Aave Enfrenta Riesgo de Hasta $230 Millones en Deuda Incobrable Tras el Exploit de Kelp DAO

El proveedor de gestión de riesgos de Aave, LlamaRisk, ha cuantificado el impacto potencial que el reciente exploit de $293 millones a Kelp DAO podría tener sobre el ecosistema de préstamos descentralizados. Según su análisis, Aave podría enfrentar una deuda incobrable de entre $123.7 y $230.1 millones, dependiendo de cómo se distribuyan las pérdidas entre los tenedores del token rsETH. El incidente subraya los riesgos de contagio en las finanzas descentralizadas (DeFi) y ya ha provocado salidas por casi $10,000 millones del protocolo Aave.

El Origen del Problema: El Exploit al Bridge de Kelp DAO

El evento desencadenante fue un ataque contra un bridge de activos operado por Kelp DAO que utiliza la tecnología del protocolo LayerZero. Los atacantes comprometieron dos nodos validadores del bridge y lanzaron un ataque de denegación de servicio (DDoS) contra un tercero. Esta maniobra les permitió falsificar un mensaje de transferencia válido, lo que resultó en la acuñación fraudulenta de 116,500 tokens rsETH, un activo líquido de staking de Ethereum, por un valor aproximado de $293 millones.

Conexión Directa con Aave

La conexión con Aave se estableció de inmediato. Los atacantes utilizaron los tokens rsETH creados fraudulentamente como colateral en el protocolo Aave V3 en la red Ethereum. Contra este colateral, tomaron un préstamo de wrapped Ether (wETH). Esta acción crea una exposición directa para Aave: si el valor del colateral (rsETH) se reduce o se vuelve inválido, el préstamo de wETH se convierte en una deuda que el protocolo podría no poder recuperar. Kelp DAO logró pausar sus contratos y listar en negra las direcciones involucradas, previniendo un robo adicional estimado en 40,000 rsETH, equivalentes a unos $95 millones.

Los Dos Escenarios de LlamaRisk para Aave

El análisis de LlamaRisk plantea dos posibles escenarios basados en cómo Kelp DAO decida finalmente asignar las pérdidas del exploit.

Escenario 1: Pérdidas Distribuidas en Todas las Redes

En este caso, las pérdidas se socializarían entre todos los tenedores de rsETH, tanto en Ethereum como en las redes de Capa 2 (Layer 2). El impacto calculado para Aave sería de aproximadamente $123.7 millones en deuda incobrable. Este escenario conllevaría un riesgo de que el rsETH se deprecie alrededor de un 15% frente al Ether (ETH). Aunque el wETH absorbería la mayor parte de la deuda, su profundo mercado y reservas ofrecerían un colchón. Además, el modelo de seguridad «Umbrella» de Aave y los aproximadamente 18,922 tokens aWETH (valorados en $43.7 millones) que están en un período de espera («cooldown») podrían utilizarse para cubrir parte de las pérdidas.

Escenario 2: Pérdidas Concentradas en Capa 2

Este panorama, más grave, asume que todo el déficit se asigna específicamente a las redes de Layer 2, como Arbitrum o Mantle. Aquí, la deuda incobrable potencial para Aave se dispara hasta los $230.1 millones. La consecuencia sería una presión mucho mayor y más localizada sobre los mercados de Aave en esas redes específicas, que tienen una capacidad de absorción menor que el mercado principal de Ethereum.

La decisión final sobre qué camino tomar recae exclusivamente en Kelp DAO. Como posible herramienta de mitigación, Aave cuenta con una tesorería de aproximadamente $181 millones, que podría emplearse para cubrir déficits.

Contexto Amplio y Repercusiones

Este incidente sirve como un claro caso de estudio sobre el riesgo de contagio en el ecosistema DeFi. Un exploit en un componente aparentemente externo, como un bridge, se ha propagado rápidamente a un protocolo central de préstamos debido a la interconexión de los activos. La reacción del mercado fue inmediata, con salidas netas de casi $10,000 millones en valor desde los mercados de Aave tras conocerse el exploit.

Estado Actual y Próximos Pasos

Kelp DAO emitió un comunicado indicando que la evaluación del impacto financiero total sigue en curso. La organización afirmó estar «trabajando con Aave, LayerZero y otras partes relevantes para encontrar una solución». Mientras tanto, el protocolo de Kelp DAO permanece en pausa. La incertidumbre sobre la decisión final de asignación de pérdidas mantiene en vilo a los participantes del ecosistema.

Conclusión Informativa

Aave se enfrenta a un riesgo financiero cuantificado y significativo, que no se originó en sus propios contratos inteligentes, sino en un exploit ajeno que contaminó un activo utilizado como colateral dentro de su sistema. La magnitud final del impacto, que podría oscilar entre $123.7 y $230.1 millones en deuda incobrable, depende críticamente de una decisión que tomará Kelp DAO. Este evento actúa como un recordatorio crucial para la industria DeFi sobre la importancia de una gestión de riesgos de contraparte robusta y los persistentes desafíos de seguridad asociados a los bridges de activos entre cadenas.