Autor: imToken
Desde hace algún tiempo, los incidentes de seguridad en la industria Crypto apenas se han detenido (lectura adicional: "De Binance a PHP2Shell: En la era de la IA, la línea de defensa de la seguridad web necesita urgentemente una redefinición").
Desde plataformas de trading que pierden miles de millones de dólares, hasta cadenas de suministro de billeteras y proveedores de servicios externos que son atacados, pasando por vulnerabilidades de contratos inteligentes y activos en la cadena que son robados, una serie de incidentes nos recuerdan repetidamente: en el mundo Crypto, la seguridad de los activos no solo depende de si la blockchain subyacente es confiable, sino también de quién custodia los activos, quién controla las claves y cuántos eslabones de confianza existen a lo largo de toda la cadena de servicios.
Para los tenedores de ETH, lo mismo es cierto cuando participan en staking.
Ethereum ya ha establecido un mecanismo de staking nativo relativamente maduro. Los usuarios pueden hacer staking de ETH para convertirse en validadores de la red, obteniendo recompensas del protocolo mientras mantienen la seguridad de la red. Sin embargo, a medida que el staking se ha desarrollado gradualmente hacia diversos métodos de participación, como la custodia en exchanges, el staking líquido y los servicios profesionales de nodos, también ha surgido una pregunta fácil de pasar por alto:
Incluso al hacer staking de ETH de la misma manera, los derechos de control de los activos y los límites de seguridad detrás de las diferentes soluciones pueden ser completamente diferentes.
Si el ETH se entrega a un tercero, ¿quién posee exactamente el permiso de retiro? Si un proveedor de servicios profesional opera el validador, ¿pueden los usuarios seguir controlando de forma independiente el principal? Y entre el staking nativo y el staking líquido, ¿qué riesgos potenciales adicionales han surgido?
Aclarar estas preguntas puede ser más importante que simplemente comparar el APY de diferentes productos de staking.
La primera línea de defensa de la seguridad del staking: ¿Quién posee los derechos de retiro de los activos?
Para comprender el mecanismo de seguridad del staking de ETH, primero hay que aclarar quién controla exactamente un nodo validador de Ethereum.
Ethereum adopta el mecanismo de consenso Proof of Stake (PoS). Al depositar al menos 32 ETH en el contrato de depósito, un usuario puede activar un nodo validador, participar en la propuesta de bloques, la validación de transacciones y las atestaciones de consenso, y recibir recompensas de acuerdo con las reglas de la red.
Sin embargo, un nodo validador no se gestiona con una sola clave. En el sistema de staking de Ethereum, los permisos centrales se dividen en dos categorías:
Clave de firma: se utiliza para la operación diaria del validador, incluida la presentación de propuestas de bloques y atestaciones; es el permiso operativo para participar en el consenso de la red. Clave de retiro: se utiliza para controlar la propiedad del principal en staking y los rendimientos, determinando la única dirección designada a la que los fondos pueden regresar en última instancia (generalmente vinculada directamente a la dirección de la billetera de autocustodia del usuario); representa el control final sobre los activos.
Las responsabilidades de ambas son muy claras: la clave de firma determina si el validador puede hacer bien su trabajo, mientras que la clave de retiro determina quién puede retirar finalmente el dinero. Esto significa que la persona responsable de operar el validador no necesariamente tiene que tener el control final sobre los activos.
Una vez que se comprende esta separación de permisos, la diferencia esencial entre los modelos de custodia y sin custodia se vuelve clara:
En el staking totalmente con custodia, los dos tipos de permisos suelen estar concentrados en manos de la plataforma. Los usuarios depositan ETH en una plataforma de trading o en un custodio, y la plataforma se encarga tanto de operar el nodo como de controlar los permisos de retiro. Lo que los usuarios ven en el front end es meramente una cadena de saldos contables, y si los activos pueden canjearse sin problemas está directamente sujeto a la gestión de fondos, las reglas de retiro y las condiciones operativas de la propia plataforma. En el modelo de staking sin custodia, los dos tipos de permisos están físicamente aislados. Los usuarios controlan los permisos de retiro a través de sus propias billeteras, mientras que los proveedores de servicios profesionales solo poseen la clave de firma y son responsables del funcionamiento y mantenimiento diarios del nodo. Incluso si el proveedor de servicios asume el engorroso mantenimiento del hardware y la red, no puede utilizar el permiso operativo que tiene en sus manos para transferir el principal en staking de los usuarios.
El valor central de este diseño aislado —"los derechos de retiro pertenecen al usuario, los derechos operativos pertenecen al proveedor de servicios"— radica en minimizar el límite de confianza. Los usuarios no necesitan renunciar al control de su principal, ni necesitan asumir solos el alto costo de la operación y el mantenimiento de los nodos.
