La finanza descentralizada (DeFi) fue testigo de uno de sus incidentes cibernéticos más extraordinarios después de que un error de codificación generado por IA expusiera una gran vulnerabilidad. La última brecha golpeó el protocolo Moonwell, donde una fórmula defectuosa del oráculo de precios escrita por el modelo Claude Opus 4.6 llevó a pérdidas por un total de aproximadamente $1.78 millones. En lo que los expertos ahora llaman la primera gran víctima de la llamada “vibe-coding”—la tendencia hacia el desarrollo de software rápido impulsado por IA—el sector DeFi se encuentra en una encrucijada de innovación e integridad.
El Error de Cálculo de Precios de Claude Opus Causa Estrhaces
El analista de seguridad de la industria Pashov sacó a la luz el problema, destacando agudamente los riesgos que la inteligencia artificial introduce en las tuberías de desarrollo de software. En el centro de la brecha había un error en el oráculo de precios de Moonwell: el valor de cbETH, un activo clave, se desconectó por completo de la realidad del mercado. Normalmente cotizando cerca de $2,200, cbETH fue listado erróneamente en solo $1.12 debido a un código defectuoso escrito por Claude Opus 4.6. El resultado fue un festín para los exploits y una rápida cascada de pérdidas.
Al profundizar en la fuente del error se reveló un problema más profundo: un error de fórmula matemática incrustado en la lógica central del contrato inteligente. Según Cos, el fundador de SlowMist, este error de cálculo básico en la fuente de precios abrió el camino para que los atacantes explotaran los desequilibrios sistémicos. El incidente sirvió como una clara evidencia de que incluso los sistemas DeFi más complejos pueden ser deshechos por errores de IA, enfatizando su naturaleza precaria.
Un examen más detallado del repositorio de GitHub de Moonwell y las solicitudes de extracción no dejaron dudas: el código errante fue coautorado por el modelo Claude junto con desarrolladores humanos. La sobreconfianza en la codificación asistida por IA difuminó procesos de auditoría cruciales, transformando plataformas con miles de millones en volumen en objetivos principales para los cibercriminales. Este incidente sirve como una advertencia para todos los equipos que integran IA generativa en aplicaciones críticas para la misión.
Riesgos de IA y la Necesidad de Supervisión de Desarrolladores
Las partes interesadas de la industria están llamando a este evento el primer gran hackeo de la era “vibe-coding”. La prisa por la velocidad, que llevó a delegar una autoridad de desarrollo significativa a modelos como Claude sin revisión manual suficiente o controles de seguridad robustos, puso al descubierto una vulnerabilidad crítica. El exploit de Moonwell resultó en más que solo pérdidas financieras; dejó abiertas dudas sobre la fiabilidad de los modelos de producción de código de próxima generación que ahora emergen en la industria tecnológica.
Especialistas en seguridad como Pashov y Cos advierten que la facilidad de usar sistemas autónomos para la creación de contratos inteligentes viene acompañada de errores matemáticos impredecibles y, a veces, catastróficos. Un pequeño decimal mal colocado o un multiplicador incorrecto en el flujo de precios fue suficiente para eliminar millones de dólares en segundos. Este episodio demuestra claramente que la IA, con toda su promesa, sigue siendo demasiado “inmadura” para asumir responsabilidades en infraestructuras financieras de alto riesgo por sí sola.
En el trasfondo, la lección es inconfundible: la “supervisión centrada en el ser humano” sigue siendo primordial. Independientemente de cuán avanzados se vuelvan los modelos generativos, la revisión meticulosa por auditores profesionales sigue siendo la salvaguarda más robusta en DeFi, donde no hay margen para el error. La brecha de Moonwell ya se está cimentando como uno de los ejemplos más costosos de IA “alucinando” durante el desarrollo, con repercusiones financieras en el mundo real que no se olvidarán pronto.
