01 · PanoramaLa respuesta corta
Meteora es uno de los protocolos más auditados de Solana, y no encontramos ningún registro de que sus smart contracts hayan sido explotados. Es un buen punto de partida. Pero no equivale a “seguro”, porque la mayoría de las pérdidas en el DeFi de Solana ocurren una capa por encima del protocolo: en los tokens que la gente elige, los enlaces en los que hace clic y las transacciones que firma.
Ayuda dividir la pregunta en dos. ¿El código es sólido? De eso hablan las auditorías, los bug bounties y un historial limpio de incidentes. ¿Tu forma de usarlo es sólida? Eso depende del pool en el que entras, de cuánto pones, de si el token es honesto y de si tu billetera está limpia. Un pool perfectamente auditado puede hacerte perder el 90 % de tu depósito si el token que contiene se hunde.
El resto de la página repasa las pruebas por orden: el historial de auditorías, los incidentes que sí ocurrieron, la polémica de LIBRA y cómo terminó la demanda relacionada y, por último, los hábitos prácticos que hacen la mayor parte del trabajo de proteger a los LP. Usa la tabla de puntuación de arriba mientras lees: marca los hábitos que ya tienes y mira qué te falta.
02 · CódigoAuditorías y bug bounty
Meteora enumera sus auditorías en una página oficial y aloja los informes completos en un repositorio público de GitHub, MeteoraAg/audits. Cualquiera puede leer qué revisó cada firma, qué versión y qué encontró.
Lo que importa no es una auditoría aislada, sino auditorías repetidas por varias firmas a lo largo de las versiones. DLMM, el producto que mueve la mayor parte del volumen de Meteora, se ha revisado desde sus primeras versiones hasta las más recientes, por equipos distintos con métodos distintos. Cuando un protocolo sigue pagando revisiones nuevas cada vez que publica código nuevo, es una señal significativa.
| Programa | Firmas auditoras | Qué hace |
|---|---|---|
| DLMM | Offside Labs, OtterSec, Sec3, Zenith, Sherlock | Liquidez concentrada basada en bins |
| DAMM v2 | OtterSec, Offside Labs, Zenith | Pools de producto constante configurables |
| Dynamic Bonding Curve | Offside Labs, OtterSec, Zenith | Curvas de lanzamiento que migran a DAMM v2 |
| Productos auxiliares y heredados | Páginas de auditoría propias | Alpha Vault, Presale Vault, Zap, DAMM v1 y otros |
También hay páginas de auditoría para DAMM v1, Dynamic Vault, Alpha Vault, Presale Vault, Stake2Earn, Dynamic Fee Sharing, Zap y Referral Staking. Si piensas usar uno de los productos auxiliares más pequeños, revisa su página concreta en lugar de suponer que las auditorías de DLMM lo cubren. No lo hacen: cada programa es código independiente.
El bug bounty
Meteora tiene un programa de bug bounty a través de OOO Security que cubre DLMM, DAMM v1 y v2, DBC, Alpha Vault y otros programas. Un bug bounty ofrece a los investigadores independientes una vía legal y remunerada para reportar una vulnerabilidad en lugar de explotarla. La documentación no publica los importes de las recompensas, así que no citamos ninguno; consulta la página del programa para ver las condiciones vigentes.
03 · HistorialHistorial de incidentes: qué pasó realmente
Un historial limpio no es la ausencia de titulares. Es la ausencia de fondos de usuarios perdidos por el propio código del protocolo. El historial de Meteora incluye un incidente notable de tesorería, una pérdida histórica de la época de Mercurial y ningún exploit de sus programas de pools que hayamos podido encontrar.
Unos 1,5 M $ perdidos ante una contraparte falsa
Durante una recompra de MET, el equipo envió fondos a una contraparte OTC fraudulenta que se hacía pasar por vendedora, y los tokens nunca se entregaron. Meteora lo comunicó en su informe a holders del primer trimestre de 2026 y dijo haber presentado una denuncia policial. DeFiLlama lo clasifica como una estafa de ingeniería social y suplantación. Los fondos de los usuarios no se vieron afectados.
Unos 800.000 $ en MER perdidos por hackeos
Antes del cambio de marca, los medios informaron de que se habían perdido a manos de hackers unos 800.000 $ del antiguo token MER. Junto con la vinculación de Mercurial con el ecosistema de FTX y Alameda, esto precedió a la decisión, anunciada en diciembre de 2022, de relanzarse como Meteora.
