¿Quién paga cuando las DeFi de "blue chip" tienen problemas?

Autor: Route 2 FI Fuente: blackswans Traducción: Shàn Ouba, Jinse Caijing

Aave acaba de sufrir un golpe severo, y esto ya no es simplemente un “protocolo hackeado”.

Un incidente de ataque con rsETH cross-chain, en un mercado de dinero que debería ser uno de los más seguros en DeFi, dejó un agujero de morosidad de nueve cifras.

Ahora, toda la industria debe enfrentarse a una dura realidad: ¿quién pagará al final cuando las DeFi de primera categoría colapsen?

¿Quién paga cuando las “DeFi de primera categoría” tienen problemas?

El fin de semana pasado, el protocolo DeFi considerado “blue chip” Aave despertó y encontró un gran agujero en su balance.

El atacante aprovechó la vulnerabilidad en el puente cross-chain de KelpDAO — a través de su aplicación en toda la cadena LayerZero — creando de la nada una gran cantidad de rsETH sin respaldo y depositándolos como colateral en Aave. Luego, el atacante tomó WETH real y salió con efectivo. El resultado final: el núcleo del pool de WETH de Aave quedó con una enorme morosidad real.

Desde el punto de vista del código, el contrato “funciona normalmente”. Pero la realidad enseñó una lección a DeFi: la capacidad de pago a nivel de protocolo depende del diseño del puente cross-chain, de los incentivos de gobernanza y de la gestión de riesgos, y los depositantes podrían terminar siendo los que asumen la pérdida.

Resumen del evento: ¿qué ocurrió exactamente?

1. La aplicación rsETH de Kelp basada en LayerZero fue comprometida en la capa de transmisión de mensajes

2. El atacante engañó al puente cross-chain para que, sin colateral real, creara y liberara rsETH

3. Este rsETH sin respaldo fue depositado en Aave V3 como colateral

4. Con esto, el atacante tomó un préstamo enorme en WETH y otros activos y desapareció

5. Tras la exposición de la vulnerabilidad, los colaterales en rsETH quedaron completamente inutilizables, y el mecanismo de liquidación no pudo reparar la capacidad de pago

Finalmente, Aave se encontró en esta situación:

• Tiene pasivos en WETH a los usuarios

• Pero los colaterales son rsETH, que el mercado ya no reconoce, y la diferencia entre ambos es la morosidad.

¿Por qué este incidente es un golpe tan duro para DeFi?

Esto va mucho más allá de un “error en la configuración del puente cross-chain de un protocolo”.

1. “Confiar en el código, no en las personas” ha fallado

El código ejecuta estrictamente las instrucciones, pero el problema radica en la combinación de múltiples sistemas: un token de liquidez de cadena cruzada (LST) con parámetros de colateralización agresivos, conectado a un mercado monetario donde un equipo de control de riesgos y contribuyentes clave ya se han ido.

2. DeFi es infraestructura, no una aplicación común

Aave no es un pool minero desconocido, sino un lugar central para fondos institucionales, fondos, ballenas y usuarios normales que depositan ETH para obtener ganancias. Cuando plataformas así de grandes enfrentan enormes morosidades, la idea de que DeFi es una infraestructura financiera segura y estable se desmorona.

Tras la exposición de la vulnerabilidad, usuarios comunes que depositaron ETH y stablecoins en Aave comenzaron a retirar urgentemente, lo que llevó a que la utilización del pool de WETH alcanzara el 100%. Un uso del 100% significa que no queda liquidez en el pool — aunque en los registros aún aparezcan depósitos, no se puede retirar nada, solo esperar a que los prestatarios devuelvan o que entren nuevos fondos. Además, Aave congeló los mercados de rsETH y otros relacionados para protegerse, agravando aún más la crisis de fondos atrapados.

La morosidad generada por préstamos en rsETH no puede ser liquidada normalmente, causando un déficit en el pool de WETH de Aave, sin mecanismos automáticos para reponer liquidez. Antes de que la gobernanza y los planes de respaldo puedan resolver la morosidad, la cantidad de fondos que se puede retirar en algunos pools depende únicamente de la diferencia entre nuevos fondos entrantes y fondos que huyen.

