Del Custodia al Colateral: Bonos del Tesoro Tokenizados en DeFi

Introducción

Durante la mayor parte de la historia de DeFi, el conjunto de colaterales ha sido estrecho y autorreferencial: ETH, ETH en staking, wrappers de BTC, un puñado de tokens de gobernanza y stablecoins cuyo respaldo es en sí mismo una caja negra para los protocolos que los aceptan. El stack crediticio construido sobre esos activos es procíclico por diseño: cuando el mercado cripto cae, el valor del colateral se desploma, la demanda de préstamos se contrae y el sistema se encoge al ritmo del mercado al que supuestamente sirve.

El movimiento reciente para admitir fondos tokenizados del mercado monetario —VBILL de VanEck en Euler, BUIDL de BlackRock en una lista creciente de vaults y mercados de préstamos, BENJI de Franklin Templeton a través de diversas integraciones— está siendo presentado en la cobertura sectorial como una historia de rendimiento. Creemos que ese enfoque pasa por alto la parte estructuralmente interesante. El rendimiento de las letras del Tesoro a tres meses es un dato de los mercados tradicionales; enrutar ese rendimiento a través de un agente de transferencia y un wrapper ERC-20 no cambia DeFi por sí solo. Lo que cambia DeFi es el momento en que esos wrappers dejan de ser posiciones pasivas y empiezan a publicarse como colateral frente a préstamos on-chain.

Esa transición introduce una serie de problemas de diseño que los principales venues de lending apenas han comenzado a responder públicamente. ¿Cómo se construye el oráculo de NAV y qué ocurre entre actualizaciones? ¿Qué significa “liquidación” para un activo que solo puede redimirse durante el horario laboral del emisor, en fiat y a una wallet en lista blanca? ¿Quién absorbe la pérdida cuando la liquidación on-chain se completa en segundos pero la liquidación real toma dos días? ¿Y cómo debe un protocolo valorar el riesgo de crédito de un emisor regulado contra el que no puede ejercer acciones legales?

Este artículo examina la mecánica —pipelines de oráculos, rutas de liquidación, supuestos de custodia— y compara las decisiones estructurales que Euler, Morpho y Aave están tomando al incorporar esta nueva clase de colateral.

Qué es realmente un tesoro tokenizado

Antes de hablar de colateralización, conviene ser precisos sobre qué representa el token, porque el espacio de diseño para tratar estos instrumentos como colateral se expande o se contrae en función de esa respuesta.

Un fondo de tesorería tokenizado es, en casi todas las implementaciones actuales, una participación envuelta en un fondo regulado —generalmente un vehículo de Delaware o BVI, a veces una estructura luxemburguesa— que mantiene letras del Tesoro estadounidense de corta duración, repos o acciones de un fondo del mercado monetario. El propio token es un ERC-20 (o equivalente) cuya lógica de transferencia está condicionada por una lista de permisos gestionada por el emisor o su agente de transferencia. Los tenedores son suscriptores con KYC registrados. El token no es un instrumento al portador en el sentido legal, aunque mecánicamente se comporte como tal; el emisor puede —y en la práctica se reserva el derecho de— congelar, forzar el rescate o invalidar transferencias que incumplan las normas de cumplimiento.

El rendimiento se acumula según uno de dos patrones estructurales:

• Rebasing. El saldo del token crece con el tiempo para reflejar los intereses devengados, mientras el precio se mantiene cercano a $1. BUIDL utiliza un dividendo diario que se paga en tokens adicionales.
• Acumulación. La oferta de tokens es fija y el NAV por token aumenta. VBILL y varios productos de Franklin Templeton siguen este patrón, que se asemeja más al funcionamiento de una clase de acciones tradicional de mercado monetario para inversores de retorno total.

