Comparativa de seguridad entre cuatro DEX perpetuos: ¿quién puede realmente ayudar a los usuarios a salvarse?

Escrito por: @0xJaehaerys

Compilado por: AididiaoJP, Foresight News

El 29 de octubre, se transfirieron 6.3 mil millones de dólares del monedero caliente de Binance. Según Binance, un ingeniero de DevOps tuvo su computadora portátil hackeada, lo que permitió a los atacantes acceder a los servicios internos y realizar retiros desde allí; no hay indicios de que se hayan filtrado claves privadas.

En otras palabras, es muy probable que los atacantes no necesitaran claves privadas, sino que hicieron que el propio sistema de Binance firmara el retiro. Binance luego descubrió más brechas, y aún no se ha publicado un análisis completo. Se han congelado 3 mil millones de dólares, y Binance se comprometió a cubrir las pérdidas.

En Ethereum, un informe de TRM indica que los atacantes hicieron que el sistema de firma de Binance aprobara un EIP-7702, entregando el control de un monedero caliente a un contrato de los atacantes. Los investigadores creen que el sistema de firma estaba bloqueado contra una lista de "acciones malas conocidas", en lugar de solo permitir acciones de una lista blanca de "acciones buenas conocidas", lo que permitió que este nuevo método de autorización pasara desapercibido. Binance no ha confirmado este detalle y tampoco puede explicar las pérdidas en Bitcoin, Solana y Tron.

Hace un mes, Bitget perdió más de 350 millones de dólares de manera similar: los atacantes accedieron al sistema de backend que alimenta datos de transacciones a los firmantes, y los retiros salieron con firmas válidas.

Si el sistema de un intercambio puede mover tu dinero, basta con que alguien acceda al sistema. Los DEX de contratos perpetuos han afirmado que pueden evitar este tipo de riesgos por su diseño. He seleccionado cuatro y he intentado desglosar las mismas tres preguntas: ¿dónde está el dinero? ¿quién puede mover ese dinero? Si el equipo desaparece o es hackeado, ¿puedes aún salir?

Las respuestas provienen de lecturas en cadena, códigos de contratos verificados, documentos del equipo y publicaciones, así como de @l2beat; la historia de eventos se basa en informes públicos. Esto no es una auditoría ni una búsqueda de vulnerabilidades. Solo estoy considerando un escenario: si el sistema y las claves del equipo son hackeados como en Binance, ¿qué pueden hacer los atacantes con ellos y aún puedes recuperar tu dinero?

No estoy diciendo que estos protocolos tengan vulnerabilidades o que serán hackeados. Las protecciones fuera de la cadena como las billeteras MPC, estrategias de firma y monitoreo pueden hacer que estos escenarios sean mucho menos probables. Así que lo que sigue es lo que permiten los contratos, no una predicción.

Lighter: Si el servidor es hackeado, no puede mover tu saldo

Lighter tiene aproximadamente 1 mil millones de dólares en su contrato de Ethereum: 556 millones de dólares en USDC, 430 millones de dólares en LIT (151 millones de tokens), además de algo de ETH y activos menores.

En funcionamiento normal, el dinero solo puede salir en lotes verificados mediante pruebas ZK. Los retiros estándar solo pueden enviarse a la billetera del propietario de la cuenta, que se fija en el momento del primer depósito. Los retiros más rápidos y las transferencias a otras cuentas también requieren la firma de tu billetera. Por lo tanto, no importa quién controle el ordenante, el probador o las claves de verificación de Lighter, no pueden retirar el saldo por sí solos.

También puedes actuar sin esperar. Puedes iniciar un retiro forzado directamente en Ethereum; si Lighter no lo procesa en 14 días, cualquiera puede cambiar el contrato a "modo desierto". Las actualizaciones se detienen y todos pueden salir utilizando pruebas de saldo ZK basadas en datos existentes de Ethereum.

Pero no es completamente sin confianza.

Los precios son proporcionados por el operador de Lighter a través de precios de índice y precios marcados, y la prueba no verifica la firma del oráculo. Un error de precio puede resultar en liquidaciones injustas, y L2BEAT también ha señalado el mismo riesgo.

Además, hay dos claves de guardianes que pueden pausar el procesamiento de lotes y retiros. Una puede pausar hasta 24 horas, y la otra hasta 72 horas, y después de cada pausa, debe haber un tiempo de enfriamiento antes de que se pueda usar nuevamente. Sin embargo, estas dos claves no pueden detener el "modo desierto": siempre que no se procese un retiro forzado en 14 días, el contrato puede entrar en un estado de salida para todos.