Por supuesto, la no custodia no significa riesgo cero. La clave de firma sigue afectando el desempeño diario del validador. Si el proveedor de servicios experimenta filtración de claves, doble firma o un tiempo de inactividad grave, el validador aún puede enfrentar penalizaciones a nivel del protocolo.
Por lo tanto, el primer paso para evaluar una solución de staking es ver si aísla estrictamente los permisos de retiro de los permisos operativos, y si los usuarios realmente tienen en sus propias manos la clave para recuperar sus activos.
¿Cómo protege el protocolo nativo de Ethereum los activos en staking?
Una vez comprendidos los derechos de control de claves, otra pregunta clave es: ¿por qué la participación directa en el staking nativo de Ethereum es claramente superior en estructura de seguridad a los diversos productos de staking derivado de terceros?
La razón central es que el staking nativo de ETH está construido directamente sobre el protocolo de consenso subyacente de Ethereum y no requiere capas intermedias adicionales.
Cuando los usuarios participan en el staking nativo, el ETH entra directamente en el sistema oficial de validadores de Ethereum, y la distribución de recompensas y la ejecución de penalizaciones se realizan de forma totalmente automática mediante el código del protocolo subyacente. No necesita depender de un fondo común de terceros para agregar activos, ni necesita acuñar un token derivado (como un LST) para mapear indirectamente los derechos de staking, eliminando así de raíz los riesgos compuestos que traen los contratos de protocolos de terceros, la gobernanza entre capas y la pérdida de paridad de los derivados.
Hasta la fecha, dentro del protocolo nativo, Ethereum también ha establecido límites claros de seguridad y salida mediante tres mecanismos.
Primero, el protocolo restringe el comportamiento de los validadores mediante recompensas y penalizaciones. Los validadores deben permanecer en línea de forma continua y enviar propuestas de bloques y atestaciones según lo requerido. Si un nodo falla o permanece fuera de línea durante mucho tiempo, puede perder recompensas y sufrir las correspondientes penalizaciones de saldo. Si un validador incurre en violaciones más graves, como firmar bloques conflictivos, puede desencadenar un Slashing, en el que parte del ETH en staking se destruye y el validador es expulsado por la fuerza de la red. El propósito de este mecanismo es garantizar que los participantes, mientras obtienen rendimientos de staking, también deban asumir las responsabilidades correspondientes, de modo que cualquier intento de socavar el consenso de la red requiera pagar un precio económico real.
Segundo, los permisos de retiro y los permisos de operación del validador pueden ser independientes entre sí. Este es un diseño muy importante en el staking nativo para la seguridad de los activos. Incluso si hay un problema con la clave de firma del validador, siempre que la clave de retiro siga estando custodiada de forma segura por el usuario, un atacante no puede simplemente usar la clave de firma para retirar directamente el principal en staking del usuario. Tras la actualización Pectra, Ethereum mejoró aún más este mecanismo: la dirección de retiro también puede iniciar directamente una operación de salida del validador, sin depender ya por completo de la clave de firma del validador. Esto otorga a los usuarios no custodiales una garantía subyacente para "forzar el retiro de fondos" en circunstancias extremas.
Finalmente, la salida del staking nativo también está restringida por las reglas del protocolo. El staking nativo admite el retiro de recompensas y la salida total del principal, pero no llega al instante como una transferencia ordinaria de billetera. Después de que un validador inicia una salida, debe entrar en la cola de salida de toda la red según las reglas del protocolo (el tiempo de cola depende del número de validadores que salen simultáneamente en toda la red en ese momento). Solo después de completarse se liquidarán automáticamente el principal y las recompensas restantes a la dirección de retiro vinculada (lectura adicional: "¿Por qué ahora hay que hacer cola durante un mes para participar en el staking nativo de Ethereum?").
Desde esta perspectiva, el valor del staking nativo no solo radica en obtener recompensas de ETH, sino también en proporcionar una garantía de liquidación subyacente con reglas totalmente públicas, transparencia y verificabilidad en la cadena, y sin dependencia de ninguna institución centralizada para el canje.
Un desglose comparativo de las soluciones principales: ¿dónde se distribuyen exactamente los riesgos?
Combinando "los derechos de control de claves" y "la dependencia del protocolo", los cuatro tipos principales de soluciones de staking de ETH actualmente en el mercado esencialmente colocan los riesgos en diferentes cestas.