La distinción no es cosmética cuando se integra el activo en un mercado de lending. Un token con rebasing requiere que el protocolo de préstamos transfiera el rebase a los depositantes o lo capture en la capa del vault —ambos son problemas resueltos, pero cada uno tiene consecuencias en comisiones y contabilidad—. Un token acumulativo exige un oráculo que rastree el NAV entre ventanas oficiales de publicación; sin él, el LTV disponible para préstamos debe fijarse con suficiente conservadurismo para absorber la deriva no observada de un día.

El flujo de suscripción y rescate reside completamente off-chain. Un tenedor que quiere efectivo envía una instrucción al agente de transferencia, el agente quema los tokens tras la confirmación de la liquidación y el USD sale por transferencia bancaria del fondo en T+0 o T+1 según el horario de corte. No existe rescate atómico on-chain ni mercado secundario en un exchange centralizado con profundidad significativa. Este único hecho —que el activo no tiene salida rápida más allá de una venta OTC privada a otro tenedor en lista blanca— es la restricción en torno a la cual todo diseño de colateralización debe articularse.

El pipeline del oráculo

Un oráculo para un tesoro tokenizado parece superficialmente trivial: el fondo publica un NAV, el oráculo lo registra on-chain, el mercado de lending lo lee. En la práctica, tres niveles de decisiones determinan si el feed de precio resultante es utilizable para liquidaciones.

El valor de referencia

Para un token acumulativo, la referencia natural es el NAV oficial por acción del fondo, publicado una vez por día hábil tras el cierre del mercado. Ese feed es adecuado para valorar la posición, pero no para desencadenar liquidaciones, porque está desactualizado por definición respecto a los movimientos intradía de los bonos del Tesoro. La mayoría de los diseños de oráculos actuales componen por tanto el NAV oficial con un modelo de intereses devengados desde la última publicación, utilizando una tasa de rendimiento publicada como parámetro de deriva. El resultado es un precio que sube suavemente entre publicaciones oficiales y se ajusta al NAV publicado cuando llega uno nuevo.

Para un token con rebasing, el saldo on-chain incorpora el rendimiento y el precio objetivo por token es $1. La función del oráculo aquí es verificar que el valor de rescate se sitúa efectivamente cerca de la paridad —una verificación que solo resulta interesante en un escenario de estrés en el que las letras del Tesoro subyacentes cotizan lejos de la par, por ejemplo durante un episodio de techo de deuda o un shock de duración pronunciado en el tramo más corto de la curva.

El canal de publicación

La cobertura de The Block sobre la integración de VBILL señala que la capa del oráculo depende de feeds de precios curados por proveedores de infraestructura, en lugar de que el emisor publique directamente on-chain. Esa estructura intermediada importa. El agente de transferencia es la fuente de verdad, pero el protocolo de lending no quiere vincular su disponibilidad a un único actor off-chain. El proveedor de oráculo intermedio asume la tarea de leer los datos del agente, attestarlos y escribirlos on-chain según un calendario en el que el mercado de lending puede confiar.

El riesgo que genera esa intermediación es el fallo del handoff off-chain a on-chain precisamente en los momentos en que más importa el precio del colateral: un administrador de fondo pausa la publicación durante una acción corporativa, el pipeline de reporting de un custodio se retrasa durante un día festivo, o los sistemas de un agente de transferencia están caídos. La política de fallback del mercado de lending durante esas ventanas —congelar, recurrir a un precio desactualizado pero conservador, o suspender las liquidaciones— es en sí misma una decisión de crédito que el protocolo toma en nombre de sus depositantes.