Las actualizaciones siguen un proceso diferente. Normalmente, se requiere un aviso público de 21 días en Ethereum para una firma múltiple 3/5, lo que da tiempo a los usuarios para ver qué se ha cambiado. Pero si otro comité de seguridad 4/7 también firma, este aviso de 21 días puede ser completamente omitido, y la actualización entra en vigor de inmediato. Hasta ahora, cada actualización de Lighter ha seguido este camino rápido. Solo en octubre, el probador de pruebas ha sido cambiado cinco veces. El probador de pruebas es un componente del contrato que valida las pruebas de retiro ZK; su frecuente reemplazo significa que "qué tan rápido se puede cambiar el código" no es un riesgo solo en papel.

Históricamente, durante el colapso del 10 de octubre de 2025, el sistema estuvo fuera de servicio durante aproximadamente 4.5 horas. Después de que LIT se lanzó a finales de diciembre de 2025, hubo retrasos en los retiros. El 17 de octubre de 2026, hubo una pausa de 2 horas de los guardianes, que L2BEAT consideró una prueba. El 20 y el 29 de octubre, hubo interrupciones de actualización de estado de aproximadamente 4.5 horas, ambas terminaron después de la actualización del validador de la vía rápida. No hay informes públicos que indiquen que los fondos en custodia se hayan visto afectados.

Mi juicio: de las cuatro, solo Lighter puede resistir un hackeo de servidor al estilo de Binance: si los atacantes entran en el servidor, no pueden retirar el saldo solo con el servidor. El costo es que el precio es determinado por el operador, y la firma múltiple puede cambiar el código rápidamente. Lo que realmente debes confiar es en estas dos cosas.

Hyperliquid: La mayoría de USDC está en una sola clave de Coinbase y en su propia cadena

Hyperliquid tiene 6.5 mil millones de dólares en USDC, distribuidos en tres lugares.

• Aproximadamente 5.6 mil millones de dólares, que representan el 86%, están en la billetera de reservas de USDC de Coinbase en HyperEVM;
• Aproximadamente 622 millones de dólares, que representan el 10%, están en el contrato CoreDepositWallet de Circle;
• Aproximadamente 290 millones de dólares, que representan el 4.4%, están en el antiguo puente de Arbitrum.

Esa billetera de Coinbase es una dirección normal, con una sola clave privada. Esto significa que la seguridad del 86% de USDC depende completamente de cómo Coinbase maneje esa clave privada, lo cual no se puede ver desde la cadena. La cadena de Hyperliquid también puede eludir la clave privada de Coinbase, utilizando un sistema de transacciones que no requiere firma, moviendo USDC entre la billetera de Coinbase y el contrato de Circle, manteniendo aproximadamente un saldo de 9:1 entre ambos lados, es decir, que el USDC en la billetera de Coinbase es aproximadamente 9 veces el de Circle.

Coinbase ha apostado 506,000 HYPE, aproximadamente 46 millones de dólares, para este rol. Esta apuesta solo se perderá si la billetera no puede pagar la parte de los ingresos del protocolo, y representa menos del 1% del saldo, por lo que no se considera un respaldo para la billetera.

El contrato de Circle es actualizable, y el administrador es una única dirección; la cadena de Hyperliquid también puede transferir USDC directamente. En el puente de Arbitrum, se requieren 3 de 4 validadores para firmar para liberar fondos, y hay una ventana de 200 segundos antes de la liberación que puede ser interceptada.

El respaldo es Circle. Puede congelar USDC nativo; los 823 millones de dólares de USDC robados de Binance fueron congelados antes de ser transferidos. La congelación puede detener a los ladrones, pero el dinero quedará bloqueado hasta que alguien lo maneje.

Hay 27 validadores activos en la cadena. 5 de ellos, operados por Hyper Foundation, representan el 47% de la participación; los tres más grandes suman más de un tercio, y si se desconectan, pueden detener la cadena. Todos ellos ejecutan un software de nodo cerrado de Hyperliquid, que es la única implementación, y se publica como un archivo binario firmado con la clave de Hyper Foundation.

BTC, ETH y SOL ingresan a través de un protocolo independiente llamado Unit, por lo que lo que posees en Hyperliquid son tokens de Unit (UBTC, UETH, USOL). Unit tiene 940 millones de dólares en 14 activos, de los cuales 690 millones están en BTC, ETH y SOL. Según su documentación, tres guardianes (Unit, Hyperliquid, Infinite Field) controlan estas bóvedas, y cada retiro requiere la firma de al menos dos de ellos; sin su participación, no se pueden redimir. Después del incidente de Binance, Unit agregó retrasos a todos los depósitos y retiros.

En marzo de 2025, después de que JELLY fue presionado y la bóveda de liquidez de Hyperliquid fue expuesta, los validadores votaron para eliminar ese mercado y liquidar a precios elegidos. El puente de Arbitrum ha sido pausado de emergencia varias veces, la última en noviembre de 2025; cada vez se reabre en unas pocas horas, sin pérdidas de fondos en el puente.