Los servicios de staking proporcionados por exchanges y custodios suelen tener el umbral de participación más bajo, admiten staking de pequeñas cantidades y ofrecen una experiencia operativa cercana a la gestión patrimonial tradicional, por lo que los usuarios no necesitan manejar operaciones técnicas complejas. Pero al mismo tiempo, el control del principal se transfiere por completo a la plataforma. Incluso si el ETH subyacente finalmente ingresa al contrato oficial de staking de Ethereum, los usuarios aún deben asumir el riesgo crediticio de la plataforma, el riesgo de control interno y las restricciones de retiro en condiciones extremas de mercado.
Tomando como ejemplo protocolos de staking líquido como Lido, después de que los usuarios depositan ETH, pueden obtener un LST que representa los derechos de staking, como stETH, lo que facilita obtener rendimiento secundario en DeFi o retirar fondos en cualquier momento en el mercado secundario. La mayor ventaja de este tipo de soluciones es reducir el umbral de participación y permitir que los usuarios sigan participando en DeFi y otras aplicaciones durante el período de staking, pero las capas de riesgo aumentan significativamente. Poseer un LST no significa poseer los derechos de retiro del validador; más bien, significa poseer un certificado de deuda basado en un contrato inteligente. Además del riesgo de slashing del nodo subyacente, los usuarios también deben asumir el riesgo adicional de vulnerabilidades de contratos inteligentes, el riesgo de gobernanza del protocolo y, en condiciones extremas de mercado, el riesgo de descuento en el mercado secundario del LST (depegging) y de corrida por redención, lo que ya ha ocurrido múltiples veces en la historia de los LST.
Lo que el staking nativo no custodial intenta resolver es precisamente la contradicción entre la autonomía de los activos y la operación y mantenimiento de los nodos. Los usuarios participan en la red a través del mecanismo de staking nativo de Ethereum y mantienen ellos mismos la clave de retiro, mientras que proveedores de servicios profesionales se encargan de la operación, monitoreo y mantenimiento de los validadores. Esto no requiere que los usuarios asuman el riesgo adicional de depegging de los tokens de staking líquido, y también reduce los riesgos adicionales aportados por los contratos inteligentes y los mecanismos de gobernanza de los pools de staking de terceros.
Si los usuarios tienen suficiente ETH y capacidad técnica, también pueden construir nodos validadores por sí mismos. De esta manera, la clave de firma, la clave de retiro y el equipo del nodo son gestionados por los propios usuarios, sin necesidad de depender de proveedores de servicios de nodos de terceros. Pero esto no significa que el riesgo sea el más bajo: fallos de hardware del nodo, interrupciones de red, errores de configuración del cliente, respaldo inadecuado de claves e incluso la firma duplicada pueden causar pérdida de recompensas o slashing. Por lo tanto, para los usuarios comunes sin experiencia a largo plazo en operación y mantenimiento de nodos, los costos técnicos y de mantenimiento también son una barrera.
Mantén el control en tus propias manos: el valor a largo plazo del modelo no custodial
En resumen, los diferentes modelos de staking abordan las necesidades de diferentes tamaños de capital y preferencias de riesgo. Para los usuarios que valoran el control absoluto sobre su principal y no quieren dedicar esfuerzo a mantener servidores por sí mismos, el "staking nativo no custodial" es sin duda la solución de seguridad más adecuada.
Esta es también la filosofía de diseño central de la solución de staking ETH no custodial de imToken: los permisos de retiro que nunca deberían entregarse permanecen en la propia billetera del usuario, mientras que las operaciones de nodos que requieren garantías de alta disponibilidad se confían a infraestructura profesional.
A nivel de implementación práctica, esta solución también ofrece dos modos: nodos validadores con interés compuesto y nodos validadores con retiro automático, lo que permite a los usuarios elegir de manera flexible diferentes enfoques de gestión de fondos.
Por supuesto, elegir el modelo no custodial no significa que uno pueda ser un "jefe que no se involucra en nada". Dado que el control final de los activos recae completamente en el usuario, los usuarios aún deben cumplir con sus responsabilidades de seguridad personal: respaldar adecuadamente las frases mnemónicas de la billetera fuera de línea, verificar cuidadosamente las direcciones de retiro antes de iniciar el staking y mantener una comprensión clara del mecanismo de cola de salida del protocolo de Ethereum, las tasas de comisión por servicio y las posibles reglas subyacentes de slashing.
A medida que cada vez más ETH ingresa a sistemas de generación de rendimiento a largo plazo, como tenedores, lo que realmente necesitamos considerar quizás no sea solo cuánto rendimiento pueden generar nuestros activos, sino más bien si, cuando cualquier eslabón de servicio externo enfrente una situación extrema, ¿sigo teniendo la iniciativa final para recuperar mi principal?
Mantén el control final de los activos en tus propias manos y deja que los profesionales se encarguen de los asuntos profesionales. Este puede ser el valor de seguridad más digno de mención del staking nativo no custodial.
