Escrito por: Luke, Mars Finance
Prólogo: el terreno de caza
La oscuridad antes del amanecer siempre es el terreno de caza más puro.
El 27 de agosto de 2025, a las 5:50 de la mañana. Mientras la mayoría de los traders del mundo cripto aún estaban soñando, una 'cacería' cuidadosamente planificada se desarrollaba silenciosamente en la plataforma de derivados descentralizada Hyperliquid. La presa eran aquellos que ingenuamente creían que '1x de apalancamiento' equivalía a 'absoluta seguridad'; y los cazadores eran dos direcciones misteriosas que llevaban tiempo acechando, que pronto utilizarían más de 15 millones de dólares en capital para desencadenar una tormenta perfecta valorada en 27.5 millones de dólares.
Esto no fue un evento 'cisne negro' impredecible, sino un aprovechamiento extremo de las reglas del sistema. Esta es una lección sobre confianza y riesgo escrita con dinero real en la selva digital.
Capítulo uno: la tormenta de cinco minutos
Las señales del ataque no aparecieron de la nada. Como una bestia experimentada, los cazadores habían entrado silenciosamente en este 'terreno de caza' llamado Hyperliquid dos días antes.
Los protagonistas son dos direcciones claramente definidas: 0xe417..., a las que llamamos 'acechador'; y 0xb9c..., a las que llamamos 'explosivista'.
Desde el 24 de agosto, el 'acechador' comenzó a actuar. Como un paciente pescador, en tres días, acumuló silenciosamente una posición larga en XPL valorada en 9.5 millones de dólares y con un total de 21.1 millones de tokens, a un precio promedio de 0.56 dólares. Su movimiento fue suave y discreto, destinado a no alterar la superficie del agua y sembrar la más profunda trampa para la captura final.
Mientras tanto, el 'explosivista' se preparaba para el inminente golpe de trueno. Más de 15.9 millones de dólares en USDC fluyeron como arroyos, a través de la red Arbitrum, de manera silenciosa hacia su cuenta en Hyperliquid.
Todo está preparado.
A las 5:50 de la mañana, en el momento más silencioso y con menor liquidez del mercado, se encendió el 'fósforo' del ataque. El 'explosivista' lanzó un ataque total, una serie de grandes órdenes de compra a precio de mercado, como si fuera una unidad de infantería pesada, que derribaron instantáneamente la débil línea de defensa del libro de órdenes de XPL/USD. En la pantalla, la línea de precios de XPL se comporta como una bestia despertada, rompiendo todas las restricciones de indicadores técnicos, desgarrándose verticalmente hacia arriba de una manera increíble.
0.6 dólares... 0.9 dólares... 1.5 dólares... alcanzando un máximo de 1.8 dólares.
Esto no es la respiración natural del mercado, es una 'explosión de precisión, eficiencia y frialdad'. El aumento del precio es solo un medio, el verdadero objetivo es desencadenar una 'avalanchada digital'. Cuando el precio supera un umbral tras otro, las posiciones cortas de cobertura que se consideran 'puertos seguros' a 1x, sus líneas de liquidación son instantáneamente atravesadas.
El sistema comenzó a ejecutar liquidaciones automáticamente. Sin embargo, la operación de liquidación de posiciones cortas implica enviar órdenes de compra a precio de mercado al mercado. Esta oleada de compras involuntarias generadas por el sistema fue como la primera piedra gigante que rodó por la colina, provocando el rugido y colapso de toda la montaña. Más posiciones cortas fueron liquidadas, más órdenes de compra fueron generadas pasivamente, y el precio fue empujado a alturas aún más locas.
Se formó una mortal 'espiral de liquidación'. En solo unos minutos, una posición corta valorada en 17.67 millones de dólares se convirtió en cenizas en las llamas. En el clímax del caos, los cazadores comenzaron a cosechar. La ola de compra que ellos mismos generaron se convirtió en la mejor cobertura para salir de su posición. La posición del 'acechador' fue cerrada a un precio promedio de aproximadamente 1.15 dólares, obteniendo 12.5 millones de dólares de ganancias. El 'explosivista' recopiló 16 millones de dólares.
