El equipo de seguridad del protocolo DeFi más grande, Aave, se va. ¿Quién podrá soportar la próxima cisne negro en el mercado bajista?

Cuando hay un mercado bajista, el control de riesgos es lo que realmente se necesita.

Autor: Deep Tide TechFlow

El mayor protocolo de préstamos de DeFi está atravesando una salida silenciosa del equipo de seguridad.

Ayer, una empresa llamada Chaos Labs envió una carta de despedida en la que anunció la terminación de su colaboración con Aave. La mayoría de los usuarios quizá ni hayan oído ese nombre, pero durante los últimos tres años, la tasa de colateral, la línea de liquidación y los parámetros de riesgo de cada préstamo que hiciste en Aave han sido definidos por esta compañía.

También montaron un sistema de automatización llamado Risk Oracle, capaz de ajustar parámetros en tiempo real siguiendo el mercado. Gracias a esa herramienta, Aave pasó de decenas de mercados a más de 250 en 19 cadenas. Durante tres años, gestionaron fondos por cientos de miles de millones de dólares, sin deudas incobrables.

En pocas palabras, en Aave se ejecutan contratos inteligentes, pero cuántos números se rellenan en esos contratos siempre han estado bajo el escrutinio de Chaos Labs.

La carta de despedida del CEO Omer Goldberg está escrita de manera muy formal, y también detalla su hoja de logros con gran precisión. El TVL subió de 5.200 millones a más de 25k de dólares, los depósitos acumulados superan los 2,5 billones y las liquidaciones superan los 2.000 millones…

Luego dijo: nosotros propusimos de forma proactiva terminar el contrato. Nadie los instigó ni presionó, y el contrato tampoco había vencido. Al mismo tiempo, el fundador de Aave, Stani Kulechov, respondió con calma: el protocolo funciona con normalidad y otro proveedor de servicios de riesgo, LlamaRisk, se hará cargo.

Suena como si no hubiera pasado nada.

Pero que un equipo de control de riesgos que estuvo tres años gestionando y no tuvo problemas decida abandonar el mayor protocolo de préstamos de DeFi es algo que en las finanzas tradicionales se considera una mala señal.

En su declaración, Goldberg dijo que las diferencias no están en el dinero, sino en que la idea fundamental de gestión del riesgo entre ambas partes ya no coincide.

Menos dinero, gente agraviada

Para retener talento, Aave Labs propuso aumentar el presupuesto anual de Chaos Labs de 3 millones a 5 millones de dólares. Chaos Labs igual se fue.

En su declaración, Goldberg dio tres razones que, según él, hacían imprescindible la salida, pero al leerlas verás que apuntan a una misma conclusión.

La primera es el dinero. Los ingresos de Aave para todo 2025 serán de 142 millones de dólares, y el presupuesto para control de riesgos es de 3 millones, un 2%. En la banca tradicional, la proporción destinada al cumplimiento y el control de riesgos suele ser del 6% al 10%.

Goldberg dijo que en los últimos tres años estuvieron perdiendo dinero haciendo ese trabajo; incluso si el presupuesto sube a 5 millones, seguirá siendo una pérdida. Considera que el umbral razonable es 8 millones. En la tesorería de Aave hay 140 millones de dólares. Aave Labs acaba de aprobar para sí mismo una propuesta de asignación de fondos de 50 millones. Por eso, parece que el protocolo no se queda sin dinero, sino que simplemente no quiere dar tanto a un equipo de seguridad.

La segunda es el trabajo. Aave está pasando de V3 a V4; la arquitectura subyacente, los contratos y la lógica de liquidación se reescribieron por completo. Goldberg dijo que los únicos puntos en común entre V4 y V3 son el nombre. Durante la actualización, ambos sistemas tienen que funcionar en paralelo; el trabajo del control de riesgos no se reduce a la mitad, sino que se duplica.

La tercera es la responsabilidad. En DeFi, la responsabilidad legal que asumen quienes hacen control de riesgos actualmente no está definida, no hay un marco regulatorio y tampoco existen disposiciones de puerto seguro. Cuando va bien, eres invisible; cuando ocurre un problema, eres el primero al que buscan. La frase exacta de Goldberg fue: si el margen al alza es de beneficio pequeño y el margen a la baja no tiene piso, seguir haciéndolo por cuenta propia es una mala decisión de control de riesgos.

El autor cree que esa afirmación es difícil de refutar. Un protocolo que gana 140 millones de dólares al año, con un equipo que protege activos por cientos de miles de millones con un presupuesto del 2%, y luego les dicen que tienen que trabajar el doble y, si sale mal, legalmente nadie te respalda.

Si fueras tú, ¿lo harías?

Por supuesto, del otro lado la historia es distinta. El fundador de Aave Labs, Kulechov, en su respuesta en X, deja entrever que Chaos Labs ya venía reduciendo su negocio de consultoría de riesgos y que había empezado a recortar la colaboración con otros protocolos.

Dicho de otro modo, las razones en la carta de despedida parecen más bien una narrativa respetable para justificar la salida.

Si se trata de falta de afinidad de ideas o de aprovechar que el camino se allanó, los de afuera no pueden saberlo. Pero hay una cosa que es segura: no se fue solo Chaos Labs.