La pérdida OTC merece una lectura atenta, porque es el tipo de fallo que también golpea a usuarios individuales. Nadie rompió un smart contract. Alguien suplantó a una parte de confianza y se envió un pago antes de asegurar la entrega. El mismo informe situaba la tesorería en unos 32,8 millones de dólares, con más de dos años de margen operativo, así que la pérdida fue relevante pero no existencial, según las propias cifras del equipo.
Acusaciones frente a hechos probados
En internet también encontrarás acusaciones. La más sonada vino del cofundador de DefiTuna, que afirmó que lanzamientos vinculados a Kelsier, Meteora y M3M3 extrajeron unos 200 millones de dólares a los traders. Meteora y Jupiter negaron cualquier irregularidad. Esa afirmación no ha sido establecida por ningún tribunal ni regulador, y la mencionamos solo como acusación para que la reconozcas cuando la veas.
04 · PolémicaLIBRA, la dimisión y la demanda
El episodio de LIBRA es el principal motivo por el que la gente busca “¿es seguro Meteora?”. Los hechos, según The Block, Decrypt, crypto.news y los documentos judiciales resumidos por la prensa, son los siguientes.
El lanzamiento
En febrero de 2025, Hayden Davis, de Kelsier Ventures, lanzó LIBRA, un token promocionado por el presidente de Argentina, usando pools de Meteora. El lanzamiento y el trading a su alrededor recibieron duras críticas en todo el sector.
La dimisión
El cofundador y CEO de Meteora, Ben Chow, dimitió pocos días después. El cofundador de Jupiter, Meow, habló de falta de criterio. Chow negó haber tenido información privilegiada, aunque reconoció que había recomendado a Davis y a Kelsier a otros proyectos, entre ellos MELANIA.
Nuevo liderazgo
Unas tres semanas después, el cofundador Zhen Hoe Yong (“Zen”), que había ejercido como responsable interino y tuvo un papel fundacional tanto en Jupiter como en Meteora, fue nombrado líder del proyecto.
La demanda colectiva
En abril de 2025, Burwick Law presentó una demanda colectiva en el Distrito Sur de Nueva York. Entre los demandados figuraban Kelsier Labs, miembros de la familia Davis, “Meteora” y Benjamin Chow.
La resolución
La jueza Jennifer L. Rochon desestimó el caso con carácter definitivo, denegó la posibilidad de enmendar la demanda y lo cerró. El tribunal concluyó que no se había demostrado que “Meteora” fuera una asociación sin personalidad jurídica susceptible de ser demandada, que no se había alegado adecuadamente intención fraudulenta contra Chow y que las pretensiones RICO carecían de patrón o continuidad.
Para un LP, la lección práctica es más acotada que los titulares. Ninguna información que hayamos encontrado atribuye las pérdidas de LIBRA a un fallo del código de Meteora; la polémica se centró en el token, su lanzamiento y las personas a su alrededor. Una infraestructura sin permisos deja que cualquiera lance cualquier cosa. Las herramientas de lanzamiento de Meteora incluyen hoy fee schedulers y ajustes anti-sniper para los pools de lanzamiento, pero nada de eso convierte un mal token en uno bueno.
05 · MarcoRiesgo a nivel de protocolo frente a riesgo a nivel de usuario
Piensa el riesgo en dos capas. La capa del protocolo queda en gran parte fuera de tu control; la gestionas eligiendo productos auditados y dimensionando con sensatez. La capa del usuario está casi por completo en tus manos, y es donde se producen la mayoría de las pérdidas reales.
| Riesgo | Capa | Puedes reducirlo |
|---|---|---|
| Fallo en un smart contract | Protocolo | En parte: tamaño y diversificación |
| Mal uso de la actualización o de claves de administrador | Protocolo | No: supuesto de confianza |
| Pérdida impermanente, salida del rango | Mercado | Sí: elección de par y rango |
| Rug pull o token honeypot | Token | Sí: verificar antes de depositar |
| Web de phishing o airdrop falso | Usuario | Sí: marcadores, nada de mensajes directos |
| Frase semilla filtrada | Usuario | Sí: guardarla fuera de línea |
El riesgo de mercado es un riesgo real
En un rango DLMM concentrado, un movimiento fuerte de precio puede dejar tu posición entera en el token más débil, donde deja de ganar comisiones hasta que el precio vuelva o rebalancees. No es un hackeo, pero puede costar más que uno. Si una posición SOL–memecoin de 2000 $ está en rango mientras la memecoin cae un 80 %, acabas con casi todo en memecoin y la posición puede valer bastante menos de 1000 $. Nuestra calculadora de pérdida impermanente muestra las cuentas para pools de rango completo.