Frecuencia de actualización frente a cadencia de liquidación

Los motores de liquidación de DeFi fueron construidos para operar con feeds de precios que se actualizan al menos cada pocos minutos y a menudo en cada bloque. Un NAV de tesorería que se actualiza una vez por día hábil es, desde la perspectiva del motor, efectivamente constante. Eso no representa un problema cuando la volatilidad del instrumento subyacente está acotada por las expectativas de política de la Fed y un vencimiento conocido —las letras a tres meses no experimentan saltos bruscos—. Se convierte en un problema cuando el activo colateral se empareja con un activo de deuda volátil, como ETH o una stablecoin de cola larga, porque toda la acción de mark-to-market recae en el tramo de la deuda. El umbral de liquidación debe fijarse teniendo en cuenta esa asimetría, y el close factor —qué porción de una posición puede incautar un solo liquidador— debe contemplar que el colateral no puede venderse en un mercado profundo dentro de la ventana de liquidación.

Cómo Euler, Morpho y Aave han curado los mercados

Los tres venues que más activamente están desarrollando mercados de colateral RWA tokenizado han tomado caminos arquitectónicos visiblemente distintos. Esos caminos no son casuales: reflejan el modelo subyacente de cada protocolo respecto a cómo se cura el riesgo y quién lo asume.

El modelo vault-por-activo de Euler

El diseño de Euler v2 trata cada mercado como un vault libremente componible, con parámetros de riesgo fijados por quien lanza el vault y no por la gobernanza a nivel de protocolo. La integración de VBILL utiliza esta estructura directamente: el vault que acepta VBILL como colateral está curado por un tercero, los parámetros son públicos y los prestamistas que depositan el activo prestable en ese vault están optando por las decisiones de riesgo de ese curador.

La ventaja de este modelo para un activo como VBILL es que el curador puede escribir parámetros ajustados al instrumento —un LTV elevado que refleje la baja volatilidad subyacente, combinado con un largo período de gracia antes de la liquidación que respete la restricción de liquidación off-chain—. La desventaja es que la competencia y la alineación económica del curador pasan a formar parte del stack crediticio. Un prestamista que deposita en el vault está, en efecto, extendiendo crédito sin garantía al modelo de riesgo del curador, además de la exposición garantizada frente al prestatario.

Para un participante sofisticado esto es una ventaja; la superficie de riesgo es legible y aislable. Para un depositante minorista que espera las garantías del protocolo al estilo Aave es algo diferente, y la UX del venue debe hacer esa distinción explícita.

El primitivo de mercado aislado de Morpho

El primitivo de Morpho Blue es aún más atómico: cada mercado es un par único colateral-activo con su propio LTV, oráculo y modelo de tasa de interés, inmutables una vez desplegados. La curación ocurre en la capa de vault MetaMorpho, donde los allocators eligen a qué mercados subyacentes exponen a los depositantes y en qué proporciones.

Para los tesoros tokenizados esto encaja, en ciertos aspectos, de forma más natural que el diseño de Euler, porque la restricción del mercado aislado se alinea limpiamente con la realidad regulatoria de que el colateral está en lista blanca y el universo de prestatarios es reducido. Un mercado que acepta BUIDL como colateral frente a USDC puede dimensionarse según la base de tenedores conocida del emisor, y el allocator de MetaMorpho puede calibrar su exposición en función de su lectura del riesgo crediticio y operativo del emisor. Varios allocators se han inclinado públicamente por este diseño, tratando los mercados respaldados por RWA como un tramo diferenciado de los mercados cripto-nativos dentro del mismo vault.

El coste estructural es la fragmentación. Cada activo colateral RWA, cada elección de oráculo, cada configuración de LTV genera un mercado separado, y la liquidez no se agrega entre ellos. Para instrumentos donde el número de tenedores puede ser de pocos cientos en lugar de decenas de miles, esa fragmentación puede ser determinante.

El pool monolítico curado por gobernanza de Aave

El enfoque de Aave respecto al colateral RWA ha sido el más conservador de los tres. Mientras que Euler y Morpho permiten lanzar mercados sin permisos, el pool monolítico v3 de Aave requiere una votación de gobernanza para incorporar un tipo de colateral, y el activo debe encajar en el marco de riesgo existente del protocolo —supply caps, isolation mode, e-mode y un flujo de liquidación unificado—.

