La historia del hack más controversial en la historia de las criptomonedas, y cómo una decisión desesperada partió Ethereum en dos
30 de abril de 2016. Apenas 9 meses después del lanzamiento de Ethereum.
Un proyecto ambicioso llamado The DAO (Decentralized Autonomous Organization – Organización Autónoma Descentralizada) estaba recaudando fondos para crear algo nunca antes visto:
Una organización sin jefes, sin CEO, sin board de directores. Completamente gobernada por código y votación de stakeholders.
Era la promesa de Ethereum llevada a su máxima expresión.
Para el 28 de mayo de 2016, The DAO había recaudado 12.7 millones de ETH (aproximadamente $150 millones en ese momento).
Era la ICO más grande de la historia. El proyecto más emocionante en el espacio cripto.
Y entonces, el 17 de junio de 2016, todo colapsó.
Un hacker explotó una vulnerabilidad en el código y comenzó a drenar millones de dólares.
La comunidad de Ethereum enfrentó una decisión imposible:
¿Dejar que el hacker se salga con la suya, respetando la inmutabilidad del código?
¿O intervenir, quebrar las reglas fundamentales de blockchain, y revertir el hack?
Lo que decidieron cambió Ethereum para siempre. Y dividió la comunidad en dos.
¿Qué era The DAO?
Para entender el hack, primero necesitas entender qué era The DAO.
La visión: Un fondo de inversión sin humanos
Imagina un fondo de inversión (venture capital) completamente automatizado:
Fondo tradicional:
- Socios toman decisiones sobre inversiones
- Tú confías en su expertise
- Ellos controlan el dinero
- Tú recibes ganancias (si deciden distribuirlas)
The DAO:
- Smart contracts toman decisiones automáticamente
- Los holders de tokens votan sobre inversiones
- Nadie controla el dinero centralmente
- Las ganancias se distribuyen automáticamente por código
Era brillante en teoría. Democracia económica pura. Descentralización completa.
Cómo funcionaba
- Compras tokens DAO enviando Ether al smart contract
- Cada token = un voto sobre propuestas de inversión
- Cualquiera puede proponer dónde invertir (startups, proyectos, etc.)
- Los holders votan si aprueban o rechazan propuestas
- Si la propuesta gana, el smart contract automáticamente envía fondos
- Las ganancias retornan a The DAO, aumentando valor de tokens
Era como Kickstarter + fondo de inversión + democracia directa, todo en smart contracts.
Los creadores: Slock.it
The DAO fue creado por Slock.it, una startup alemana enfocada en IoT (Internet of Things) y blockchain.
Fundadores principales:
- Stephan Tual: CMO, carismático evangelista
- Christoph Jentzsch: CTO, programador principal
- Simon Jentzsch: Hermano de Christoph, también desarrollador
Slock.it construyó el código de The DAO como proyecto open-source.
Pero enfatizaron: “The DAO es autónomo. Nosotros solo escribimos el código. La comunidad lo controla.”
La recaudación explosiva
The DAO lanzó su ICO el 30 de abril de 2016.
El período de creación duraría 28 días.
La respuesta fue masiva:
Día 1: $5 millones recaudados Semana 1: $50 millones Semana 2: $100 millones Día 28: $150 millones (12.7 millones de ETH)
Fue la ICO más grande de la historia hasta ese momento.
Más de 11,000 direcciones compraron tokens DAO.
Representaba aproximadamente 14% de todo el Ether en existencia.
Era gigantesco. Demasiado grande.
Las advertencias ignoradas
Antes del hack, múltiples expertos en seguridad advirtieron sobre problemas:
Advertencia #1: El código era complejo
The DAO tenía más de 1,000 líneas de código Solidity.
Para contexto, cuanto más complejo el código, más superficie de ataque para bugs.
Varios auditores dijeron: “Esto es demasiado complejo para ser seguro.”
Advertencia #2: Vulnerabilidades conocidas
Programadores identificaron vulnerabilidades específicas, incluyendo problemas de “reentrancy” (re-entrada).
Publicaron artículos explicando los riesgos.
Slock.it respondió: “Estamos al tanto, pero el código tiene protecciones.”
Advertencia #3: Problemas de gobernanza
Vitalik Buterin y otros señalaron problemas con el modelo de gobernanza:
- Votos podían manipularse
- Baja participación de votantes
- Incentivos mal alineados
- Potencial de captura por ballenas (whales)
Advertencia #4: Demasiado dinero, demasiado rápido
$150 millones era una cantidad absurda para un experimento de 28 días con código sin auditar adecuadamente.
Algunos dijeron: “Deberíamos empezar pequeño, probar, e iterar.”
