Acabo de presenciar algo bastante sorprendente en el espacio DeFi. Aave tuvo un evento de liquidación de $27 millones el 11 de marzo, pero aquí está lo curioso: no hubo caída del mercado, ni hackeo, ni nada externo. El propio protocolo estaba completamente bien. Entonces, ¿qué fue lo que realmente sucedió?

Resulta que el culpable fue un mecanismo de seguridad interno llamado CAPO que se supone que previene la manipulación de precios. Irónico, ¿verdad? Este 'guardian' se convirtió en el desencadenante de la liquidación en su lugar. El problema se debió a una desalineación de parámetros. Dos valores que deberían haberse actualizado juntos se desincronizaron: la tasa de cambio en la instantánea para wstETH solo se movió un 3% (debido a límites de tasa), pero la marca de tiempo saltó a un punto 7 días adelante sin ninguna restricción. Esto creó una brecha donde el protocolo subvaloró wstETH en aproximadamente un 2.85% en comparación con el precio real del mercado.

Normalmente eso sería ruido, pero el Modo E de Aave permite a los usuarios apalancarse mucho más, por lo que las posiciones se volvieron extremadamente sensibles incluso a pequeñas desviaciones de precio. La subvaloración empujó las cuentas por encima del umbral de liquidación, y los bots hicieron el resto. Alrededor de 34 cuentas fueron liquidadas, aproximadamente 10,938 wstETH 'cosechados' por bots de liquidación.

Los liquidadores obtuvieron aproximadamente 116 ETH en recompensas, más otros 382 ETH por ganancias de arbitraje entre el precio subvalorado del protocolo y la realidad del mercado. Valor total extraído: aproximadamente 499 ETH ($1.27M). Pero lo que es interesante desde una perspectiva del sistema es que no hubo deuda incobrable, el fondo del pool se mantuvo intacto, y las pérdidas solo afectaron a esas 34 direcciones.

Chaos Labs, el socio de riesgo de Aave, asumió la responsabilidad de inmediato. El CEO Omer Goldberg se comprometió a una compensación total para los usuarios afectados. Recuperaron 141.5 ETH y lo pooling con los fondos del tesoro de Aave DAO, apuntando a unos 345 ETH ($870K) para cubrir a todos. Durante la respuesta de emergencia, ajustaron manualmente los parámetros y limitaron temporalmente el préstamo de wstETH antes de restablecer los límites una vez solucionado el problema.

Lo que destaca de este incidente es que no fue causado por datos externos incorrectos ni por un ataque: fue el propio mecanismo de seguridad el que creó la cascada de liquidaciones. Ya hemos visto problemas con Oracles arruinar DeFi antes (Moonwell valoró cbETH en $1 en lugar de $2,200 recientemente, creando una deuda incobrable de $1.8M). Pero este caso es diferente porque el problema surgió de la propia capa defensiva del protocolo.

Esta es la tensión central en DeFi: los contratos inteligentes se ejecutan automáticamente, sin intervención humana, que es el objetivo principal. Pero también significa que cualquier desalineación de parámetros puede activar operaciones irreversibles antes de que alguien se dé cuenta. La compensación puede remediar la herida financiera, pero la verdadera solución debe ocurrir a nivel de código—mejor verificación de parámetros, controles de consistencia y sistemas de monitoreo que detecten errores antes de que se conviertan en liquidaciones.