Aún más peligroso, se desencadena una reacción en cadena: los usuarios ven que no pueden retirar sus depósitos, pero aún tienen límites de préstamo, por lo que, para evitar ser los últimos en asumir el riesgo, maximizan sus préstamos, tomando en préstamo stablecoins y ETH en la medida de lo posible. La lógica es simple: si no pueden retirar sus depósitos, transfieren valor mediante préstamos. Los depositantes, que antes eran acreedores netos, se convierten en deudores netos en una sola noche.

Este tipo de préstamos en forma de corrida, en un pool ya sobrecargado, agudiza la crisis, drenando la liquidez marginal y elevando rápidamente el riesgo sistémico. El apalancamiento alto y la morosidad generan costos mucho mayores para la limpieza de riesgos y la reestructuración de capital en el futuro.

Los principales pools de fondos (WETH, USDC, USDT) alcanzan una utilización cercana al 100%, con decenas de miles de millones de dólares en activos imposibles de retirar, y los fondos entrantes se secan en segundos.

La crisis de confianza se extiende rápidamente:

• Ballenas e instituciones retiran entre 50 y 80 mil millones de dólares de Aave

• El precio del token AAVE cae drásticamente

• La TVL (valor total bloqueado) en DeFi en toda la industria disminuye, y fondos migran de plataformas similares de préstamos y cross-chain (Morpho, Sky, Fluid, Kamino, etc.)

Otros protocolos que integran rsETH o usan LayerZero suspenden cross-chain, congelan mercados o ajustan parámetros, agravando la escasez de liquidez y casi deteniendo el flujo de capital entre protocolos.

Si las instituciones y usuarios empiezan a ver a “las DeFi de primera categoría” como productos de alto riesgo estructural, el costo del capital en todo DeFi se elevará: menos depósitos, tasas más altas, requisitos de colateral más estrictos, y todos los productos que dependen de activos cross-chain y LST en múltiples capas seguirán depreciándose.

3. “Código es ley” fracasa ante “gobernanza como juego de suma cero”

El ataque ocurrió rápidamente, pero los peligros fatales ya estaban sembrados en decisiones de gobernanza tomadas meses atrás:

• Incrementar continuamente el LTV (Loan-to-Value) de rsETH

• Reducir los márgenes de seguridad

• Buscar expansión de escala sin control

• La pérdida de personal clave en control de riesgos y gobernanza

¿Dónde está la raíz del agujero en las morosidades de Aave?

En términos simples:

• Algunos usuarios depositan WETH para obtener ganancias

• El atacante crea rsETH sin respaldo y lo usa como colateral para tomar WETH

• Tras el ataque, rsETH no puede liquidarse a su precio original, dejando un déficit en WETH para la plataforma

Este déficit es la morosidad. En esencia:

• El colateral en WETH es insuficiente

• La deuda total de los depositantes supera el valor de los activos restantes del sistema

En experiencias pasadas en DeFi, hay tres soluciones comunes:

1. Usar fondos del tesoro o diluir tokens (el protocolo asume la pérdida)

2. Reducir los derechos de los depositantes (los usuarios asumen la pérdida)

3. Una combinación de ambas, con narrativas de “tokens de recuperación”

Pero Aave ha modificado en los últimos años sus mecanismos de respaldo, complicando aún más la situación.

¿Quién debe pagar?

La disputa central es simple: ¿quién asume la responsabilidad de la capacidad de pago de Aave?

Modelo clásico de Aave

• Los stakers de AAVE garantizan la seguridad del protocolo

• Cuando hay un déficit, algunos de los AAVE en staking se reducen y venden para reestructurar el capital

• Como contraprestación, los stakers reciben recompensas y derechos de gobernanza

Este es el contrato por defecto: los depositantes aportan liquidez y ganan intereses; los stakers asumen riesgos de cola y reciben compensaciones.

La realidad ha cambiado por completo

Con la migración de Aave a nuevas arquitecturas y productos:

• Los mecanismos de reducción en el módulo de seguridad original se vuelven ineficaces

• La gestión del riesgo se traslada a nuevas “estructuras paraguas” vinculadas a activos y mercados específicos (como aWETH)

• En algunas nuevas estructuras, el riesgo de capital ya no recae en los poseedores de tokens AAVE, sino en los propios fondos de los depositantes

Por lo tanto, en el mercado de WETH afectado, la secuencia de pérdidas reales se acerca más a:

1. Los depositantes del pool: asumen pérdidas mediante congelación de liquidez, reducción de activos o participación forzada en reestructuración

