Ataques de Flash Loan Explicados: Cómo los Hackers Vacían DeFi en un Solo Bloque

Un ataque de flash loan es un exploit de DeFi en el que un atacante pide prestada una enorme suma de cripto sin garantía, la utiliza para distorsionar una fuente de precios o desequilibrar un pool de liquidez, extrae valor de un protocolo vulnerable y devuelve todo el préstamo, todo dentro de una única transacción de blockchain. El flash loan en sí mismo es un bloque de construcción legítimo de las finanzas descentralizadas. El ataque es lo que sucede cuando esa primitiva se dirige a un protocolo que confía en precios o balances en los que no debería confiar. Debido a que todo se liquida atómicamente en un solo bloque, el atacante no arriesga casi nada más allá de la tarifa de gas, que es exactamente la razón por la que esta clase de exploit se ha convertido en una de las formas más comunes en que los hackers vacían DeFi.

La Anatomía de un Ataque de Flash Loan, Paso a Paso

Cada ataque de flash loan sigue el mismo ritmo de cuatro tiempos, y los cuatro tiempos se ejecutan dentro de una transacción. Primero, el atacante pide prestada una gran cantidad de tokens de un pool de préstamos sin garantía. Segundo, actúa, enrutando ese capital a través de uno o más protocolos para crear una condición rentable pero artificial. Tercero, extrae el valor resultante. Cuarto, devuelve el préstamo original más una pequeña tarifa. Si el reembolso no se puede realizar al final de la transacción, la blockchain rechaza cada paso como si nada hubiera sucedido.

La clave es que un flash loan elimina la barrera habitual para la manipulación a gran escala: el dinero. Normalmente, mover un mercado lo suficiente como para explotarlo requeriría que un atacante tuviera una fortuna. Con un flash loan, esa fortuna se alquila por la duración de un solo bloque. Si desea conocer la mecánica fundamental de la primitiva en sí, nuestra guía sobre qué es un flash loan cubre los casos de uso legítimos que la misma ruta de código permite.

Los Dos Patrones Clásicos de Ataque de Flash Loan

Aunque los exploits individuales parecen intrincados, la abrumadora mayoría se reduce a uno de dos patrones. El primero y más común es la manipulación de oráculos y precios. Muchos protocolos DeFi leen el precio de un activo de una fuente en cadena, a menudo un único pool de intercambio descentralizado. Un atacante utiliza fondos prestados para realizar un swap enorme contra ese pool, empujando brevemente el precio reportado lejos de la realidad. Un protocolo objetivo que utiliza ese precio spot, por ejemplo para valorar garantías o acuñar un derivado, ahora está operando sobre una mentira, y el atacante explota la brecha antes de que el precio se corrija.

El segundo patrón es el abuso de desequilibrio de pool. Aquí el atacante no necesariamente falsifica una fuente de precios, sino que explota las matemáticas de cómo un pool calcula las participaciones, recompensas o tasas de cambio cuando sus balances se llevan a un extremo. Una bóveda recién implementada o con poco capital es especialmente vulnerable, porque un solo depósito o donación grande puede distorsionar la relación que determina cuántas participaciones vale cada unidad de depósito. Para profundizar en el lado de los precios, consulte nuestros análisis de la manipulación de oráculos en DeFi y qué es realmente un oráculo de precios.

Por Qué la Atomicidad Hace Posibles los Ataques de Flash Loan

La razón por la que estos exploits son posibles y difíciles de detener se reduce a una propiedad: la atomicidad. En la mayoría de las cadenas de contratos inteligentes, una transacción o bien tiene éxito por completo o bien se revierte por completo. No hay un estado intermedio. Esto es normalmente una característica de seguridad. Para un flash loan, se convierte en la base de todo el diseño, porque el prestamista sabe que si el prestatario no ha devuelto el dinero en la instrucción final, toda la transacción se deshace y el préstamo está matemáticamente garantizado de nunca haber salido del pool.

