Por Canuto  

Aave todavía no recupera el nivel de depósitos que tenía antes del hackeo de Kelp, aunque sus contratos inteligentes continuaron funcionando correctamente. El incidente mostró cómo un token puenteado y sin respaldo puede trasladar el riesgo desde un protocolo externo hacia los mercados de préstamos.
***

  • Los depósitos en Aave cayeron desde USD $26.100 millones hasta aproximadamente USD $18.100 millones cinco meses después del ataque.
  • Los atacantes introdujeron 116.500 rsETH sin respaldo y usaron 89.567 unidades como garantía para pedir cerca de USD $193 millones.
  • El informe de Aave calculó una deuda incobrable de hasta USD $230,1 millones al aislar el rsETH puenteado.

Aave todavía arrastra el impacto del hackeo de Kelp

Cinco meses después del hackeo que afectó al puente de Kelp DAO, Aave continúa muy por debajo del nivel de depósitos que registraba antes del incidente. Los depósitos del protocolo se situaban en aproximadamente USD $18.100 millones al momento de la publicación, frente a los USD $26.100 millones del día anterior al ataque, según datos de DefiLlama, una diferencia cercana al 31%.

El episodio no comenzó con una vulnerabilidad en los contratos inteligentes de Aave ni con una falla en sus mecanismos de préstamo. El problema surgió en el colateral que llegó a sus mercados después de que un atacante manipuló la verificación de mensajes de un puente utilizado por Kelp DAO, convirtiendo un riesgo externo en pérdidas para usuarios de un protocolo que seguía operando como había sido diseñado.

El origen del agujero financiero

El ataque ocurrió el 18 de abril y se concentró en la forma en que el puente entre cadenas de Kelp DAO verificaba los mensajes entrantes. Kelp es un protocolo de liquid restaking, mientras que rsETH funciona como un token de recibo que representa un derecho sobre ether colocado en staking, por lo que el activo depende de una estructura subyacente que debe mantenerse íntegra.

Un poseedor de rsETH no controla directamente ETH, sino un derecho sobre ETH en staking que previamente pasó por un puente. Los atacantes corrompieron los datos que ese puente consideraba válidos y consiguieron introducir un mensaje falso, con lo que liberaron 116.500 rsETH valorados en unos USD $292 millones, aproximadamente el 18% de la oferta del token, sin activos equivalentes que respaldaran esas unidades.

La firma de seguridad Halborn atribuyó el robo a una configuración con un único verificador y a nodos de datos que fueron comprometidos. Chainalysis, por su parte, vinculó a los atacantes con el grupo Lazarus de Corea del Norte, aunque la mecánica que afectó a Aave no consistió en tomar el control de sus contratos, sino en permitir que tokens sin respaldo llegaran a sus mercados.

Los atacantes suministraron 89.567 rsETH en Aave y obtuvieron préstamos por unos USD $193 millones utilizando esas unidades como garantía. La operación aprovechó que el sistema podía verificar los parámetros registrados en el mercado, pero no determinar por sí mismo si el derecho representado por el token seguía respaldado por activos reales en el protocolo externo.

Aave no fue vulnerado directamente

La diferencia entre una falla de Aave y una falla de su colateral resulta central para entender el episodio. El código del prestamista continuó procesando suministros, reembolsos y liquidaciones conforme a sus reglas, mientras que el activo utilizado como garantía perdió su respaldo antes de ingresar al sistema de préstamos.

En su informe de incidentes, Aave sostuvo que sus contratos inteligentes no fueron comprometidos durante el evento. La declaración también señaló que la lógica del protocolo, incluidos los mecanismos de suministro, reembolso y liquidación, siguió funcionando como estaba previsto, una precisión importante porque las pérdidas no nacieron de una modificación maliciosa del código de Aave.

La respuesta inicial consistió en congelar rsETH en 11 mercados en menos de una hora. Dos días después, Aave también congeló WETH, una medida que buscaba contener la presión sobre los fondos comunes y evitar que la caída del valor del colateral afectara a otros participantes del ecosistema.

Antes de esa segunda medida, proveedores de WETH fueron advertidos para que retiraran sus fondos, horas antes de que los grupos alcanzaran una utilización total. Cuando la utilización de un mercado se aproxima al máximo, los depositantes pueden perder capacidad de retiro y los liquidadores enfrentan un entorno más difícil, especialmente si la garantía disponible ya no tiene un precio confiable.

La deuda incobrable y el respaldo externo

El informe de Aave calculó una deuda incobrable de USD $123,7 millones si las pérdidas se distribuían de forma uniforme entre los mercados afectados. Sin embargo, al aislar el rsETH puenteado como el origen específico del problema, la estimación ascendió a USD $230,1 millones, lo que mostró que la concentración del riesgo podía ser mucho mayor que la cifra agregada inicial.

