El ecosistema de las finanzas descentralizadas (DeFi) enfrenta recurrentemente desafíos que ponen a prueba su robustez y fiabilidad. Recientemente, el exchange descentralizado Raydium, operativo en la red Solana, experimentó un exploit que resultó en la sustracción de aproximadamente USD 1,3 millones. Este incidente, reportado el 10 de junio de 2026, no se originó en sus sistemas activos, sino en una vulnerabilidad presente en cinco pools de liquidez heredados, demostrando que el pasado tecnológico puede ser un vector de ataque.
La falla técnica que permitió el hurto residía en versiones antiguas del AMM V3 de Raydium, un sistema que había sido descontinuado y no estaba activo desde 2021. El atacante explotó una deficiencia en la validación de los contratos inteligentes: el protocolo verificaba el suministro de un token de proveedor de liquidez (LP) pero ignoraba la dirección de emisión asociada. Esta omisión permitió la creación y quema de un token LP falso, facilitando la extracción del 100% de las reservas en los pools inactivos, una manifestación clara del peligro latente del ‘código zombie’ en las redes blockchain.
Los activos sustraídos incluyeron 150.177 RAY, 5.603 SOL y 893.700 USDC, provenientes de pares como Sollet USDT-RAY, Sollet ETH-RAY, SRM-RAY, USDC-RAY y RAY-SOL. Estos pools habían sido configurados durante la fase inicial de integración con Serum y posteriormente retirados de operación en Solana. La velocidad y metodología del atacante para disipar los fondos fueron notables, utilizando deBridge para transferirlos a la red Ethereum y luego mezcladores como Tornado Cash y FixedFloat, una estrategia que subraya la sofisticación de los actores maliciosos en el espacio cripto.
La respuesta de Raydium ha sido proactiva y orientada a la protección de los usuarios, confirmando que ningún usuario activo se vio afectado debido a que los pools comprometidos no eran accesibles desde sus interfaces actuales. El equipo ha prometido reembolsar el 100% de las pérdidas utilizando fondos de su tesorería y ha anunciado la implementación de un sistema de reclamaciones basado en una hoja de cálculo pública. Además, han iniciado una revisión exhaustiva de otros programas antiguos para asegurar que la vulnerabilidad no se extienda a versiones activas del protocolo, un paso crucial para la confianza en la plataforma.
Este evento reaviva el debate sobre la persistencia y los riesgos asociados al ‘código zombie’ en DeFi. Se refiere a contratos inteligentes que, aunque abandonados o descontinuados, permanecen ejecutables en la cadena de bloques, conservando valor bloqueado o lógica vulnerable que puede ser explotada. La capacidad de estos contratos inactivos para ser una puerta trasera resalta una capa de complejidad en la gestión de la seguridad de los protocolos descentralizados que va más allá de la auditoría de su infraestructura operativa actual.
El caso de Raydium, aunque no destaca por su magnitud en comparación con otros incidentes recientes, es emblemático de una tendencia preocupante. Solo en abril de 2026, se registraron más de 34 hackeos en protocolos DeFi, sumando pérdidas de aproximadamente USD 635 millones, lo que representa el 78% del total robado en el año. Incidentes como los de Drift Protocol o Kelp DAO han evidenciado una diversidad de vectores de ataque, desde fallas de gobernanza hasta compromisos de infraestructura crítica, ampliando el espectro de riesgos en un sector que busca consolidar su madurez y aceptación global.
En este contexto, la violación de Raydium subraya que la seguridad DeFi no se limita a la vigilancia de la infraestructura en uso. La diligencia debe extenderse a todo el historial de código desplegado, ya que cualquier componente ejecutable, incluso si es obsoleto o inaccesible desde la interfaz principal, puede representar un punto de entrada para actores maliciosos. La gestión integral del ciclo de vida del código en las blockchain emerge como un imperativo para salvaguardar la integridad de los fondos y la confianza en el futuro de las finanzas descentralizadas.
Si le ha parecido interesante este análisis, le invitamos a compartirlo y a dejar su opinión en los comentarios.