Esa misma garantía es lo que protege al atacante. Su exploit o bien se completa de forma rentable o bien desaparece como si nunca se hubiera ejecutado. Nunca se quedan con una posición a medio terminar o una deuda impaga. El riesgo de capital que normalmente disuadiría la manipulación se reduce al costo de gas de un intento fallido. Los defensores tampoco pueden simplemente prohibir los préstamos grandes, porque los usos legítimos de los flash loans, como el arbitraje y los intercambios de garantías, dependen exactamente del mismo mecanismo.

Cómo se Ve un Ataque Real de Flash Loan en la Práctica

En la práctica, un exploit en vivo es una secuencia cuidadosamente coreografiada empaquetada en una sola transacción. El atacante pide prestada una suma que puede ascender a millones, la divide entre varios protocolos y desencadena una cadena de swaps y depósitos diseñados para dejar un objetivo leyendo un valor manipulado. En el punto álgido de ese arco, cuando el precio distorsionado o la relación desequilibrada está en su punto más extremo, el atacante realiza la acción que convierte la mentira en valor retirado, y luego inmediatamente devuelve el préstamo con lo que queda.

Para un observador externo, todo el evento termina antes de que se mine el siguiente bloque. No hay ventana para pausar el protocolo, no hay tiempo para que los arbitrajistas corrijan el precio, y a menudo no hay forma de recuperar los fondos después. Esta es la razón por la que gran parte del daño multiprotocolo en DeFi se remonta a esta única técnica, un patrón visible en resúmenes de incidentes recurrentes como nuestra descripción general de las principales pérdidas de DeFi en 2026. La forma es casi siempre la misma incluso cuando los objetivos difieren.

Cómo los Protocolos se Defienden de los Ataques de Flash Loan

Debido a que la primitiva de préstamo no puede eliminarse, la defensa se centra en hacer que la manipulación sea inútil. La medida más importante es utilizar un oráculo resistente a la manipulación. Un precio promedio ponderado en el tiempo (TWAP) reporta un precio promediado durante muchos bloques, por lo que un pico de un solo bloque de un flash loan apenas lo mueve. Obtener datos de múltiples fuentes independientes, o de una robusta red de oráculos fuera de la cadena, tiene el mismo efecto de hacer que una distorsión momentánea sea irrelevante.

Más allá de los oráculos, los protocolos bien construidos incorporan guardias de reentrada para evitar que un atacante vuelva a entrar en una función a mitad de ejecución, imponen límites de depósito y préstamo para que una sola transacción no pueda llevar el sistema a un extremo peligroso, y siembran las bóvedas con liquidez mínima o virtual para que las matemáticas de participación no puedan distorsionarse en el lanzamiento. Muchos también añaden comprobaciones de cordura que rechazan una transacción si un precio o balance se mueve de forma inverosímil en un solo bloque. Ninguna de estas es una solución mágica, pero juntas elevan el costo de un ataque por encima de su recompensa, que es el objetivo real.

Qué Significan los Ataques de Flash Loan para los Usuarios de un Protocolo

Como usuario, rara vez eres el objetivo directo de un ataque de flash loan, pero estás muy expuesto a las consecuencias. Cuando un protocolo en el que has depositado fondos es vaciado, la pérdida se socializa: el pool se vacía, tu parte de él pierde valor y la recuperación suele ser parcial o inexistente. Tu defensa es favorecer protocolos que hayan sido auditados, que utilicen oráculos TWAP o de múltiples fuentes, que hayan sobrevivido en el mercado el tiempo suficiente para ser probados en batalla, y que mantengan una liquidez significativa en lugar de pools delgados y fácilmente manipulables.

Trata las bóvedas nuevas y las granjas de rendimiento no auditadas con la mayor precaución, ya que las matemáticas de participación inmaduras son un objetivo frecuente. Antes de comprometer fondos, vale la pena verificar el diseño del oráculo y el historial de auditorías de un protocolo de la misma manera que examinarías cualquier otro riesgo en cadena. Nuestra guía más amplia para evitar estafas cripto cubre los hábitos de diligencia debida más amplios que complementan este riesgo específico. La lección recurrente es simple: en DeFi, los precios en los que confía un protocolo son parte de su superficie de ataque, y también lo es la tuya.

Este artículo tiene fines educativos únicamente y no constituye asesoramiento financiero.