Para los tesoros tokenizados esto ha significado que las integraciones entran a través de estructuras cuidadosamente acotadas —los primeros esfuerzos de Aave con GHO y las iniciativas orientadas a RWA al estilo Horizon, así como los listados más recientes en isolation mode— en lugar de como colateral directo en el pool principal. La ventaja es que los depositantes del mercado principal de USDC o ETH no quedan silenciosamente expuestos a un nuevo supuesto crediticio. El coste es la velocidad: listar un activo es un proceso de gobernanza de varias semanas y los parámetros que emergen tienden hacia el extremo conservador del espacio de diseño.

Los tres enfoques reflejan un desacuerdo más profundo sobre dónde debe residir el riesgo. Euler y Morpho lo desplazan hacia curators y allocators; Aave lo retiene en la capa de gobernanza del protocolo. Los RWA tokenizados, cuyo riesgo es fundamentalmente legal y operativo en lugar de impulsado por el mercado, pueden resultar ser la clase de activos que más expone los trade-offs de cada modelo.

Cuando la liquidación real llega después de la liquidación on-chain

El problema de diseño más determinante de todo este esquema es la asimetría de liquidación entre el tramo de deuda on-chain y el tramo de colateral off-chain. Vale la pena dedicarle tiempo porque es el modo de fallo que menos se comprende desde una perspectiva cripto-nativa.

Considérese una posición estilizada. Un prestatario publica $10M de un tesoro tokenizado acumulativo y toma prestados $7M de USDC —un LTV del 70% frente a un activo que, en condiciones normales, tiene volatilidad prácticamente nula—. El umbral de liquidación del protocolo es del 80%. El préstamo acumula intereses. Durante meses, no ocurre nada; esta es exactamente la clase de posición que la clase de activos está diseñada para albergar.

Imaginemos ahora que se supera el umbral de liquidación. Existen aproximadamente tres formas en que esto puede ocurrir, y cada una tiene un perfil de liquidación diferente.

La primera es la deriva lenta: los intereses del préstamo se acumulan más rápido que el rendimiento implícito del colateral, el LTV cruza el umbral y la posición se vuelve elegible para liquidación. Este es el caso benigno. Un liquidador puede reembolsar USDC y recibir el token de colateral con descuento, y siempre que el liquidador esté en lista blanca para tener el token, la transferencia se liquida atómicamente on-chain. El liquidador lleva entonces el colateral hasta que puede rescatarlo a través del agente de transferencia el siguiente día hábil, asumiendo el riesgo de liquidación T+1 y el coste de financiación de la posición en el ínterin. El incentivo de liquidación —típicamente del 2–5%— debe calibrarse para compensar ese coste de financiación más la carga operativa. Esto es ingeniería solucionable.

El segundo es un evento de mark-to-market en el tramo de deuda: el activo prestado no es USDC sino ETH o una stablecoin volátil, y un movimiento de precio empuja la posición al territorio de liquidación no porque el colateral haya caído sino porque la deuda ha subido en términos de dólares. Aquí aplica el mismo flujo de liquidación, pero la velocidad del movimiento de la deuda puede comprimir el tiempo disponible para actuar, y una base de liquidadores poco profunda —porque pocas direcciones están en lista blanca para tener el colateral— puede dejar la posición bajo el agua antes de que alguien ejecute. Este es el caso para close factors ajustados y grandes incentivos.

El tercero es el peligroso: una discontinuidad en el propio lado del colateral. El administrador del fondo suspende los rescates durante una ventana de estrés —un impasse del techo de deuda, un gate de un fondo del mercado monetario, un fallo operativo del custodio, una acción de la OFAC contra un tenedor—. El token on-chain sigue siendo transferible en el mercado secundario, pero su verdadero valor de rescate se ha desacoplado de su NAV cotizado, y el oráculo o bien reporta el último NAV publicado (ahora engañoso) o ha sido congelado por su operador (ahora desactualizado). Cualquier liquidación que ocurra en esta ventana transfiere una versión sintética de un activo congelado del prestatario al liquidador, y la recuperación esperada por el liquidador ya no es función del NAV sino de cómo se resuelva la situación off-chain.