La comunidad respondió: “Code is law” (El código es ley). Si el código permite recaudar tanto, no hay problema.
Las advertencias fueron mayormente ignoradas.
17 de junio de 2016: El ataque comienza
A las 3:34 AM UTC del 17 de junio de 2016, algo extraño comenzó a suceder.
Ether estaba saliendo de The DAO hacia una dirección desconocida.
Despacio al principio. Luego más rápido.
Alguien estaba drenando The DAO.
La vulnerabilidad: Reentrancy attack
El hacker explotó una vulnerabilidad llamada reentrancy (re-entrada).
Funciona así (simplificado):
Código vulnerable:
1. Usuario pide retirar 100 ETH
2. Contrato envía 100 ETH al usuario
3. Contrato actualiza balance: balance = balance - 100Parece correcto, ¿verdad?
El problema: Entre paso 2 y paso 3, hay un momento donde:
- El ETH ya se envió
- Pero el balance no se actualizó todavía
Un atacante puede llamar la función de retiro otra vez en ese momento:
1. Atacante pide retirar 100 ETH
2. Contrato envía 100 ETH (balance todavía dice que tiene 100)
3. ANTES de actualizar balance, el atacante llama retiro otra vez
4. Contrato envía otros 100 ETH (balance TODAVÍA dice 100)
5. Esto se repite recursivamenteEl atacante drena el contrato retirando el mismo dinero múltiples veces.
Es como retirar $100 de un cajero automático que olvida actualizar tu balance, permitiéndote retirar $100 infinitas veces.
The DAO era vulnerable
El código de The DAO tenía exactamente este problema.
La función splitDAO (permitía salir de The DAO con tus fondos) enviaba Ether antes de actualizar balances.
El hacker explotó esto.
El pánico se desata
Cuando la comunidad se dio cuenta del ataque, el pánico fue absoluto.
Reddit, Slack, Twitter explotaron:
- “¡The DAO está siendo hackeado!”
- “¡Millones de dólares están siendo robados!”
- “¡Alguien detenga esto!”
El problema: En blockchain, no hay botón de pausa.
No puedes llamar a un banco para congelar la transacción. No hay servicio al cliente. No hay “deshacer”.
El código es ley. Y el código estaba siendo ejecutado perfectamente… solo que en beneficio del hacker.
¿Cuánto se robó?
Para cuando la comunidad reaccionó, el hacker había drenado aproximadamente 3.6 millones de ETH (alrededor de $50 millones en ese momento).
Representaba aproximadamente 30% de todos los fondos de The DAO.
El salvavidas temporal: El período de espera
Irónicamente, el código de The DAO tenía una medida de seguridad que salvó la situación (temporalmente):
Cuando alguien hacía “split” (salía de The DAO), los fondos no iban directamente a su wallet.
Primero iban a un “Child DAO” (DAO Hijo), donde debían esperar 28 días antes de poder moverse.
Esto significaba:
El hacker tenía el dinero… pero no podía moverlo por 28 días.
Esto le dio a la comunidad tiempo para pensar, debatir, y actuar.
Pero solo 28 días.
El reloj corría.
El debate: ¿Qué hacer?
La comunidad de Ethereum enfrentó una decisión agonizante.
Opción 1: No hacer nada (“Code is Law”)
Argumentos a favor:
- “Code is law” – El código es ley. El contrato ejecutó como fue escrito.
- La inmutabilidad es sagrada. Es la promesa fundamental de blockchain.
- Intervenir establece precedente peligroso: ¿quién decide qué revertir?
- Responsabilidad personal: Los que invirtieron en código sin auditar asumen el riesgo.
Argumentos en contra:
- Perderíamos $50 millones
- Destruiría confianza en Ethereum
- El hacker gana, los buenos pierden
- 11,000 personas quedan devastadas
Opción 2: Soft Fork
Un soft fork bloquearía cualquier transacción que interactuara con el Child DAO del hacker.
Básicamente: congelar los fondos robados permanentemente.
Argumentos a favor:
- Evita que el hacker se beneficie
- No “borra” historia, solo previene acciones futuras
- Menos controversial que revertir completamente
Argumentos en contra:
- Todavía rompe inmutabilidad
- Introduce censura de transacciones
- No devuelve fondos a víctimas
- Vulnerabilidad de DoS descubierta (hacía impracticable)
Opción 3: Hard Fork
Un hard fork revertiría la blockchain a antes del hack.
Esencialmente: pretender que el hack nunca sucedió.