Cuando hay mercado bajista, llega lluvia por la noche

Aun cuando sigue llamándose Aave, el grupo de personas que lo construyó ya se ha ido saliendo en los últimos dos meses.

En febrero de este año, el equipo principal de desarrollo de Aave V3, BGD Labs, anunció que no renovará. Esta empresa fue fundada por el ex CTO de Aave, Ernesto Boado. El código de V3, el sistema de gobernanza y el despliegue entre cadenas, básicamente todo salió de sus manos. Hicieron cuatro años y, cuando venció el contrato, se fueron.

Las razones que dio BGD fueron directas. Aave Labs está concentrando el poder en sus propias manos; el desarrollo de V4, los activos de marca y las cuentas sociales están en manos de Aave Labs. BGD considera que no tiene derecho a participar en el diseño, pero aun así tiene que ser responsable del resultado. En las compañías tradicionales, esto se llama “ponerlos en un segundo plano” (crear una situación en la que el otro manda pero tú respondes).

Un mes después, en el sistema de gobernanza de Aave, el proveedor de servicios más activo, ACI, también anunció su salida. Este equipo de ocho personas impulsó el 61% de las propuestas de gobernanza de Aave en tres años. El fundador Marc Zeller, en la carta de despedida, lo dijo muy claro: Aave Labs puede usar su propio poder de voto para aprobar su propio presupuesto; para los proveedores de servicios independientes, en este sistema ya no tiene sentido.

Dos meses, dos cartas de despedida: una dice que “los dejaron fuera del marco”, y la otra dice que “las reglas del juego son injustas”.

Luego, este año en marzo ocurrió otra cosa.

El sistema de control de riesgos construido por Chaos Labs tuvo un error de configuración, lo que provocó que una posición de aproximadamente 27 millones de dólares se liquidara de forma incorrecta; al menos 34 usuarios se vieron afectados. Chaos Labs dijo que no se generaron deudas incobrables y que los usuarios afectados recibirán una compensación.

Al final, nadie asumió responsabilidad legal, porque en DeFi, en realidad, no existe una definición legal de quién debe hacerse responsable.

Pero manejando fondos por cientos de miles de millones, un parámetro mal ajustado provoca una oscilación de millones de dólares, y tu protección legal equivale a cero. Justamente ese es el problema que el equipo de control de riesgos repite en su carta de despedida.

Hasta aquí, en la era V3, Aave funcionaba sobre cuatro pilares: desarrollo, gobernanza, control de riesgos y crecimiento financiero. Ahora, los tres primeros pilares ya se han ido.

En la carta de despedida del equipo de control de riesgos, hay una metáfora llamada el barco de Teseo. Si reemplazas cada tabla de una embarcación una por una, ¿sigue siendo el mismo barco?

El nombre Aave sigue ahí; los contratos siguen ejecutándose; el TVL sigue creciendo. Pero se fue el equipo que escribe el código; se fue el equipo que gestiona la gobernanza; se fue el equipo que gestiona el control de riesgos. Los usuarios siguen depositando y pidiendo prestado como siempre, quizá ni siquiera sepan que lo que hay bajo el fondo del barco ya se cambió por completo.

Lo que realmente incomoda no es quién se fue, sino que, después de que se fueron, no pasó nada.

El usuario abre la página, deposita, pide prestado, las tasas están normales, las liquidaciones están normales, todo como siempre. Si nadie se toma la molestia de leer los foros de gobernanza, la mayoría de los usuarios no sabrá qué pasó en los últimos dos meses.

A corto plazo, quizá de verdad no haya nada. Los contratos inteligentes no se detendrán porque el equipo de control de riesgos se haya ido; los parámetros ya establecidos no van a cambiar por sí solos. Además, Aave todavía tiene un proveedor de servicios de riesgo, LlamaRisk, así que no está completamente “desnudo”.

Pero el control de riesgos no es un proyecto de una sola vez. Que los parámetros estén configurados no significa que siempre sea adecuado; el mercado cambia, los activos cambian y también cambian las tácticas de ataque en la cadena. En la próxima ocasión en que ocurra algo similar, nadie sabe si el nuevo equipo será capaz de reaccionar tan rápido.

Además, ahora no es un momento de calma.

El precio del token de AAVE ha caído desde el máximo de agosto del año pasado, 356 dólares, hasta cerca de 96 dólares en la actualidad: una caída de más del 70%. Toda la senda de préstamos DeFi se está encogiendo, disminuye la actividad on-chain y los ingresos de los protocolos están bajo presión.

Cuando hay mercado alcista, el control de riesgos es invisible: nadie aplaude por el hecho de que “hoy no pasó nada”. Cuando hay mercado bajista, es cuando realmente se necesita el control de riesgos, porque los precios de los activos fluctúan con fuerza, aumenta la densidad de liquidaciones y sube la probabilidad de cisnes negros: es justamente la etapa que más pone a prueba la experiencia y la velocidad de reacción del equipo de control de riesgos.

Justo en esa etapa, se fue el grupo con más experiencia.

El equipo de control de riesgos dijo una frase en su carta de despedida, y el autor piensa que es una descripción muy acertada. Aave pudo superar a esos competidores más agresivos no porque tuviera más funciones, sino porque cuando los demás explotaron, Aave no explotó. En este mercado, sobrevivir es el producto.

Ahora el problema es que quizá las personas que lo hicieron posible ya no estén.