Cinco minutos, 27.5 millones de dólares. Al final del ataque, se fueron con elegancia, dejando solo un campo de batalla saqueado.
Capítulo dos: reglas armadas
Esta emboscada perfecta no se basó en aprovechar un error en el código (bug), sino en utilizar las reglas mismas. La 'arma perfecta' que encontraron los cazadores fue el mecanismo único de oráculo llamado 'Hyperp', diseñado por Hyperliquid para tokens pre-emisión.
En un mercado de derivados normal, el precio del contrato se ancla a un precio spot externo y justo. Pero, ¿qué hacer con tokens pre-emisión como XPL que no tienen mercado spot? El diseño de Hyperp es: su precio de oráculo no depende de ninguna fuente de datos externa, sino que es el promedio móvil ponderado exponencial (EWMA) de sus propios precios de marcado de las últimas 8 horas.
Esto es como si, en una habitación cerrada, la 'temperatura estándar' que muestra el termómetro se determinara según sus propias lecturas de las últimas 8 horas. Este diseño de auto-referencia, al enfrentarse a un atacante con capital suficiente, puede crear un ciclo de retroalimentación positiva mortal.
La lógica del ataque es simple y elegante:
Impactar el precio de marcado: el 'explosivista' usó enormes fondos para elevar bruscamente el precio instantáneo del contrato.
Contaminar datos históricos: este nuevo precio artificialmente elevado se introdujo como el último punto de datos en la fórmula de cálculo de EWMA.
Arrastrar el precio del oráculo: debido a la naturaleza de EWMA, este 'precio del oráculo' interno (es decir, el promedio de 8 horas) comienza a moverse lentamente, pero de manera indudable, hacia arriba.
Crear una desviación de precios y desencadenar liquidaciones: el atacante creó una enorme desviación de precios: el precio instantáneo estaba muy por encima del precio del oráculo que se movía lentamente. Esta desviación hizo que el valor de las posiciones cortas cayera drásticamente, lo que provocó esa mortal avalancha de liquidaciones.
Los cazadores no engañaron al sistema, simplemente utilizaron su poder abrumador para hacer que el sistema 'creyera' en el precio que deseaban. Esta arma estaba escondida en el manual del protocolo, esperando al primero que la entendiera y tuviera el poder de accionar el gatillo.
Capítulo tres: la ilusión de la cobertura segura
En esta tormenta, el papel más triste fue el de aquellos 'hedgers' con 1x de apalancamiento que fueron liquidadas. Pensaron que habían encontrado una 'cuerda de seguridad' para cubrir los riesgos, sin saber que esa cuerda estaba atada a una casa de cartas.
Su error fundamental fue aplicar erróneamente la lógica de cobertura de mercados maduros en un **'mercado aislado'**. Un verdadero instrumento de cobertura debe tener un precio que esté fuertemente relacionado con el precio spot del activo que se está cubriendo, y este mecanismo suele ser el arbitraje**.
Sin embargo, el mercado de XPL en Hyperliquid es un hecho 'aislado'. No sigue ningún precio spot externo, por lo que su precio no refleja el valor 'justo' de XPL, sino que solo refleja la comparación de fuerzas de compra y venta en la plataforma Hyperliquid.
Por lo tanto, hacer short de contratos de XPL a 1x, en realidad no es una cobertura del riesgo del valor futuro del token XPL, sino que es una apuesta especulativa a la presión de compra en la plataforma Hyperliquid. Cuando un atacante con ventajas de capital abrumadoras decide generar presión de compra, esta estrategia de 'cobertura' inevitablemente fracasará. El usuario Cbb0fe, quien perdió 2.5 millones de dólares y se retiró furioso, comprobó esto a un alto costo.
Capítulo cuatro: los vigilantes silenciosos
Lo más preocupante es que, frente a esta cacería descarada, la gobernanza de Hyperliquid—quienes deberían mantener el orden del mercado—optó por un silencio total.
