Confianza en puentes y riesgo de cola

Os habéis pasado cuatro lecciones aprendiendo a cosechar huecos del 1% entre la Cadena A y la Cadena B: liquidación a dos patas, gestión de inventario, reequilibrio del float que va y viene de un lado a otro. Todo ello daba por hecho, calladamente, que la tubería entre cadenas funciona. Esta lección va del día en que la tubería no funciona.

Un puente no es una utilidad neutral como un cable de fibra óptica. Es un contrato inteligente (o un comité, o ambos) que custodia un montón de activos bloqueados, y le estáis confiando vuestro dinero durante todo el tiempo que vuestro capital esté en tránsito o envuelto (wrapped). Cuando explotan un puente, el spread que ganasteis en tres años puede esfumarse en un solo bloque. Así que, antes de escalar la estrategia, tenéis que hacer eso que el arbitrajista despreocupado nunca hace: mirar de frente a la cola.

El puente es ahora vuestra contraparte

Analogía. Imaginad que lleváis un negocio con mucho efectivo y guardáis vuestro float operativo en una cámara acorazada al otro lado de la ciudad. Nunca habéis conocido al cerrajero, no sabéis leer los planos, y la cámara se anuncia públicamente como portadora de nueve cifras. Mientras las cerraduras aguanten, ganáis vuestro spread y nunca pensáis en ello. En el momento en que alguien falsifica una llave, vuestro float — todo — simplemente desaparece. El precio de mercado del efectivo no se movió; vuestro custodio falló.

Definición. Cuando hacéis bridge, tres cubos de vuestro capital quedan detrás de la seguridad del puente:

Lo que tenéis que ser capaces de enunciar para cualquier puente antes de enrutar tamaño a través de él es su supuesto de confianza: ¿quién podría falsificar un mensaje o vaciar el lock, y qué se lo impide? Si no podéis responder a eso en una frase, no sabéis lo que tenéis entre manos.

Cuándo importa

Este enfoque importa más precisamente cuando la operación parece más limpia. Un libro cross-chain ajustado, bien cubierto y de alto Sharpe parece seguro, que es exactamente cuando las mesas dejan que su exposición por puente vaya creciendo en silencio. La lente de contraparte fuerza la pregunta correcta — “¿cuánto de mi capital puede borrar un solo contrato?” — de vuelta al centro de la página.

Clasificar los puentes por modelo de confianza

Analogía. Pensad en cómo un mensaje llega a ser creído. Podéis confiar en él porque un comité que vosotros designasteis lo firmó (verificado externamente). Podéis confiar en él porque cualquiera podía impugnarlo durante un periodo de espera y nadie lo hizo (optimista). Podéis confiar en él porque la cadena destino comprobó las matemáticas de la cadena origen por sí misma (verificado nativamente). Cada uno compra confianza con una moneda distinta: personas, tiempo o cómputo.

Definición. Cuatro familias, con el eterno trade-off de confianza ↔ velocidad ↔ coste:

La idea clave: una confianza más fuerte no es gratis. La verificación nativa minimiza en quién confiáis, pero es cara de ingenierizar y a menudo más lenta de finalizar. Los puentes verificados externamente son rápidos y baratos porque habéis externalizado la verificación a un comité — que es también por lo que encabezan la tabla de pérdidas. Los puentes optimistas empujan el coste hacia la latencia: la ventana de impugnación tiene que ser lo bastante larga para que un vigilante honesto reaccione, y vuestro capital queda atrapado toda esa ventana.

Cuándo importa

El modelo de confianza dicta cómo dimensionáis y durante cuánto tiempo queda expuesto vuestro capital. La ventana de impugnación de un puente optimista alarga directamente vuestro ciclo de inventario (volvemos a las matemáticas del reequilibrio de antes) y ata el float. Un puente verificado externamente liquida rápido pero exige que limitéis la exposición a tope, porque el peor caso es total. No podéis elegir un puente solo por la comisión — la comisión es una columna en un trade-off de tres columnas.

Una historia corta y cara

Los puentes son honeypots por construcción: concentran un valor enorme detrás de código novedoso y poco auditado, y luego anuncian la dirección. Aquí están los desastres canónicos — las cifras son aproximadas y están bien documentadas.

El patrón es brutal y consistente: los puentes verificados externamente dominan la tabla porque comprometer un comité, un conjunto de claves o una función de verificación desbloquea toda la cámara. Recurren tres formas distintas de fallo:

• Compromiso de claves (Ronin): los humanos en los que confiabais cayeron en el phishing. Ningún bug de código necesario.
• Bug de verificación (Wormhole, BNB): el código que decide “¿es real este mensaje?” tenía un fallo, así que mensajes falsos acuñaron dinero real.
• Actualización chapucera (Nomad): un despliegue cambió las reglas para que todo validara, e internet se dio cuenta en cuestión de horas.