Esta no es una clase hipotética de riesgo; es la misma clase que produjo el fin de semana del Silicon Valley Bank en marzo de 2023, cuando USDC sufrió brevemente un depeg porque el canal de rescate para una pequeña fracción de sus reservas estuvo cerrado durante dos días. Un fondo de tesorería tokenizado que alguna vez necesite restringir los rescates, aunque sea brevemente, producirá un shock similar —y a diferencia de USDC, la deuda on-chain contra el activo no puede cubrirse mediante pérdida socializada a través del balance de un patrocinador.

Respuestas de diseño

Las respuestas disponibles a nivel de protocolo son limitadas e insatisfactorias. Una es limitar la exposición —supply caps que garanticen que ningún activo individual pueda dominar la base de colateral de un vault, de modo que un evento de gate de rescates sea un haircut en lugar de una insolvencia—. Otra es acortar la duración en el tramo de deuda —limitar los préstamos a activos estables con sus propios canales de rescate, bajo la teoría de que el prestamista de última instancia en un evento de estrés real es el Tesoro de EE.UU., no el protocolo de lending—. Una tercera es alargar el período de gracia de liquidación —dar al prestatario una ventana de días en lugar de segundos para reforzar la posición antes de la venta forzada, aceptando más riesgo de bad debt a cambio de menos liquidaciones patológicas—.

Ninguna es gratuita, y el hecho de que los tres principales venues hayan tomado decisiones diferentes entre estas opciones es parte de lo que hace estructuralmente interesante este período.

La custodia y el stack de confianza subyacente

Vale la pena ser directo sobre un punto: cuando un protocolo de lending acepta un tesoro tokenizado como colateral, está aceptando una cadena de supuestos de confianza que el propio protocolo no puede verificar ni hacer cumplir.

La cadena discurre aproximadamente así. El valor de rescate del token depende de la solvencia y continuidad operativa del administrador del fondo. El reporting del administrador depende del custodio del fondo —un banco que mantiene las letras del Tesoro subyacentes en cuentas segregadas—. La segregación del custodio depende del cumplimiento del banco con la regulación de valores pertinente. La transferibilidad del token depende del agente de transferencia del emisor y de la lista de permisos que mantiene. La exactitud del oráculo depende del pipeline del proveedor de datos desde el administrador. Y la capacidad del protocolo para recuperar valor en un escenario de impago depende de si un tribunal en la jurisdicción relevante reconocería la liquidación on-chain como legalmente efectiva.

Cada una de estas capas se aborda en las finanzas convencionales mediante un contrato escrito, una póliza de seguro y un respaldo regulatorio. En el envoltorio on-chain, la mayoría de esos instrumentos se heredan de la estructura del fondo subyacente pero no están directamente disponibles para el protocolo de lending ni para sus depositantes. Un depositante en un vault de Morpho tiene un derecho frente al vault; el vault tiene un derecho frente al prestatario; el prestatario tiene, en principio, un derecho frente al fondo. No existe relación contractual directa entre el depositante y el fondo.

Esto no es un problema fatal —es la misma topología legal que existe cuando un prime broker acepta una acción de un fondo del mercado monetario como margen—, pero sí significa que la calidad crediticia del colateral está acotada superiormente por la calidad crediticia del emisor, y el protocolo dispone de muy pocas herramientas para hacer valer ese límite si el emisor impugna una liquidación. Los mayores emisores actuales —BlackRock, VanEck, Franklin Templeton— son lo suficientemente grandes como para que el coste operativo y reputacional de impugnar una liquidación probablemente exceda cualquier beneficio, lo que constituye en sí mismo una forma de enforcement suave. Si ese enforcement suave se mantiene para el siguiente nivel de emisores, que inevitablemente entrarán al mercado una vez que los patrones de integración estén probados, es una pregunta abierta.