No es la primera vez que enfrentan manipulaciones de mercado. Hace unos meses, en otro incidente de 'JELLYJELLY', cuando el ataque apuntó directamente al tesorería de liquidez del propio protocolo (HLP), amenazando la supervivencia del 'casino', los 'vigilantes' decidieron 'desconectar el cable' de manera contundente: pausaron el mercado, forzaron liquidaciones y modificaron retrospectivamente los precios de liquidación, privando de ganancias al atacante.
En esa ocasión, fueron los duros interventores. Y esta vez, cuando las víctimas fueron usuarios comunes de la plataforma, se convirtieron en espectadores indiferentes.
La inacción de la plataforma en el evento XPL parece haber sido vista por los atacantes como una forma de aprobación. Justo media hora después de que ocurrió el evento XPL (6:25-6:30 UTC+8), la misma estrategia de squeeze fue intentada en otro contrato anticipado llamado WLFI. El precio de WLFI subió temporalmente de aproximadamente 0.28 dólares a 0.43 dólares, mientras que el mercado de Binance durante el mismo período no mostró fluctuaciones significativas. Esto indica claramente que los atacantes intentaron repetir el truco en otro activo con características similares (con un gran número de tokens no circulantes y posiciones cortas de cobertura).
Sin embargo, este intento no provocó una serie de liquidaciones tan significativas como XPL. Quizás el desastre de XPL hizo que los bajistas en el mercado se volvieran cautelosos y redujeran su exposición al riesgo por adelantado; o quizás la estructura de liquidez del mercado de WLFI era diferente de la de XPL. Pero, de todos modos, este fallido 'intento de imitación' corroboró aún más la patrones de ataque, y resaltó la falta de gobernanza de la plataforma: las vulnerabilidades todavía existen, solo que la presa se volvió más cautelosa.
¿Por qué la misma plataforma reaccionó de manera tan diferente ante dos manipulaciones de mercado de naturaleza similar? La respuesta puede estar en la diferencia de la identidad de las 'víctimas' en los dos eventos. El ataque de JELLYJELLY amenazó la supervivencia del propio protocolo, mientras que las pérdidas del ataque a XPL fueron asumidas principalmente por los usuarios.
Este 'aplicación selectiva de la ley' es más inquietante que el ataque en sí. Rompe la ilusión del mercado de una plataforma justa y neutral, revelando el espectro de poder centralizado que acecha tras lo que se dice ser 'descentralización'. El umbral de intervención de la plataforma parece estar basado en su propio riesgo financiero, y no en la equidad general del mercado.
Capítulo cinco: las reglas de supervivencia del inversor
Para los inversores comunes, evitar todos los riesgos no es realista, pero se puede identificar y evitar este tipo de 'trampas' a través de una 'debida diligencia previa' más prudente. La clave es no solo analizar el activo en sí, sino también analizar la 'microestructura del mercado' en la que se encuentra el activo. Antes de entrar en cualquier terreno de caza de derivados DeFi, al menos se deben completar tres reconocimientos:
Identificar 'mercados aislados': antes de negociar un derivado, pregúntate: ¿a qué precio está anclado? XPL y WLFI en Hyperliquid son típicos 'mercados aislados', cuyo precio solo refleja la lucha interna de compra y venta en la plataforma, sin ningún mercado spot externo que pueda corregir su precio a través de arbitraje. Para este tipo de mercado aislado, cualquier estrategia de 'cobertura' es una falacia, porque no estás cubriendo el valor justo del activo, sino apostando contra todos los fondos de contrapartida dentro de la plataforma.
Revisar el mecanismo de oráculos: este es el núcleo de los derivados DeFi. Debemos estar alerta ante **oráculos de 'auto-referencia'**. Mecanismos como el de Hyperp, donde el precio se determina por sus propios precios históricos, es como definir la temperatura estándar actual usando la temperatura pasada en una habitación cerrada, lo que puede ser fácilmente 'calentado' y manipulado por grandes capitales. Un oráculo saludable debe depender de múltiples fuentes de datos externas, independientes y profundas** (como Chainlink que agrega precios spot de varios intercambios importantes).
