar que la principal plataforma de préstamos del mundo cripto arrastre pérdidas a sus usuarios.

Dicho de otro modo: el protocolo de referencia del sector DeFi, el segmento de las finanzas descentralizadas que permite prestar y pedir prestado sin intermediarios bancarios, ha tenido que pasar la gorra entre su comunidad y sus aliados para tapar un boquete ajeno. Y lo ha hecho rápido.

Qué ha pasado con Kelp DAO y por qué le toca pagar a Aave

Kelp DAO es un protocolo de restaking, una práctica que permite a los usuarios reutilizar monedas que ya están bloqueadas en la red Ethereum para obtener rendimientos adicionales. Funciona, salvando las distancias, como si pudieras poner el mismo aval en dos hipotecas a la vez. Y como se intuye, esa eficiencia tiene un precio: si algo se rompe en la cadena, el efecto dominó es serio.

El exploit, el término que el sector usa para los ataques que aprovechan una vulnerabilidad en el código, dejó posiciones tóxicas dentro de Aave. Muchos usuarios habían depositado tokens vinculados a Kelp como garantía para pedir prestado en Aave; al colapsar el valor de esas garantías, los préstamos quedaron sin respaldo suficiente. Esa diferencia es la deuda incobrable que ahora hay que cubrir: 200 millones de dólares.

La cifra no es menor. Para ponerlo en contexto, equivale a más de lo que captó cualquier ronda de financiación en DeFi durante todo el primer trimestre de este año, según los datos del agregador DefiLlama, que monitoriza el dinero depositado en los protocolos descentralizados.

Cómo se está montando el rescate

Según el reporte de CoinDesk, la captación de los 160 millones combina aportaciones de fondos del propio tesoro de Aave, contribuciones de inversores institucionales próximos al ecosistema y la venta programada de tokens AAVE. La idea es completar los 40 millones restantes en los próximos días con una mezcla similar.

Los detalles operativos importan: si el rescate se cierra, los usuarios que prestaron a través de Aave no perderán dinero y el protocolo mantiene intacta su reputación de pagador. Si no se cierra, parte de la pérdida acabaría socializándose entre depositantes, algo que en DeFi está previsto técnicamente pero que erosiona la confianza durante meses.

La fundación de Aave ha movido ficha rápido por una razón sencilla: es el mayor protocolo de préstamos cripto del mundo, con un volumen de fondos depositados que ha rondado los 30.000 millones de dólares durante el último año. Un mal precedente aquí no afectaría solo a Aave; arrastraría la confianza en todo el segmento de préstamos descentralizados.

Lo que dice este episodio sobre el riesgo real del DeFi

Esta historia recuerda mucho a otras crisis del sector. En 2022, el colapso de Terra (una stablecoin algorítmica que prometía mantener su valor a 1 dólar mediante un mecanismo automático y que terminó en cero) dejó al descubierto cuánto dependía DeFi de piezas que parecían sólidas hasta que dejaban de serlo. Más cerca en el tiempo, los problemas de varios protocolos de restaking a lo largo de 2025 ya habían encendido alarmas entre auditores y analistas.

Lo interesante del rescate de Aave es que demuestra dos cosas a la vez. Por un lado, que la composabilidad (la capacidad de que un protocolo se apoye en otro) es a la vez la mayor virtud de DeFi y su mayor vulnerabilidad: cuando una pieza falla, las demás sufren aunque hayan hecho sus deberes. Por otro, que el ecosistema ha aprendido a reaccionar con la velocidad que exige el mercado, sin esperar a un regulador, sin esperar a un banco central, organizando cobertura financiera en cuestión de días.

Eso sí, el episodio reabre la conversación incómoda. ¿Hasta qué punto pueden los inversores confiar en que un protocolo cripto absorberá las pérdidas si algo falla en otro al que ni siquiera se conectaron de forma directa? La SEC y la ESMA, el regulador europeo de mercados, llevan dos años pidiendo más transparencia sobre los riesgos cruzados en DeFi, y casos como este les dan munición. La próxima cita relevante en Europa es la revisión del marco MiCA prevista para finales de este año, donde la exposición indirecta a protocolos de terceros figura entre los puntos abiertos. Conviene seguirla.