Argumentos a favor:
- Devuelve fondos a víctimas
- El hacker no gana nada
- Salva a Ethereum de pérdida masiva de confianza
- Es técnicamente posible
Argumentos en contra:
- Rompe inmutabilidad – El principio más sagrado de blockchain
- Establece precedente terrible: ¿Revertimos cada hack grande?
- ¿Quién decide qué merece reversión?
- Crea dos blockchains (si algunos no aceptan el fork)
La presión sobre Vitalik
Toda la presión cayó sobre Vitalik Buterin y la Ethereum Foundation.
Vitalik estaba en posición imposible:
Si no hacía nada:
- Ethereum pierde $50M
- Confianza destruida
- El proyecto podría morir
Si hacía hard fork:
- Rompe principios fundamentales
- Divide la comunidad
- Establece precedente peligroso
Era perder-perder.
Vitalik inicialmente favorecía “no hacer nada”. Creía en inmutabilidad.
Pero la presión era enorme:
- 11,000 víctimas pidiendo ayuda
- Desarrolladores temiendo muerte de Ethereum
- Inversores amenazando vender
- Medios cubriendo el “fracaso de Ethereum”
La decisión: Hard Fork
Después de semanas de debate agonizante, la Ethereum Foundation decidió:
Harían un hard fork, pero solo si la comunidad votaba a favor.
Implementaron un mecanismo de votación:
- Miners podían señalar apoyo o rechazo
- Holders de ETH podían votar
- Si suficiente apoyo, el fork procede
Resultado:
- ~87% de miners votaron a favor
- ~5.5% de holders de ETH votaron (baja participación)
- De los que votaron, ~87% a favor
La comunidad había hablado (o al menos, la parte que votó).
20 de julio de 2016: El Hard Fork
El 20 de julio de 2016, en el bloque 1,920,000, Ethereum ejecutó el hard fork.
El código del fork hacía algo simple pero radical:
Movía todos los fondos de The DAO (incluido el Child DAO del hacker) a un smart contract de retiro.
Los holders de tokens DAO podían reclamar su ETH de vuelta a razón de ~1 ETH por 100 tokens DAO.
Efectivamente, el hack fue borrado de la historia.
El nacimiento de Ethereum Classic
Pero no todos estaban de acuerdo.
Un grupo de la comunidad rechazó el hard fork:
“Code is law. No importa las consecuencias.”
Estos “puristas” continuaron minando la blockchain original, sin el fork.
La llamaron Ethereum Classic (ETC).
De repente, había dos Ethereums:
Ethereum (ETH): La blockchain con el fork. El hacker no tiene los fondos.
Ethereum Classic (ETC): La blockchain original. El hacker tiene los fondos.
Si tenías 10 ETH antes del fork, ahora tenías:
- 10 ETH en la cadena nueva
- 10 ETC en la cadena vieja
Dos blockchains. Dos comunidades. Dos filosofías.
El cisma: ETH vs ETC
La división era profundamente ideológica:
Ethereum (ETH) – “Pragmatistas”
Filosofía:
- La tecnología debe servir a la humanidad
- Pragmatismo sobre purismo
- La comunidad puede decidir hacer excepciones en casos extremos
- Ethereum es más que solo código inmutable
Liderazgo:
- Vitalik Buterin y Ethereum Foundation
- Mayoría de desarrolladores principales
- Mayoría de la comunidad
Ethereum Classic (ETC) – “Puristas”
Filosofía:
- Code is law, sin excepciones
- Inmutabilidad es sagrada
- No importa las consecuencias, las reglas son las reglas
- Intervenir es traición a principios blockchain
Liderazgo:
- Sin líder central (por diseño)
- Comunidad más pequeña pero dedicada
- Algunos vieron oportunidad especulativa
Las consecuencias
Para los holders de DAO tokens
En Ethereum (ETH):
- Recuperaron su inversión (~1 ETH por 100 tokens DAO)
- La mayoría quedó satisfecha
En Ethereum Classic (ETC):
- The DAO siguió existiendo
- El hacker tenía los fondos
- Los tokens DAO no valían mucho
Para el hacker
El hacker tenía ETH robado en Ethereum Classic.
Pero moverlos era extremadamente arriesgado:
- Todos los exchanges vigilaban las direcciones del hacker
- Convertir a efectivo sin ser rastreado era casi imposible
- Se arriesgaba a identificación y procesamiento legal
Eventualmente, movió algunos fondos. Probablemente logró extraer algo de valor. Pero nada cerca de los $50 millones originales.
Para Ethereum (ETH)
Ethereum sobrevivió y prosperó:
- El precio se recuperó
- El desarrollo continuó
- Eventualmente se convirtió en la segunda criptomoneda más grande
- DeFi, NFTs, todo construido sobre ETH
Pero el precedente quedó: Ethereum puede hacer hard forks por razones sociales, no solo técnicas.