Buscar el 'colchón de seguridad' de la plataforma: una plataforma responsable debe establecer parámetros de riesgo claros para activos de baja liquidez y alto riesgo. Los inversores deben investigar y confirmar proactivamente:
¿Hay un límite máximo de posición total (Open Interest Caps)? Esto puede limitar fundamentalmente la escala de riesgo que un solo mercado puede acumular.
¿Hay un límite de posición para cuentas individuales? Esto puede prevenir que grandes ballenas 'controlen el mercado'.
¿Es el mecanismo de liquidación fluido? ¿Es un desplome brusco a precio de mercado (que puede llevar a liquidaciones en cadena), o se maneja de manera uniforme a través de TWAP/VWAP (precio promedio ponderado por tiempo/cantidad)?
Si una plataforma no establece ninguna de las medidas de control de riesgos mencionadas anteriormente para un activo completamente nuevo sin anclajes de precios externos, entonces para los inversores comunes, no es un casino justo, sino un 'terreno de caza' cuidadosamente diseñado.
Epílogo: El camino hacia un mercado resiliente
El evento XPL de Hyperliquid debería ser caracterizado como un aprovechamiento predecible de un diseño de mercado defectuoso. Fue una prueba de estrés, y el mecanismo Hyperp fracasó rotundamente en esta prueba. Pero la costosa 'matrícula' de este evento debe transformarse en una escalera hacia protocolos más robustos.
Las vulnerabilidades de las reglas de la plataforma son completamente reparables, y técnicamente no son complicadas. Lo que se expone no son problemas técnicos insuperables, sino el dilema entre la búsqueda de volumen de transacciones y la atracción de la atención, y la gestión de riesgos de la plataforma. El futuro desarrollo de DeFi necesita combinar la innovación financiera de vanguardia con una filosofía de gestión de riesgos madura.
Las vulnerabilidades pueden repararse desde varios niveles:
Abandonar los oráculos internos puramente: para tokens pre-emisión, se puede introducir un oráculo híbrido (Hybrid Oracle), que integre precios de otras plataformas (como Aevo, el mercado anticipado de Binance), aunque sea solo como referencia, podría romper el ciclo cerrado interno y proporcionar a los arbitrajistas la posibilidad de corregir los precios. Al mismo tiempo, en el protocolo, implementar mecanismos de automatización para la suspensión de operaciones, por ejemplo, cuando el precio de un contrato se desvía más del 50% de su promedio de 1 hora en 5 minutos, automáticamente suspender el comercio durante 15 minutos, otorgando al mercado un período de enfriamiento y evitando efectivamente la formación de la 'espiral de liquidación'.
Implementar una gestión de riesgos dinámica y en cadena: esta es la mejora más fundamental. Introducir un margen de concentración de posiciones, de modo que cuando la proporción de una cuenta en el total del mercado sea demasiado alta, los requisitos de margen deberían aumentar exponencialmente. Esto hará que el costo de capital para “controlar el mercado” sea extremadamente alto, actuando así como un disuasivo.
Optimizar el motor de liquidación: abandonar la liquidación a precio de mercado de manera brusca, obligando a que todas las liquidaciones grandes se ejecuten de manera uniforme a través de algoritmos TWAP/VWAP durante un período de tiempo, minimizando el impacto en el mercado.
Estas medidas son prácticas estándar en mercados financieros maduros y algunos protocolos DeFi robustos. Hyperliquid no es ajeno a esto, pero es probable que, para adelantarse en el sector de 'intercambio de tokens pre-emisión', eligió aflojar selectivamente estas cuerdas de seguridad.
La verdadera finanza descentralizada no se trata de crear más casinos sin supervisión, sino de construir un mercado resiliente que no requiera confianza, donde las reglas sean fundamentales y que integre un potente sistema inmunológico. Solo así se podrá cumplir la promesa de equidad para todos los participantes.