Para el lector que no opera en cripto, la lectura útil es esta: si alguna vez le ofrecen rendimientos altos a través de plataformas DeFi, conviene preguntar no solo qué hace ese protocolo, sino con qué otros protocolos está enganchado. Porque el riesgo, ya se ha visto, viaja por las costuras.

El reglamento europeo de criptoactivos, conocido como MiCA, prometía un mercado único: una sola licencia para operar en los 27 países de la Unión. Pero el consejero delegado de Bybit, uno de los mayores exchanges del mundo, acaba de poner el dedo en la llaga. Ben Zhou ha dicho en voz alta lo que muchos directivos del sector murmuran en privado: con MiCA sola no se gana dinero en Europa.

Zhou ha explicado que las plataformas necesitan sumar licencias adicionales país por país para que el negocio sea rentable. Una afirmación que, si se confirma como tendencia, deja en entredicho una de las grandes promesas de Bruselas: la armonización regulatoria que iba a convertir a Europa en un terreno de juego homogéneo para los exchanges (las plataformas donde se compran y venden criptomonedas).

Qué ha dicho exactamente el CEO de Bybit

En declaraciones recogidas por CoinDesk, Zhou ha sostenido que el régimen de MiCA, plenamente operativo desde finales de 2024, cubre lo básico pero deja fuera servicios que generan ingresos clave. Para ofrecerlos, las plataformas tienen que pedir autorizaciones nacionales adicionales en mercados como Alemania, Francia o España, cada uno con su propio supervisor, sus tiempos y sus tasas.

Eso encarece la operación. Y mucho. Bybit, que obtuvo su licencia MiCA a través de un registro en un país miembro, sigue tramitando aprobaciones específicas en varios estados para poder ofrecer derivados, servicios de custodia avanzada o productos vinculados a staking (el mecanismo por el que un usuario bloquea sus monedas en una red para recibir recompensas, parecido a un depósito a plazo en un banco). Estos son, justamente, los productos con mejores márgenes.

La queja de Zhou no es trivial. Bybit es un actor global con volúmenes diarios de miles de millones, y si su CEO admite que MiCA no basta para ser rentable, el problema escala más allá de un caso aislado.

Por qué esto afecta al usuario europeo y al inversor medio

El razonamiento es directo. Si operar en Europa sale más caro de lo previsto, los exchanges pueden hacer tres cosas: subir comisiones, recortar el catálogo de productos disponibles o, directamente, salir de mercados secundarios donde no compense el esfuerzo regulatorio. Cualquiera de las tres opciones penaliza al usuario final.

De hecho, varias plataformas han ajustado ya su oferta en Europa desde la entrada en vigor de MiCA. Algunos tokens han desaparecido de los listados europeos, y ciertas stablecoins (criptomonedas diseñadas para mantener un valor estable, normalmente vinculado al dólar) han visto restricciones específicas para usuarios con residencia en la UE. Para quien invierte desde España, eso significa menos opciones que un usuario en Estados Unidos o Asia.

El otro efecto, menos visible, es la concentración. Si solo los gigantes pueden permitirse el coste de licencias múltiples, los exchanges medianos quedan fuera. Una paradoja: una norma pensada para abrir competencia podría acabar reduciéndola.

Una promesa de armonización que se va matizando

Conviene situar el momento. MiCA se aprobó en 2023 y se desplegó en dos fases, completándose a finales de 2024. Bruselas lo vendió, con razón, como el primer marco regulatorio integral para criptoactivos en una jurisdicción importante, adelantándose a Estados Unidos y al Reino Unido. La idea era simple y potente: una passport, una sola autorización válida para los 27 países, igual que ocurre desde hace años con bancos y gestoras bajo MiFID II.

