DeFi: qué son las finanzas descentralizadas y sus riesgos

«Sin intermediarios», «abierto a todos», «el código es público». Las finanzas descentralizadas (DeFi, por decentralized finance) se presentan con frases así, y algunas son ciertas. Otras necesitan matices. Vamos a lo concreto: qué es DeFi, cómo funciona por dentro y dónde fallan las cosas.

Si todavía no tienes clara la base, es decir, qué es una cadena de bloques (blockchain) y cómo se registran las transacciones, empieza por la guía para empezar con blockchain y criptomonedas. Aquí damos eso por sabido.

Qué es DeFi

Según ethereum.org, DeFi es un término colectivo para productos y servicios financieros accesibles a cualquiera que pueda usar Ethereum, es decir, a cualquiera con conexión a Internet. Los mercados están siempre abiertos y no hay una autoridad central que pueda bloquear pagos o denegar el acceso. Los servicios los ejecuta código (contratos inteligentes) que cualquiera puede inspeccionar.

Esa es la versión de la promesa. La versión incómoda es esta: que el código sea público no significa que alguien lo haya leído con atención, ni que quien lo controla no pueda cambiarlo. Más adelante volvemos a ello.

Cómo funciona

Un protocolo DeFi es, en esencia, un conjunto de contratos inteligentes desplegados en una cadena de bloques. Tú interactúas con ellos desde tu monedero (wallet), sin abrir cuenta ni pasar por una entidad que apruebe la operación. El contrato recibe tus fondos, aplica unas reglas escritas de antemano y devuelve algo a cambio.

Las categorías más habituales, con los mayores protocolos por valor total bloqueado (TVL) que lista DefiLlama a 28 de octubre de 2026:

Préstamos. Depositas activos para que otros los pidan prestados, o pides prestado dejando otros activos como garantía. Aave (17,356 mil millones de USD de TVL) y Morpho (11,374 mil millones) son los ejemplos de la lista.
Staking líquido. El staking consiste en bloquear criptoactivos para participar en la validación de una red. En su versión líquida, recibes un token que representa esa posición y que puedes seguir usando. Lido, con 22,29 mil millones de USD, encabeza la clasificación.
Exchanges descentralizados (DEX). Plataformas de intercambio donde se cambian tokens directamente contra contratos, sin que la plataforma custodie tus fondos. DefiLlama cifra su volumen en 6,851 mil millones de USD en 24 horas y en 41,579 mil millones en siete días, un 22,06 % del volumen de los exchanges centralizados.
Stablecoins. Tokens que buscan mantener un valor estable, normalmente el del dólar. Su capitalización conjunta era de 297,94 mil millones de USD, con Tether (USDT) en el 60,69 %.

Qué cuenta el TVL y qué no

El TVL es la cantidad de activos depositados en los protocolos. A 28 de octubre de 2026, DefiLlama lo situaba en 87,573 mil millones de USD, tras caer un 3,8 % en la semana, con Ethereum a la cabeza del descenso (4,3 mil millones de USD menos). La página lista 6890 protocolos.

Conviene leerlo con cuidado. Mide dinero depositado, no dinero ganado ni dinero seguro. Además, varía con los precios de los activos depositados, así que una caída puede ser salida de fondos o simple movimiento de precios. Y el hecho de que los datos estén abiertos es una ventaja enorme que casi nadie aprovecha: están ahí para quien quiera comprobarlos.

Qué se está pagando

Si un protocolo te ofrece una ganancia por depositar, la pregunta incómoda es quién la paga. En la práctica hay pocas respuestas: quien pide prestado y abona intereses, las comisiones de quienes usan el servicio (por ejemplo, quienes intercambian en un DEX) o tokens nuevos que emite el propio protocolo. Las dos primeras tienen un origen identificable. La tercera depende de que el token siga interesando a alguien. Si no sabes de dónde sale el rendimiento, el rendimiento eres tú.

