Riesgos y seguridad de Alpha Homora V2

La superficie de riesgo de un vistazo

Alpha Homora V2 apila varios riesgos independientes y el usuario está expuesto a todos a la vez. Hay riesgo de contrato inteligente en HomoraBank, en cada spell autorizado y en cada protocolo externo que un spell toca. Hay riesgo de oráculo, porque la valoración del colateral depende de fuentes de precio. Hay riesgo de mercado amplificado por el apalancamiento. Hay riesgo de tipos, porque los intereses flotan. Y hay riesgo de liquidación, que convierte una caída temporal en una pérdida permanente.

Los prestamistas a veces creen estar fuera de esa pila. No lo están. Su capital financia el libro de farming, así que si las liquidaciones no se ejecutan bien durante una volatilidad extrema o un contrato es drenado, el principal del prestamista absorbe el déficit. Cualquier evaluación de si Alpha Homora es seguro debe tratar el préstamo como una posición de crédito, no como un depósito.

El exploit de febrero de 2021

En febrero de 2021 un atacante extrajo alrededor de 37 millones de dólares mediante la interacción entre Alpha Homora V2 e Iron Bank, el mercado de préstamos entre protocolos. El ataque aprovechó un fallo en cómo una parte recién desplegada del sistema gestionaba cierta ruta contable, lo que permitió acumular una capacidad de préstamo desmesurada y pedir prestado repetidamente con capital de flash loans. Los pools del AMM no se rompieron; el fallo estaba en la lógica de integración.

Dos lecciones importan más que los detalles. Primera: las auditorías no son demostraciones. El código había sido revisado por firmas reputadas y la ruta explotada llegó igualmente a producción. Segunda: la composabilidad multiplica el riesgo, porque la vulnerabilidad vivía en la costura entre dos protocolos, un lugar que ningún equipo controlaba del todo. Esa costura sigue siendo la fuente más probable de fallos catastróficos en esta categoría.

La respuesta — pausar la funcionalidad afectada, cooperar con los socios y cubrir las pérdidas con recursos del protocolo e ingresos futuros — fue relativamente responsable para la época. No hizo, ni podía hacer, que la categoría de riesgo desapareciera.

Riesgo de oráculo y manipulación

Valorar un token LP es el problema de precios más difícil del farming apalancado. Una implementación ingenua lee las reservas del AMM, que un atacante puede distorsionar en una transacción con un flash loan y después pedir prestado contra un colateral inflado. Alpha Homora V2 usó oráculos de precio justo derivados de precios externos y de la invariante del pool, agregados entre fuentes para que ninguna domine.

Eso mitiga pero no elimina el riesgo. Los feeds agregados pueden retrasarse en movimientos violentos, y el retraso corta por los dos lados: puede demorar una liquidación necesaria, creando deuda incobrable, o disparar una que el precio real no justificaba. Al evaluar cualquier protocolo de apalancamiento, el diseño concreto del oráculo merece tanto escrutinio como la lista de auditorías.

El riesgo de liquidación desde el lado del usuario

La liquidación no es una red de seguridad para el farmer, sino para el prestamista, y la paga el farmer. Cuando tu ratio de deuda cruza el umbral, un bot repaga parte de tu deuda y se lleva colateral con descuento. Pierdes el descuento, pierdes el rendimiento futuro de la posición y cristalizas la caída en el peor momento posible, normalmente durante un movimiento violento con el máximo deslizamiento.

Las defensas prácticas son poco vistosas. Usa apalancamiento muy por debajo del máximo en todo lo volátil. Vigila las posiciones en lugar de abrir y olvidar, porque solo la acumulación de intereses mueve el ratio en semanas. Mantén capital disponible para añadir colateral. Y prefiere pools con profundidad suficiente para que deshacer tu tamaño no mueva el precio. La parte numérica está en yield farming apalancado explicado.

Lista de comprobación antes de comprometer capital

Sea cual sea la plataforma de apalancamiento que uses, aplican las mismas preguntas de diligencia debida, y la historia de Alpha Homora V2 es una buena plantilla para formularlas. Verifica que el despliegue está vigente y mantenido, no que es un fork abandonado o una interfaz obsoleta. Comprueba quién puede actualizar los contratos y con qué retardo. Lee la documentación del oráculo. Entiende qué protocolos externos tocará tu posición, porque heredas su riesgo.

• ¿El despliegue está mantenido y en qué redes?
• ¿Quién controla las actualizaciones y hay timelock?
• ¿Cómo se valoran los tokens LP y con qué fuentes?
• ¿Con qué protocolos externos interactúa el spell?
• ¿Qué ocurre con los prestamistas si hay deuda incobrable?
• ¿Puedes salir con tu tamaño sin un deslizamiento severo?