El precedente regulatorio europeo apuntaba a que esa armonización funcionaría. En el sector financiero tradicional, el pasaporte único ha funcionado razonablemente bien para fondos UCITS o para entidades de pago. Pero el cripto introduce capas que MiCA no resuelve del todo: derivados sobre criptoactivos, productos de rendimiento como el staking institucional, o la custodia para clientes profesionales. Esos huecos los rellenan los reguladores nacionales, cada uno a su manera.

En España, por ejemplo, la CNMV ha mantenido competencias específicas y un registro propio que se solapa parcialmente con el régimen europeo. Y la ESMA, la autoridad europea de mercados, sigue afinando guías técnicas que llegan con cuentagotas. El resultado es que un exchange con licencia MiCA aún tiene que negociar caso por caso con cada supervisor nacional para los servicios que más facturan.

El riesgo de fondo es político. Si los grandes operadores empiezan a decir abiertamente que el marco europeo no funciona para hacer negocio, se reabre el debate sobre si Europa será un mercado atractivo o una jurisdicción que el sector evita. Y eso ocurre justo cuando Estados Unidos avanza, bajo la nueva administración, hacia un marco propio que muchos perciben como más amigable. La SEC ha relajado parte de su postura adversarial del bienio anterior, y eso compite directamente por captar a las plataformas que hoy dudan dónde poner su sede europea.

La pregunta que queda abierta es si Bruselas reaccionará. La revisión técnica de MiCA tiene fechas previstas para los próximos años, y el debate sobre una posible MiCA II ya está sobre la mesa en círculos especializados. Mientras tanto, el lector que invierte desde España conviene que asuma una realidad: aunque vea el sello ‘autorizado bajo MiCA’ en su exchange favorito, eso no garantiza que tenga acceso a todos los servicios, ni que las comisiones sean homogéneas con las de un usuario alemán o francés. La armonización, de momento, es más una aspiración que un hecho.

La red de Litecoin vivió este sábado uno de esos sustos que en cripto disparan todas las alarmas: trece bloques de su cadena fueron reescritos de golpe. Durante unas horas, medio sector dio por hecho que estábamos ante un ataque del 51%, el escenario que más temen los usuarios de cualquier blockchain. Al final no era eso. Era un fallo de software.

El equipo de desarrollo de Litecoin confirmó que la reorganización de 13 bloques registrada el 25 de abril se debió a un bug de día cero, es decir, una vulnerabilidad desconocida hasta el momento de explotarse, presente en versiones antiguas del cliente que aún no habían instalado la última actualización. El parche ya está disponible y los nodos afectados están migrando a la versión corregida.

Qué pasó exactamente con los 13 bloques de Litecoin

Para entender la magnitud del susto conviene traducir la jerga. Una reorganización, o reorg en argot del sector, ocurre cuando la red descarta una serie de bloques recientes y los sustituye por otra cadena distinta que considera válida. Pasa de vez en cuando con uno o dos bloques sin mayor problema. Que se reescriban trece de golpe, en cambio, es excepcional y deja en el aire transacciones que parecían confirmadas.

El primer reflejo en redes sociales y foros fue dar por hecho que alguien había logrado un ataque del 51%, el escenario en el que un actor malicioso controla más de la mitad del poder de minado y reescribe la historia de la cadena a voluntad. Ese tipo de ataque es la pesadilla teórica de cualquier blockchain de prueba de trabajo, y Litecoin, con un hash rate (la potencia total de cómputo dedicada a minar la red) muy inferior al de Bitcoin, ha sido señalado en alguna ocasión como potencialmente vulnerable.

Pero los datos no encajaban. Según la explicación de los desarrolladores recogida por Diario Bitcoin, el problema estaba en cómo ciertos nodos antiguos validaban un tipo concreto de transacción. Un fallo en esa lógica permitió que parte de la red aceptara como válida una secuencia de bloques que el resto rechazaba, generando la divergencia que acabó resolviéndose con la reescritura de los trece bloques.