La diferencia refleja un problema habitual en las finanzas descentralizadas: un protocolo puede repartir riesgos entre varios mercados, pero una garantía tóxica puede concentrar el daño en los fondos que aceptaron ese activo. En este caso, el precio y la disponibilidad de rsETH dejaron de representar una relación confiable con ETH, aunque el token todavía pudiera circular y registrarse dentro de contratos automatizados.

Otros protocolos participaron en el esfuerzo para cubrir el agujero. Un plan de recuperación respaldado por una coalición reunió promesas por unos 69.570 ETH frente a un déficit estimado de 75.081 ETH, mientras que el Security Council de Arbitrum congeló 30.766 ETH. La transferencia de esos fondos a Aave quedó posteriormente condicionada por una orden judicial de Estados Unidos.

La orden fue solicitada por acreedores que cuentan con sentencias contra Corea del Norte y bloqueó el movimiento de los activos congelados. Esa situación añadió una dimensión legal a la recuperación, porque reunir fondos en una cadena de bloques no garantiza que puedan transferirse o utilizarse de inmediato cuando existen restricciones judiciales sobre los activos.

La recuperación de los depósitos sigue incompleta

Los depósitos de Aave habían descendido a USD $12.500 millones a finales de junio y luego subieron hasta aproximadamente USD $18.100 millones durante la semana analizada. La recuperación muestra que parte de la liquidez regresó al protocolo, pero también confirma que el nivel previo al ataque, de USD $26.100 millones, todavía queda lejos.

La evolución del precio del token también reflejó la tensión del mercado. AAVE cotizaba cerca de USD $124, con una caída diaria de 3,8% al momento de la publicación, en un contexto donde la confianza de los usuarios depende tanto del desempeño del código como de la calidad y liquidez de los activos aceptados como garantía.

El caso no se limita a rsETH ni a Aave. Wrapped Bitcoin y otros tokens de recibo colocan una capa intermedia entre el prestatario y el activo subyacente, de modo que los usuarios no solo deben evaluar el protocolo de préstamos, sino también el puente, los validadores, los custodios y las reglas que determinan cuándo un token conserva su respaldo.

Antes de utilizar uno de esos activos como colateral, conviene revisar cuántas partes independientes deben firmar los mensajes del puente, si el mercado está aislado o comparte pérdidas con otros grupos y si la garantía representa un activo directo o un derecho sobre otro derecho. El hackeo de abril dejó una conclusión incómoda para los prestatarios: una transacción puede ejecutarse correctamente y aun así terminar respaldada por algo que ya no existe.

Las lecciones para los usuarios de DeFi

La primera lección es que la seguridad de un protocolo de préstamos no depende únicamente de la auditoría de sus contratos. También depende de la información que recibe, de la procedencia de los activos que acepta y de la capacidad de sus mecanismos de riesgo para detectar cuándo un token representa una reclamación legítima o una unidad creada mediante un mensaje falsificado.

La segunda tiene que ver con la fragmentación de la liquidez. Cuando varios mercados comparten activos, proveedores o fuentes de precio, un incidente que comienza en un token específico puede extenderse hacia garantías aparentemente más sólidas, como ocurrió con la presión que llevó a congelar WETH después de la primera respuesta sobre rsETH.

La tercera lección afecta a quienes buscan rendimientos adicionales mediante liquid restaking y activos puenteados. Estos instrumentos pueden facilitar la movilidad del capital entre redes, pero agregan dependencias técnicas y legales que no siempre aparecen reflejadas en la etiqueta del token ni en la interfaz de una plataforma de préstamos.

Aave logró contener los mercados directamente vinculados con rsETH y sus contratos no dejaron de ejecutar sus funciones, pero la recuperación de los depósitos avanzó con más lentitud que la respuesta técnica. Para los usuarios, el episodio convirtió una pregunta aparentemente sencilla, como cuánto vale una garantía, en otra mucho más amplia: quién verifica ese valor y qué ocurre cuando la respuesta deja de ser confiable.

Imagen original de DiarioBitcoin, creada con inteligencia artificial, de uso libre, licenciada bajo Dominio Público.

Este artículo fue escrito por un redactor de contenido de IA y revisado por un editor humano para garantizar calidad y precisión.


ADVERTENCIA: DiarioBitcoin ofrece contenido informativo y educativo sobre diversos temas, incluyendo criptomonedas, IA, tecnología y regulaciones. No brindamos asesoramiento financiero. Las inversiones en criptoactivos son de alto riesgo y pueden no ser adecuadas para todos. Investigue, consulte a un experto y verifique la legislación aplicable antes de invertir. Podría perder todo su capital.

Suscríbete a nuestro boletín

Artículos Relacionados