Bloque 1.920.000: El hackeo de The DAO que quebró 'Code is Law' y dio origen a Ethereum Classic

1. El experimento autónomo de 150 millones y la grieta invisible

En la primavera de 2016, el ecosistema de Ethereum vibraba con el lanzamiento de The DAO (Decentralized Autonomous Organization). Liderado por el equipo de Slock.it, se presentaba como el primer fondo de inversión de capital riesgo completamente descentralizado de la historia, gobernado exclusivamente por contratos inteligentes sin intermediarios ni consejos de administración.

En menos de un mes, la comunidad aportó más de 12 millones de ETH, lo que representaba un asombroso 14% a 15% de todo el suministro circulante de Ethereum en ese momento (unos 150 millones de dólares). La joven red de Vitalik Buterin pasaba repentinamente de ser un laboratorio experimental a gestionar capital masivo.

Sin embargo, bajo los aplausos se ocultaba un error fatal de lógica en el código Solidity. Dentro de la función splitDAO, diseñada para permitir la salida de inversores disidentes, yacía una trampa de ejecución imprevista.

2. El bucle infinito: La trampa de la reentrancia

En la madrugada del 17 de junio de 2016, los monitores automáticos detectaron salidas masivas de fondos del contrato de The DAO. El atacante no había vulnerado la criptografía de la red, sino el orden de ejecución del contrato inteligente.

El código transfería los fondos en Ether al usuario antes de reducir a cero su saldo interno en el registro. El atacante programó un contrato con una función de retorno maliciosa que volvía a llamar a splitDAO en el instante exacto en que recibía los fondos, antes de que el saldo pudiera actualizarse, creando un bucle recursivo infinito (Reentrancy attack).

El ataque es una vulnerabilidad de llamada recursiva, donde el atacante invocó la función split y luego volvió a llamarla recursivamente dentro de la ejecución antes de que se actualizara el saldo interno.

— Vitalik Buterin (Blog de la Fundación Ethereum, 17 de junio de 2016)

En cuestión de horas, 3,6 millones de ETH (un tercio de todo el fondo) fueron absorbidos hacia una 'Dark DAO'. El precio de Ethereum se desplomó un 50% y el pánico se apoderó de la comunidad.

3. El reloj de 28 días y el rescate de los Whitehats

Una particularidad del código evitó la liquidación instantánea. Debido a que la Dark DAO del atacante heredaba las reglas originales de The DAO, los fondos quedaron sujetos a un período obligatorio de creación y votación de 28 días antes de poder ser retirados a exchanges o monederos externos.

El hacker poseía 3,6 millones de ETH pero no podía mover ni un solo céntimo durante cuatro semanas. Esto otorgó a los desarrolladores un tiempo de oro para reaccionar.

Un escuadrón de desarrolladores de élite—conocido como el Robin Hood Group (incluyendo a Alex van de Sande y Griff Green)—lanzó una contraofensiva ejecutando el mismo exploit de reentrancia para rescatar los 7 millones de ETH restantes hacia una DAO segura controlada por ellos.

4. 'Code is Law' vs. 'Supervivencia': El gran cisma ideológico

Con el reloj avanzando hacia cero, la comunidad se dividió en una guerra civil filosófica sin precedentes: ¿Debía Ethereum modificar el estado de la cadena para recuperar los fondos?

Vitalik Buterin y la Fundación Ethereum propusieron un hard fork para redirigir los fondos robados a un contrato de recuperación (WithdrawDAO). Argumentaban que permitir que un atacante hostil controlara el 15% de toda la red destruiría la viabilidad futura de Ethereum.

El Hard Fork es un tema extremadamente delicado y, tal como lo vemos, ninguna decisión es completamente la correcta.

— Jeffrey Wilcke (Cofundador de la Fundación Ethereum)

Por otro lado, los puristas cypherpunks se opusieron con vehemencia. Para ellos, 'Code is Law' (El código es la ley) era el principio supremo de las blockchains. Modificar el registro histórico equivalía a los rescates bancarios tradicionales que Bitcoin nació para erradicar.

5. El Bloque 1.920.000 y el legado permanente de Ethereum Classic

El 20 de julio de 2016, Ethereum alcanzó el Bloque 1.920.000. Mediante la propuesta EIP-779, la mayoría de la red aplicó un cambio de estado irregular que transfirió los saldos de The DAO a WithdrawDAO, permitiendo a los usuarios recuperar su ETH.

Pero la cadena original no desapareció. Un grupo de mineros e ideólogos continuó manteniendo el registro sin alterar. Pocos días después, el exchange Poloniex listó esta cadena histórica como Ethereum Classic (ETC), otorgándole liquidez de mercado inmediata.

El hackeo de The DAO dejó dos legados imborrables: técnicamente, consolidó el patrón Checks-Effects-Interactions como norma obligatoria en Solidity; filosóficamente, demostró que las blockchains son redes sociotécnicas donde la inmutabilidad matemática coexiste en constante tensión con el consenso humano.