Por qué importa la diferencia entre bug y ataque

Que sea un bug y no un ataque cambia el relato por completo, y el lector que sigue el sector debería entender por qué.

Un ataque del 51% implica que la seguridad económica de la red está comprometida: alguien con suficiente dinero o potencia ha decidido vulnerarla. La solución pasa por subir la dificultad de minado, atraer más mineros honestos o, en casos extremos, modificar el algoritmo. Es un problema estructural.

Un bug en el cliente, en cambio, es un fallo de código. Se identifica, se parchea y se distribuye una nueva versión. Los nodos actualizan y el problema desaparece. Pasa en Bitcoin, en Ethereum y en cualquier software complejo. Litecoin nació en 2011 como una bifurcación del código de Bitcoin y comparte buena parte de su arquitectura, lo que significa que también hereda el tipo de vulnerabilidades sutiles que aparecen cuando se acumulan años de parches sobre parches.

El equipo ha pedido a operadores de nodos, exchanges y servicios de minería que actualicen cuanto antes. Algunas plataformas suspendieron temporalmente los depósitos y retiradas de LTC durante el incidente, una medida estándar para evitar que un usuario reciba monedas que después podrían quedar invalidadas si la cadena vuelve a reorganizarse.

Lo que este episodio nos dice sobre la seguridad cripto

El incidente deja varias lecturas que conviene poner sobre la mesa con calma. La primera es que la velocidad con la que la comunidad cripto interpreta cualquier anomalía como ataque dice mucho del nerviosismo que arrastra el sector tras varios años de hackeos sonados. Hay precedentes que pesan: Ethereum Classic sufrió ataques del 51% reales en 2019 y 2020 que costaron millones de dólares en doble gasto, y casos como ese todavía marcan la memoria colectiva.

La segunda lectura es más técnica. Los bugs de día cero en clientes blockchain son raros, pero ocurren. Bitcoin tuvo uno célebre en 2018, el CVE-2018-17144, que de haberse explotado habría permitido inflar la oferta de la moneda. Se descubrió y parcheó a tiempo, pero recuerda que ningún software es invulnerable, y que la red depende de que la mayoría de los operadores actualicen rápido cuando llega el aviso. En el caso de Litecoin, el hecho de que existieran suficientes nodos sin actualizar como para provocar una reorg tan grande sugiere que la disciplina de mantenimiento en la red es mejorable.

La tercera lectura toca al inversor medio. Si tienes LTC en un exchange regulado, el incidente apenas te afecta más allá de unas horas sin poder mover fondos. Si lo guardas en un monedero propio, tampoco. La integridad de los saldos no se ha visto comprometida según la información disponible, y las transacciones afectadas eran un grupo concreto y limitado. Eso sí, episodios como este recuerdan que las criptomonedas con menor capitalización y menos hash rate dedicado son estructuralmente más frágiles que las grandes, algo que conviene tener presente al decidir cómo se reparte una cartera.

La incógnita que queda abierta es cuántos nodos tardarán en actualizarse y si el parche cubre todas las variantes del bug. Los desarrolladores hablan de una corrección completa, pero la auditoría exhaustiva, suele llevar semanas. Hasta entonces, la prudencia recomienda seguir el ritmo de actualización del ecosistema antes de cantar victoria.

El Banco Central Europeo ha decidido construir el euro digital sin Visa ni Mastercard. La institución que preside Christine Lagarde acaba de firmar acuerdos con tres organismos europeos para que la futura moneda digital de la zona euro funcione sobre estándares abiertos del continente, una decisión que aparta del proyecto a las dos grandes redes estadounidenses que hoy dominan los pagos con tarjeta.

El movimiento llega después de años de debate sobre quién tendría las llaves técnicas del euro digital, y supone un giro claro hacia la soberanía tecnológica. Para el ciudadano de a pie, la decisión no cambia nada en su día a día inmediato, pero sí define cómo será dentro de unos años el dinero público que conviva con los billetes y las tarjetas.