Implicaciones y preguntas abiertas

La integración de los tesoros tokenizados en los mercados de crédito DeFi está impulsada por una demanda clara: los prestatarios que mantienen instrumentos con rendimiento no quieren liquidarlos para acceder a liquidez on-chain, y los protocolos de lending quieren un activo colateral cuyo valor no esté correlacionado con los ciclos del mercado cripto. Ambas motivaciones son sólidas y la oferta de estos instrumentos está creciendo. La pregunta estructural es si el envoltorio sobrevive al contacto con un evento de estrés que se origina fuera del mercado cripto.

Algunos aspectos que observaremos a medida que esto se desarrolla.

El primer gate de rescates, cuando ocurra. Ningún tesoro tokenizado importante ha tenido que suspender rescates de un modo que desacople su cotización on-chain de su verdadero valor. La primera vez que esto ocurra —y ocurrirá, aunque sea brevemente, porque los fondos del mercado monetario siempre han necesitado ocasionalmente gestionar la liquidez en los gates— será la primera prueba real de cómo la capa on-chain maneja una discontinuidad en la capa off-chain. El protocolo que haya acortado su período de gracia, congelado correctamente su oráculo y limitado su exposición parecerá visionario. El que no lo haya hecho socializará una pérdida.

La emergencia de un mercado de emisores estratificado. La cohorte actual de emisores es grande y de calidad bancaria. A medida que crezca la demanda on-chain, entrarán emisores más pequeños —tanto nuevos administradores de fondos como empresas cripto-nativas que envuelven sus propias posiciones en tesorería—. Los protocolos de lending se enfrentarán a la elección de tratar todos los tesoros tokenizados como fungibles desde una perspectiva de riesgo o estratificarlos por crédito del emisor. Nuestra hipótesis es que la estratificación es correcta y que los venues que colapsen la distinción acabarán pagando por ello.

El estatus legal de la liquidación on-chain. Ninguna jurisdicción importante se ha pronunciado aún sobre si una liquidación on-chain de un security token en lista blanca es ejecutable frente a los registros del emisor. El supuesto conveniente es que sí, porque la transferencia ocurre dentro de las reglas que el propio emisor codificó. La posibilidad incómoda es que un tribunal en un escenario de estrés decida lo contrario —determinando, por ejemplo, que el prestatario conservaba un interés beneficioso que la transferencia on-chain no extinguió—. Un fallo clarificador, en cualquier dirección, reformularía de manera significativa el espacio de diseño.

La interacción con el restaking y las estrategias apalancadas en bucle. Los tesoros tokenizados como colateral se componen naturalmente en los tipos de estrategias de rendimiento apalancado que dominan el uso actual del crédito on-chain. Un prestatario puede publicar VBILL, pedir prestado USDC, intercambiarlo por otra stablecoin con rendimiento, publicar eso como colateral en otro lugar y repetir. La misma procicilicidad que se supone que la clase de activos debía neutralizar reaparece a través del bucle. Si los principales venues añadirán políticas para desincentivar esto —supply caps que detecten la re-colateralización, isolation modes que la impidan— es una decisión de diseño que esperamos ver debatida.

Lo que no esperamos es que esta tendencia se revierta. El rendimiento es real, la demanda es duradera y las piezas operativas —agentes de transferencia que pueden escribir en chain, proveedores de oráculos que pueden valorar el NAV, custodios que pueden integrarse con la liquidación on-chain— están ya construidas y en uso en producción. El trabajo interesante en el próximo ciclo estará en la capa de curación: quién fija los parámetros, quién suscribe el riesgo del emisor y quién está al otro lado de la mesa cuando un retraso en la liquidación real se encuentra con una cola de liquidación on-chain.