Mi juicio: la seguridad de la mayoría de USDC depende solo de la custodia de Coinbase y de la cadena de Hyperliquid; la congelación de Circle es el respaldo; la cadena en sí depende de un conjunto de validadores que claramente favorecen a Hyper Foundation, que ejecutan software cerrado.

Aster: Custodia con límites de velocidad en cadena

Aster tiene aproximadamente 500 millones de dólares en bóvedas en BNB Chain, Ethereum, Arbitrum y Solana, de los cuales 100 millones son USDF. Esto no incluye los 1,000 millones de dólares en ASTER y APX en la bóveda de BNB Chain.

Los fondos de la bóveda están agrupados, y quién posee cuánto se registra en Aster Chain; actualmente, esta cadena es operada solo por los validadores de Aster.

Cada retiro de la bóveda EVM debe ser emitido por la dirección operativa de Aster y aprobado por dos claves de Aster. También firmarás la solicitud de retiro, pero el código verificado solo compara tu firma con la dirección proporcionada por la clave de Aster, por lo que solo puede probar que has iniciado la solicitud, sin proteger el fondo.

Este es un riesgo de custodia similar al de Binance: si las claves de Aster o el backend son hackeados, el dinero puede salir de la bóveda. Cada bóveda EVM tiene un límite de retiro por hora, los datos más recientes son los siguientes:

• BNB Chain: 10 millones de dólares
• Ethereum: 6 millones de dólares
• Arbitrum: 3 millones de dólares
• Solana: 1 millón de dólares

Los usuarios tampoco pueden eludir los retiros de Aster. En el código del contrato de la bóveda EVM verificado, no hay funciones que permitan a los usuarios iniciar retiros por sí mismos.

Las actualizaciones de la bóveda EVM siguen un proceso de firma múltiple 4/7 y un bloqueo de tiempo de 24 horas, pero la misma firma múltiple puede cambiar roles y límites de inmediato; el programa de Solana se puede actualizar de inmediato con una firma múltiple 3/6.

El límite se activó varias veces en diciembre de 2024, septiembre de 2025 y julio de 2026, lo que llevó a la suspensión del tesoro debido a retiros excesivos; posteriormente, se aumentaron los límites en las firmas múltiples. En septiembre de 2025, un error de precios en el mercado de XPL llevó a la liquidación de los comerciantes, y Aster compensó en cuestión de horas. En octubre de 2025, DefiLlama retiró el volumen de operaciones de contratos perpetuos de Aster, debido a su alta similitud con Binance, mientras que Aster no pudo proporcionar datos a nivel de órdenes. Su predecesor, ApolloX, perdió 2 millones de dólares en su propio token debido a una vulnerabilidad en 2022.

Mi juicio: esto sigue siendo esencialmente un modelo de custodia. El dinero está en el tesoro de Aster, y los retiros deben ser iniciados por el operador de Aster, además de requerir la aprobación de dos claves de Aster; la firma del usuario solo puede probar "he retirado fondos", pero no protege el fondo. El límite horario en la cadena puede ralentizar los retiros, pero es solo una limitación de velocidad, no de permisos. Además, el mismo conjunto de firmas múltiples 4/7 puede establecer límites y cambiar roles o aumentar límites en cualquier momento, por lo que el freno puede aflojarse en cualquier momento. En última instancia, la seguridad del dinero depende de cómo Aster custodia esas dos claves y si el sistema de fondo es seguro.

Variational: diseño de contrato más desprotegido

Variational tiene 290 millones de dólares en USDC en Arbitrum: 223 millones están dispersos en 208,000 fondos de usuarios, donde los márgenes de comerciantes y creadores de mercado están juntos; 54 millones en la dirección del creador de mercado OLP; 12 millones en el tesoro.

Puedes depositar dinero en el fondo, pero no puedes retirarlo. Cada retiro es emitido por una de las 17 claves operativas, de las cuales 16 son billeteras comunes. Cualquiera de ellas puede transferir USDC de cualquier fondo, y el contrato no tiene límite de monto.

Hay una función que directamente envía USDC a la billetera de la clave del llamador, y una transacción puede procesar múltiples fondos en lote; teóricamente, una sola clave puede vaciar todos los fondos en minutos. El administrador también es una billetera común, y las acciones tienen efecto inmediato: agregar claves, cambiar el fondo a otro contrato de oráculo, pausar todos los retiros. La documentación afirma que el tesoro OLP es un contrato inteligente, pero las direcciones listadas no tienen código.

Variational utiliza Fireblocks para el despliegue de contratos y la firma de oráculos, pero no se hace público qué claves están cubiertas ni cuáles son las reglas de aprobación. Si estas claves tienen un umbral de firma múltiple o un límite, no se puede ver en la cadena.