Qué ha firmado el BCE y por qué deja fuera a Visa y Mastercard

Los acuerdos se han cerrado con tres entidades muy específicas: el European Payments Council (ECPC), que coordina los esquemas de pagos en euros entre bancos; nexo, la asociación que define estándares para pagos en comercios; y Berlin Group, una alianza técnica que fija reglas comunes para la interoperabilidad entre entidades financieras europeas. Tres siglas que suenan a despacho, pero que entre las tres cubren prácticamente toda la fontanería de los pagos europeos.

La idea de fondo es que el euro digital, cuando llegue, hable el mismo idioma técnico en cualquier país de la zona euro y lo haga sobre protocolos abiertos, no sobre redes propietarias. Visa y Mastercard, las dos compañías que hoy procesan la mayoría de pagos con tarjeta en Europa, quedan fuera de esa capa fundacional. Según ha publicado el medio especializado BeInCrypto, el BCE quiere evitar que la infraestructura crítica del dinero público dependa de proveedores no europeos.

No es un detalle menor. Cada vez que pagamos con tarjeta en un comercio europeo, una parte de la comisión termina en cuentas de empresas estadounidenses. El euro digital está diseñado precisamente para ofrecer una alternativa pública, gratuita para el usuario final y bajo control del eurosistema.

Qué es exactamente el euro digital y a quién afecta

Conviene explicarlo sin tecnicismos. El euro digital sería una CBDC (Central Bank Digital Currency, una moneda digital emitida directamente por un banco central), es decir, dinero del BCE pero en formato electrónico, equivalente a tener un billete pero en el móvil. No es una criptomoneda al uso: ni es descentralizada ni fluctúa de precio. Un euro digital valdría exactamente un euro, igual que un billete.

Por ponerlo en contexto, China lleva años probando el yuan digital, y otros bancos centrales como el de Brasil o el de Reino Unido tienen proyectos similares en marcha. Europa va con calma, pero quiere ir bien. La fase preparatoria del proyecto está en curso desde noviembre de 2023, y la decisión final sobre su lanzamiento depende del Consejo de Gobierno del BCE y del aval de las instituciones europeas.

Para el ciudadano, el euro digital se traduciría en una cartera digital oficial, probablemente integrada con la app del banco de cada uno, que permitiría pagar online y en comercios sin pasar por Visa o Mastercard. También funcionaría sin conexión, en pequeñas cantidades, algo que el BCE considera esencial para que sea un sustituto real del efectivo.

Una apuesta por la soberanía que llega tarde y con riesgos

La lectura de fondo es claramente geopolítica. Europa lleva más de una década intentando construir alternativas propias en pagos —el proyecto European Payments Initiative, lanzado en 2020 con apoyo de la banca, terminó reduciéndose mucho respecto a su ambición original— y ha visto cómo Visa, Mastercard y, más recientemente, soluciones como Apple Pay o Google Pay se han comido el terreno. Que el BCE plante bandera ahora con el euro digital y opte por estándares abiertos europeos es coherente con esa estrategia, pero también llega con varios años de retraso respecto a lo que está pasando en otros bloques.

Hay riesgos visibles. El primero es de adopción: un sistema de pagos solo funciona si lo usa mucha gente, y los europeos ya están cómodos con sus tarjetas y sus apps. El segundo es técnico: los estándares abiertos suenan bien sobre el papel, pero coordinar a bancos, comercios, reguladores y veintenas de proveedores tecnológicos para que todo encaje no es trivial. Y el tercero es político, porque parte del sector bancario europeo teme que un euro digital muy generoso en límites pueda restarles depósitos.

El siguiente hito relevante será la decisión formal del Consejo de Gobierno del BCE sobre si pasar a la fase de construcción real, prevista para los próximos meses. Si la respuesta es afirmativa, el euro digital podría empezar a desplegarse de forma escalonada antes del final de la década. Si no, el proyecto seguirá en pruebas y el dominio de las redes americanas en los pagos europeos cotidianos continuará intacto un tiempo más.