Riesgos

Contrato inteligente. Un fallo en el código puede vaciar un protocolo. La clasificación de Rekt recoge protocolos víctimas de ataques y advierte de que la lista no está completa ni lo estará nunca. Varias entradas figuran como no auditadas; entre las recientes, Moonwell (1 780 000 USD, 15 de febrero de 2026) y Abracadabra (1 800 000 USD, 4 de octubre de 2025). Una auditoría reduce riesgos, no los elimina, y «auditado» no es lo mismo que «seguro». Cuando el riesgo depende de cómo está escrito el contrato, el análisis de código es terreno de Dex.
Gobernanza. Quien controla las decisiones controla las reglas. Según DefiLlama, un atacante tomó el control de la gobernanza de Hifi Finance y acuñó 25 millones de HIFI. «Descentralizado» es un espectro: pregunta siempre quién puede cambiar las reglas.
Puentes entre cadenas. Poly Network perdió unos 611 millones de USD en agosto de 2021, en un robo que afectó a Ethereum, BSC y Polygon; Rekt lo calificó como el mayor hackeo cripto hasta entonces. El puente Nomad perdió 190 millones de USD en un ataque de unas dos horas y media, y Rekt subraya que fue «permissionless»: cualquiera pudo sumarse. Según Rekt, los puentes son un punto débil recurrente y, cuando fallan, a menudo colapsan por completo. Más reciente: DefiLlama menciona que zkLink Nova perdió unos 783 000 USD.
Regulación. Aquí hay un vacío y una revisión en marcha, que detallamos abajo.
Opacidad de los datos. ESMA señala que las lagunas de datos dificultan que reguladores e inversores comprendan DeFi y sus riesgos.

DeFi y regulación europea

La Autoridad Europea de Valores y Mercados (ESMA) explicaba en 2023 que el marco regulatorio de la UE, incluido el reglamento MiCA, gira en torno a regular intermediarios o autoridades centrales, justo lo que DeFi pretende eliminar. MiCA establece un marco para criptoactivos antes no regulados, pero no aborda DeFi directamente: su considerando 22 deja fuera los servicios prestados de forma totalmente descentralizada. ESMA consideraba entonces que el fenómeno seguía siendo pequeño, pero planteaba riesgos para la protección del inversor y posiblemente para la estabilidad financiera.

El 30 de septiembre de 2026, ESMA respondió a la consulta de la Comisión Europea sobre la revisión de MiCA. Entre sus recomendaciones: criterios más claros para determinar qué actividades son genuinamente descentralizadas, un nuevo servicio regulado para las empresas que den acceso a los usuarios a protocolos DeFi, y normas para evitar que empresas cripto reguladas ofrezcan servicios vinculados a stablecoins que no cumplan MiCA. Son recomendaciones, no normas aprobadas.

Para situar el contexto más amplio, el artículo sobre blockchain y web 3.0 repasa de dónde viene este ecosistema.

Qué mirar antes de fiarte

No son recomendaciones, sino preguntas:

¿De dónde sale el rendimiento que promete el protocolo y quién lo paga?
¿Quién puede modificar los contratos o acuñar tokens? ¿Hay una única clave de administración o un proceso de gobernanza real?
¿Qué auditorías existen, de qué fecha y qué cubrían? ¿Han cambiado los contratos desde entonces?
¿Depende de un puente entre cadenas o de otro componente cuyo fallo arrastraría al resto?
¿Qué dicen los datos públicos, por ejemplo en DefiLlama, sobre la evolución de los fondos depositados?
¿Qué protección legal tendrías si algo sale mal, dado que MiCA no cubre lo totalmente descentralizado?

Si quieres pasar a la parte práctica de usar un monedero con estas aplicaciones, pregunta a Luk, que cubre las herramientas paso a paso.

Cierre

DeFi funciona: hay miles de millones depositados y contratos que se ejecutan sin permiso de nadie. Eso no lo convierte en seguro ni en gratuito. Lo que ofrece es transparencia, y lo que exige es que la uses.

Fuentes

Imagen: geralt en Pixabay

DeFi: qué son las finanzas descentralizadas, cómo funcionan y qué riesgos tienen