Los usuarios tampoco tienen forma de salir sin el equipo. Si el fondo se detiene, nadie procesará las solicitudes de retiro; el administrador también puede pausar directamente el oráculo, bloqueando el proceso de retiro. En ambos casos, el contrato no tiene una entrada de retiro de respaldo o una función de salida forzada, y los usuarios no pueden retirar su dinero sin el equipo.

Históricamente, no se han reportado hackers, robos o pausas en los retiros. Después del incidente de Binance, Variational afirmó que los fondos de los usuarios están seguros en el contrato en la cadena y se pueden retirar en cualquier momento; ambas afirmaciones son ciertas, siempre que el fondo continúe firmando. La garantía externa es que Circle congele USDC o que el comité de seguridad de Arbitrum intervenga, ambos han intervenido después del incidente de Binance.

Mi juicio: considerando solo los contratos verificados, Variational tiene la mayor exposición al riesgo. Cualquiera de las 17 claves operativas puede transferir USDC de cualquier fondo de usuario, y el contrato no tiene límite de monto; perder una clave es suficiente para vaciar el fondo. Lo único que puede detener esto es que el administrador pause el oráculo o elimine una clave, pero el administrador también es una billetera única, y las acciones tienen efecto inmediato, sin tiempo de bloqueo ni umbral de firma múltiple. Esto se parece más a una mitigación posterior que a una línea de defensa previa. Al igual que Aster, la seguridad del dinero depende en última instancia de esas claves y del fondo.

Comparación horizontal de cuatro empresas

De las cuatro, solo Lighter permite que salgas sin depender del equipo.

¿Quién es el más seguro?

Según las tres preguntas anteriores, y solo considerando lo que se puede verificar en la cadena:

Lighter es el más seguro por diseño. Ingresar a su servidor no es suficiente para retirar tu saldo; si el equipo desaparece, aún puedes optar por el retiro forzado y el modo desierto. Pero el operador también fija los precios, y un mal precio aún puede liquidarte. Con 3 votos de un 3/5 de firma múltiple, más 4 votos de un comité de seguridad 4/7, un total de 7 votos puede cambiar el código sin aviso; hasta ahora, cada actualización ha seguido este camino.

Hyperliquid está en el medio. El 86% de los USDC está en una billetera de clave única de Coinbase, y las claves de Coinbase y la cadena de Hyperliquid pueden moverlo, el congelamiento de Circle es la garantía.

Aster está en la misma categoría que Hyperliquid. Los retiros de EVM son emitidos por el operador de Aster y requieren la aprobación de dos claves de Aster. El límite horario puede ralentizar los retiros, pero las firmas múltiples 4/7 pueden aumentar el límite en cualquier momento.

El diseño del contrato de Variational es el más desprotegido. Cualquiera de las 17 claves operativas puede transferir USDC de cualquier fondo de usuario, y el contrato no tiene límite de monto. El congelamiento de Circle también es una garantía.

¿Cómo usar esta lista?

Ya sea DEX o CEX, solo coloca el dinero que estás negociando en el intercambio.

Antes de aumentar el dinero, haz dos verificaciones. Primero, ¿dónde está realmente el dinero?: ¿está bloqueado en un contrato en la cadena, o está en una billetera controlada por algún equipo, en una cuenta de custodia de intercambio o en un puente entre cadenas? Si es un contrato, ¿quién tiene permiso para moverlo, es una clave única, firma múltiple, o como Lighter que solo puede liberarse con prueba ZK? Segundo, sin el equipo, ¿puedes salir?: ¿hay un retiro forzado, una vía de escape o un tiempo de bloqueo en el contrato, o cada retiro debe esperar la firma del operador?

No asumas que la etiqueta "DEX" es una garantía de seguridad. Un DEX de contratos perpetuos puede tener un frontend descentralizado y transacciones en la cadena, pero el dinero aún puede estar controlado por claves del equipo, direcciones operativas o firmas múltiples; Aster y Variational son ejemplos. La etiqueta no indica quién tiene el poder de retirar, solo los permisos del contrato y las rutas de salida.

Este contenido se ofrece únicamente con fines informativos generales y no constituye asesoramiento financiero, de inversión, legal ni fiscal. Cualquier evento, recompensa, promoción en línea o información relacionada que se mencione en el presente documento no debe considerarse como una recomendación, solicitud o invitación a comprar, vender, tradear o de negociar de otra manera con cualquier criptoactivo. Los criptoactivos son sumamente volátiles y pueden provocar pérdidas. La disponibilidad de los servicios, productos y eventos relacionados de WEEX puede variar según la región. Tienes la responsabilidad de asegurarte de que tu participación esté de acuerdo con las leyes y regulaciones locales vigentes.