Para Ethereum Classic (ETC)
ETC sobrevivió como “Ethereum original”:
- Comunidad pequeña pero apasionada
- Valor de mercado significativo ($500M – $5B dependiendo del año)
- Menos desarrollo e innovación que ETH
- Múltiples ataques 51% en años posteriores
Sigue existiendo hoy, aunque muchísimo más pequeño que ETH.
Las lecciones de The DAO
Lección #1: El código NO es ley (o al menos, no siempre)
The DAO demostró que “code is law” es un ideal, no una realidad absoluta.
Cuando las consecuencias son suficientemente grandes, las comunidades pueden y van a intervenir.
Lección #2: Complejidad = Vulnerabilidad
Cuanto más complejo el smart contract, más probabilidad de bugs.
The DAO era demasiado complejo para su propio bien.
Los mejores smart contracts son simples, auditados exhaustivamente, y probados en batalla.
Lección #3: Auditorías son críticas
The DAO no tuvo auditoría de seguridad profesional adecuada.
Hoy, los proyectos serios tienen:
- Múltiples auditorías por firmas especializadas
- Bug bounties (recompensas por encontrar vulnerabilidades)
- Períodos de testing extensivos
- Lanzamientos graduales con caps bajos inicialmente
Lección #4: Gobernanza on-chain es difícil
El sueño de organizaciones completamente autónomas resultó ser más difícil de lo esperado.
Problemas:
- Baja participación de votantes
- Manipulación por ballenas
- Ataques de gobernanza
- Decisiones emocionales vs racionales
La gobernanza descentralizada sigue siendo un problema no resuelto completamente.
Lección #5: Los hard forks tienen consecuencias
El hard fork “salvó” a Ethereum pero estableció precedentes:
- ¿Cuándo es aceptable hacer fork?
- ¿Quién decide?
- ¿Qué cantidad perdida justifica intervención?
Estas preguntas persisten.
Lección #6: La inmutabilidad es espectro, no binario
Blockchain no es completamente inmutable si la comunidad suficientemente grande decide cambiarla.
La “inmutabilidad” realmente significa: “Muy difícil de cambiar, pero no imposible si hay consenso suficiente.”
El legado a largo plazo
Más de 8 años después, The DAO sigue siendo:
El caso de estudio definitivo de smart contract security:
- Todas las clases de seguridad blockchain cubren The DAO
- El bug de reentrancy es el primer ataque que estudiantes aprenden
- “No seas The DAO” es mantra de desarrollo
El ejemplo de división comunitaria:
- Demuestra cómo diferencias ideológicas pueden literalmente dividir blockchains
- Lección sobre importancia de alineación de valores
El experimento fallido… que enseñó lecciones valiosas:
- The DAO fracasó
- Pero allanó el camino para DAOs mejores
- MakerDAO, Uniswap, Compound aprendieron de sus errores
El momento donde Ethereum eligió pragmatismo:
- Definió a Ethereum como “blockchain programable” sobre “blockchain inmutable”
- Para bien o mal, estableció carácter de Ethereum
¿Fue la decisión correcta?
Más de 8 años después, la comunidad cripto todavía debate:
Los que apoyan el fork dicen:
- Salvó a Ethereum
- $50M perdidos habrían matado el proyecto
- Hicieron lo correcto éticamente
- ETH hoy vale cientos de miles de millones
Los que se oponen dicen:
- Traicionaron principios fundamentales
- Establecieron precedente peligroso
- Ethereum ya no es verdaderamente descentralizado
- ETC es el “verdadero” Ethereum
La verdad: Probablemente nunca habrá consenso.
Fue una decisión imposible. No había opción “buena”.
Solo opciones con diferentes trade-offs.
La conclusión
The DAO fue un experimento audaz que fracasó espectacularmente.
Demostró:
- El poder de las organizaciones descentralizadas
- La fragilidad de smart contracts complejos
- Los límites del “code is law”
- La importancia de seguridad sobre velocidad
El hack costó $50 millones.
El hard fork dividió Ethereum en dos.
Pero Ethereum sobrevivió. Aprendió. Creció.
Hoy, cuando ves proyectos DeFi manejando miles de millones con smart contracts sofisticados, recuerda:
Están ahí porque The DAO fracasó primero.
Pagaron las lecciones con sangre, sudor y $50 millones.
Para que otros no tuvieran que hacerlo.
Y quizás, solo quizás, ese fue el propósito de The DAO desde el principio:
No tener éxito.
Sino enseñar.