Cuándo importa

Esta historia es vuestro prior. Antes de enrutar tamaño, preguntad a cuál de estas tres formas de fallo está expuesto el puente — y suponed que el código tiene un bug que no podéis ver, porque todos los equipos de esa lista creían que el suyo no. La tasa base de fallo catastrófico de puentes no es cero, y la tabla de líderes es como la calibráis.

Poner precio a la cola

Analogía. Imaginad una tragaperras que os paga un chorrito constante de monedas y, muy de vez en cuando, mete la mano en vuestro bolsillo y os quita la casa. Miradla una tarde y parece dinero gratis. El marco de “dinero gratis” sobrevive precisamente porque el evento de quitar-la-casa es raro — su ausencia no es prueba de que no vaya a pasar.

Las matemáticas (todas las cifras son ilustrativas). Tomad el libro canónico:

• Capital expuesto a través del puente: $4,000,000
• Carry bruto antes de la cola: ≈ $200,000/año
• Probabilidad anual ilustrativa de un vaciado catastrófico: $0.02$
• Pérdida en ese evento: los $4,000,000 completos (los puentes se van a ~0, no caen un 20%)

Pérdida de cola anual esperada:

$\text{EV}_{\text{tail}} = 0.02 \times 4{,}000{,}000 = 80{,}000$

es decir, $80,000/año. Frente a $200,000 de carry bruto, la cola se come ~40% de vuestro edge en esperanza — y eso es el promedio, no la experiencia. Vuestro resultado real es bimodal:

Fijaos en que nunca experimentáis de verdad el “promedio de −$80.000”. Os toca un buen año o uno ruinoso. Los menos-ochenta-mil son un artificio contable de lo que el raro desastre os cuesta al año en promedio — que es justo el sentido de poner precio a una cola que no podéis sentir.

Ahora componedlo (recuerdo espaciado — riesgo de ruina y colas gordas). Un evento de ruina anual del 2% no espera educadamente su turno. A lo largo de un horizonte de 10 años:

$P(\text{at least one drain in 10 yr}) = 1 - 0.98^{10} \approx 1 - 0.817 = 0.183$

Así que ≈ 18% — casi uno de cada cinco — de que este libro se coma una pérdida total en una década. Esa es la lente del riesgo de ruina de los prerrequisitos: una pequeña probabilidad de ruina por periodo se compone en una grande a lo largo de la vida. Y como la pérdida es un borrón total de cola gorda (no un meneo gaussiano), un dimensionamiento Kelly ingenuo sobre los retornos visibles sobreapostará masivamente — nunca vio la cola en la muestra, así que dimensionó como si la cola no existiera.

Cuándo importa

Poner precio a la cola importa más cuando estáis decidiendo cuánto agrandaros. El recorte de valor esperado (~40%) reconfigura si la operación supera siquiera vuestro umbral, y la cifra de ruina del 18%-en-una-década debería anclar vuestro dimensionamiento muy por debajo de lo que el Sharpe de los años tranquilos os tentaría a hacer. Si solo miráis el PnL realizado, sobreasignaréis sistemáticamente — porque el número que debería asustaros aún no ha aparecido en los datos.

Gestionar la cola

Analogía. No podéis hacer la cámara imposible de forzar, así que hacéis lo que hace todo operador cuidadoso: guardar menos en cualquier cámara, repartir vuestro float entre varias cámaras gestionadas por gente distinta con diseños de cerradura distintos, y vigilar la noche en que el cerrajero cambia las cerraduras sin avisar.

Los controles, aproximadamente en orden de impacto:

El hilo conductor: no estáis intentando hacer la cola imposible — no podéis. Estáis intentando hacer que cualquier realización única de ella sea no fatal, para que el negocio sobreviva y siga cobrando carry. Un libro acotado, diversificado y humildemente dimensionado con monitorización convierte “18% de probabilidad de ruina en una década” en “18% de probabilidad de un año malo pero sobrevivible”.

Cuándo importa

El timing cruel: la cola domina exactamente cuando el carry lleva mucho tiempo pareciendo seguro en una larga racha tranquila. Cuanto más tiempo corre limpio el puente, más tentador es levantar el tope, concentrar y subir tamaño a lomos del track record — que es el momento preciso en que vuestra pérdida de un solo evento se dispara. La buena gestión de la cola es más valiosa cuando se siente menos necesaria. La disciplina durante la calma es la estrategia.

Repaso