El cierre de Tropykus (2026)

Qué era Tropykus

Tropykus era un protocolo latinoamericano de préstamos sobre Rootstock. Permitía dos cosas: depositar fondos para cobrar intereses y pedir un crédito dejando rBTC como colateral, por ejemplo en DOC, la stablecoin de Money on Chain respaldada por bitcoin. Para muchos usuarios de América Latina era una forma de conseguir crédito sin pasar por un banco. Más contexto en DeFi sobre Rootstock.

A lo largo de su vida procesó 27,09 millones de dólares en depósitos y 8,82 millones en préstamos, en 8.931 transacciones.

Por qué cerró

En abril de 2026 anunció su cierre y dejó de aceptar depósitos y créditos nuevos. Su web fecha el anuncio el 22 de abril; la prensa lo publicó el 27. El detonante fue un informe de seguridad de Money on Chain, socio del proyecto, que señalaba posibles vulnerabilidades en sus contratos inteligentes.

El problema era de diseño. Los contratos eran casi inmutables: una vez desplegados, no se pueden cambiar. Eso protege al usuario, porque nadie puede alterar las reglas a mitad de partida, pero también impide corregir un fallo sin migrar a contratos nuevos. Su cofundador, Mauricio Tovar, lo resumió así: «la arquitectura actual no tiene esa flexibilidad porque fue diseñada hace más de cinco años […]». El equipo aseguró que, en ese momento, no se había registrado ningún ataque ni pérdida de fondos: fue una decisión preventiva. Años antes, entre 2022 y mediados de 2023, sí había sufrido problemas de seguridad, y según el equipo devolvió el 100 % a los afectados.

Cómo fue el cierre

• Abril de 2026 (el 22 según su web, el 27 según la prensa): anuncio. No más depósitos ni créditos nuevos.
• 27 de julio de 2026: se apaga la web. A partir de ahí solo se podía operar directamente con los contratos, siguiendo guías técnicas.
• 31 de agosto de 2026: cierre completado. Se habían pagado más del 99 % de los préstamos y retirado más del 99 % de los depósitos.

En los contratos quedó menos del 1 % del máximo histórico de depósitos, y según el equipo el 94,5 % de ese resto está libre para que sus dueños lo retiren cuando quieran. Su web, tropykus.com, sigue publicando las direcciones de los contratos y guías para retirar fondos o pagar un préstamo directamente con ellos. Tropykus avisó también de que no contactaría a nadie para pedir fondos ni credenciales: quien lo haga en su nombre es un estafador.

Qué enseña

• Inmutable no significa eterno. Un contrato que no se puede actualizar protege de cambios de reglas, pero envejece. Cuando aparecen técnicas de ataque nuevas, la única salida es migrar o cerrar.
• Un préstamo en DeFi exige estar atento. Quien tenía un crédito abierto tuvo tres meses para devolverlo y recuperar su colateral desde la web. Después solo quedaba la vía técnica.
• Cerrar bien es posible. Con aviso previo y los contratos accesibles hasta el final, se devolvió casi todo.

El cierre coincidió con un verano difícil para la infraestructura de Bitcoin de código abierto. En las mismas semanas Boltz suspendió sus servicios, cerró el bot P2P lnp2pBot y salió a la luz el fallo de entropía de Coldcard.