2. La gobernanza del protocolo: decide si usar fondos del tesoro o diseñar reestructuraciones

3. Los poseedores de AAVE: solo en caso de que la reducción o dilución en el nuevo mecanismo se ejecute realmente, y en menor medida que antes

Es un contrato completamente diferente y más implícito. Si depositaste ETH en Aave pensando que “los stakers de AAVE cubrirán la pérdida”, ahora quizás descubras que tú eres quien asume la responsabilidad. Esta brecha en la percepción daña gravemente la credibilidad de DeFi — los modelos de riesgo promocionados ya no se corresponden con la realidad en una gobernanza cada vez más compleja.

¿Por qué este incidente cambia radicalmente la percepción del riesgo en DeFi?

Alguien puede pensar: “Solo fue un ataque de 300 millones de dólares, pronto se olvidará”. Pero el impacto es profundo, y los capitales profesionales están revalorando el riesgo en DeFi desde múltiples dimensiones.

1. Blue chip no significa bajo riesgo, tamaño, experiencia o marca, sino que puede incentivar a la gobernanza a reducir márgenes de seguridad en busca de ganancias y cuota de mercado, confiando en el “halo de marca”.

2. Puentes cross-chain y LST tienen riesgos sistémicos: un solo ataque en una aplicación puede desencadenar una crisis de pago en toda la cadena monetaria. Cualquier protocolo que dependa de activos en múltiples capas y cadenas será sometido a un escrutinio riguroso.

3. El riesgo de depósitos debe ser explícitamente valorado: si los depositantes asumen pérdidas antes que los poseedores de tokens, la rentabilidad del “fondo de seguridad” está mal valorada. Los fondos que antes considerábamos como ahorros en cadena en Aave deben ser revisados, ya que en finanzas tradicionales sería como que los “depósitos asegurados” tengan prioridad por debajo de los bonos estructurados emitidos por el propio banco.

Impacto en 24 horas

• La TVL en DeFi cayó en más de 10 mil millones de dólares en 24 horas

• El volumen en el pool de Aave se evaporó en 6.6 mil millones de dólares, la mayor retirada diaria en la historia de DeFi

• El precio de AAVE cayó de 118 a 90 dólares

• La morosidad en Aave alcanzó aproximadamente 196 millones de dólares (posteriormente actualizado a 236 millones)

• La utilización de WETH en Aave tocó el 100%

¿Qué pasará a continuación?

La gobernanza debe responder a tres preguntas clave, cuyas respuestas determinarán la magnitud del daño en DeFi:

1. ¿Los depositantes podrán ser completamente compensados?

• Compensación total: usar fondos del tesoro o dilución de tokens, protegiendo la confianza del usuario, pero dañando a los poseedores de AAVE y el modelo económico a largo plazo

• Reducción parcial: daño duradero a la marca de Aave, pero coherente con la lógica de que “los depositantes asumen el riesgo del protocolo”

3. ¿AAVE será realmente usado como respaldo? ¿O la narrativa ya murió?

• Si las morosidades de nueve cifras no disparan reducciones sustanciales, AAVE como capital de riesgo será solo un recuerdo

• Solo si se activa realmente el respaldo, Aave podrá mantener un sistema confiable, demostrando que los poseedores de tokens asumen el riesgo

5. ¿La industria aprenderá la lección?

• Conclusión superficial: no usar LayerZero, puentes cross-chain o LST

• La verdadera lección: si la capa de colateralización depende de mensajes cross-chain y LTV agresivos, se asumen riesgos sistémicos que deben ser correctamente valorados y precificados

Cualquier decisión que tome Aave marcará un precedente. Otros mercados monetarios y protocolos de LST están observando de cerca — esta es la primera gran crisis moderna de pago en toda la cadena.

Resumen

El incidente rsETH–Aave es importante porque revela la brecha entre la narrativa de DeFi y su realidad:

DeFi se promociona como transparente y regulado. Pero en realidad, la cuestión clave es quién asume las pérdidas. Y eso depende de la dinámica de juego, incentivos y decisiones de gobernanza.

Las morosidades ya están sobre la mesa, y alguien tendrá que pagar. La única duda es: ¿serán los que se les dijo que pagarían (los poseedores de AAVE), o los que solo querían depositar ETH para ganar intereses (los depositantes)?