¿Alguien más notó que cada gran ataque de gobernanza sigue el mismo ciclo?

Se expone una debilidad, se pierden millones, la industria promete aprender y, meses después, otro protocolo repite el mismo error
Los ataques de gobernanza no son algo nuevo, y lo inquietante es que la industria ya entiende cómo ocurren, pero la pregunta más difícil que nadie quiere responder es por qué los mismos arreglos siguen guardados en el estante
Build Finance DAO perdió aproximadamente $500K en febrero de 2022 y nunca se recuperó, Beanstalk perdió $182M dos meses después mediante un ataque de gobernanza con flash loan, el DAO de Tornado Cash tuvo su gobernanza secuestrada en 2023 a través de un contrato de propuesta malicioso, GreenField DAO perdió $31M en 2025 repitiendo el playbook exacto de flash-loan de Beanstalk tres años después, y hace solo unos días BonkDAO perdió $20M sin ni siquiera necesitar un flash loan
Sin un exploit complicado, sin una vulnerabilidad desconocida, solo 4,4M en la bolsa comprando por valor de intercambio y siete wallets ganando suficiente influencia para controlar una decisión que involucra a más de 18.000 miembros
Protocolos distintos, años distintos, pero la misma lección sigue repitiéndose
Lo incómodo es que las soluciones han existido durante años
Los timelocks de ejecución, los multisigs del tesoro, la votación basada en snapshot y las protecciones de quórum no son ideas nuevas; son prácticas básicas de seguridad que ya utilizan grandes protocolos DeFi como Compound, Aave y Uniswap
El problema no es que el cripto no sepa cómo arreglar la gobernanza
El problema es que arreglar la gobernanza a menudo choca con los incentivos de las personas que ejecutan estos sistemas
Porque la descentralización también es un relato
Muchos proyectos quieren que los usuarios crean que las decisiones son impulsadas totalmente por la comunidad y que son sin confianza, pero agregar salvaguardas significa admitir que aún se necesitan humanos para proteger el sistema
Un timelock protege el tesoro de los atacantes, pero también ralentiza a los fundadores y equipos que quieren decisiones más rápidas, y eso crea un intercambio difícil, porque la misma velocidad que se siente eficiente en tiempos buenos puede convertirse en la razón por la que desaparecen millones cuando algo sale mal
Las finanzas tradicionales tienen otra diferencia: cuando una empresa ignora un riesgo conocido y pierde dinero de los accionistas, por lo general hay consecuencias; las juntas pueden ser cuestionadas y la responsabilidad puede rastrearse, pero en muchos DAOs esa responsabilidad aún es poco clara
El costo de ignorar la seguridad a menudo es cero hasta el día en que se convierte en millones
La mayor ironía es que las soluciones de gobernanza requieren gobernanza en sí misma
Necesitas una votación para mejorar el sistema de votación, necesitas participación para resolver la baja participación, pero muchos protocolos DeFi ya tienen dificultades con la asistencia de votantes, creando un bucle donde la misma debilidad que habilita los ataques también impide la solución
El problema no es solo técnico, es el comportamiento humano
Muchos DAOs no actualizan la seguridad cuando son pequeños porque creen que no son objetivos, pero cuando el token crece, el tesoro se vuelve valioso y controlar la gobernanza se vuelve rentable; entonces la debilidad se vuelve de repente evidente
La seguridad suele llegar después del ataque, no antes
Y cada exploit exitoso crea un blueprint para el próximo atacante
El daño real no es solo el dinero robado; es la lección que se está distribuyendo en toda la industria
La verdad incómoda es que esto nunca fue una cuestión de qué DAOs serán atacados; es una cuestión de qué DAOs aún no han sido atacados
Si tu tesoro vale más que el costo de controlar tu gobernanza, entonces no estás protegido por la descentralización: estás protegido por no ser notado
“Code is law” nunca fue un argumento contra la seguridad; se convirtió en una excusa para ignorar la capa humana del cripto
Los DAOs que sobrevivan los próximos cinco años no serán los que tengan el mejor marketing de descentralización; serán los que entiendan que la gobernanza no es solo una función
Pero una superficie de ataque🧘‍♂️