Riesgo del token y del lanzamiento
Los pools de tokens nuevos tienen sus propios peligros: un mint que aún conserva freeze authority, comisiones de transferencia de Token-2022 que gravan cada movimiento o un pool de lanzamiento cuyo fee scheduler empieza muy alto y va bajando. Nada de esto es un fallo de Meteora; todo ello puede vaciar a un LP o a un comprador.
Pequeños costes que sorprenden
Algunos costes no son riesgos en sentido clásico, pero se sienten como pérdidas. Abrir una posición DLMM exige una renta reembolsable de unos 0,059 SOL, pero si eres el primer LP que toca un rango de precios nuevo puedes pagar unos 0,075 SOL por binArray, y esa parte no se reembolsa. Las transacciones fallidas también pagan comisiones de red, y las comisiones de prioridad pueden dispararse en mercados agitados. Por eso Meteora sugiere mantener al menos 0,05 SOL en la billetera.
06 · ManualHábitos de seguridad que funcionan de verdad
Los hábitos de abajo coinciden con la tabla de puntuación de la parte superior y con la guía “Staying Safe” de Meteora. Juntos eliminan la mayor parte del riesgo a nivel de usuario descrito arriba.
Entra en la app siempre por el mismo camino
Escribe meteora.ag una vez, guárdalo en marcadores y usa solo ese marcador. Alrededor del airdrop de MET aparecieron en los resultados de búsqueda dominios de reclamo imitación. Trata como hostil cualquier enlace que llegue por mensaje directo, respuesta o resultado patrocinado.
Verifica el mint, no el ticker
Los tickers se copian gratis. Compara la dirección de mint del token con los canales oficiales del proyecto antes de hacer un swap o añadir liquidez. En el caso de MET, la documentación oficial publica la dirección de mint.
Pasa un chequeo al token
Busca el token en RugCheck, JupShield y el Organic Score de Jupiter, y lee cualquier aviso de riesgo que Meteora muestre en el pool. Fíjate en si tiene freeze authority activa, comisiones de transferencia inusuales o tenencias muy concentradas.
Lee antes de firmar
La vista previa de transacciones de tu billetera es tu última línea de defensa. Si un “reclamo” pide aprobaciones sobre tokens que no tienen nada que ver con él, detente. Billeteras como Phantom incluyen detección de transacciones maliciosas; toma en serio sus avisos.
Separa fondos calientes y fríos
Ten una billetera caliente pequeña para el DeFi del día a día y mueve el grueso a una billetera hardware o a una dirección bóveda aparte. Si la billetera caliente se ve comprometida, el daño queda acotado.
Dimensiona para el peor caso
Da por hecho que cualquier posición individual puede irse a cero. Una regla personal habitual es limitar cada memecoin o pool de lanzamiento a una porción pequeña de tu capital DeFi y reservar los pares blue chip para la mayor parte.
Si usas una billetera de navegador, nuestra guía para configurar Phantom de forma segura explica con más detalle la conexión con billeteras hardware y los avisos de transacción.
07 · VeredictoCómo juzgar Meteora por tu cuenta
No creemos que “seguro” o “inseguro” sea una etiqueta útil para ningún protocolo DeFi. Una pregunta mejor es si las pruebas están a la altura de la cantidad que piensas poner.
Señales tranquilizadoras
- Varias auditorías independientes por programa principal, repetidas en cada versión
- Informes de auditoría públicos y un bug bounty activo
- Ningún exploit conocido de los programas de pools
- Incidente de tesorería comunicado abiertamente, sin afectar a los fondos de usuarios
- Entre las fuentes de liquidez por las que enruta Jupiter
Motivos para la cautela
- Los programas actualizables obligan a confiar en la seguridad de las claves del equipo
- Los pools sin permisos listan tokens de cualquier calidad
- Cambio de liderazgo y daño reputacional tras LIBRA
- La tesorería perdió fondos por ingeniería social
- La liquidez concentrada amplifica las pérdidas de mercado
Un enfoque sensato es empezar con poco, con un par blue chip como SOL–USDC, y aprender cómo se comportan las posiciones, las comisiones y el rebalanceo antes de subir la apuesta. Lee el informe de auditoría del producto que uses. Sigue revisando los canales oficiales de Meteora por si hay comunicaciones, y trata cualquier promesa repentina de rendimientos desorbitados como una pregunta, no como una respuesta.
Nada de esta página es asesoramiento financiero ni jurídico. Es un resumen de registros públicos y de la propia documentación de Meteora, escrito para que puedas decidir por ti mismo con los hechos delante.
