Aave ha publicado un informe oficial post mortem sobre el exploit de rsETH de 230 millones de dólares ocurrido en abril, situando la pérdida no en un fallo de sus propios contratos inteligentes, sino en una verificación fallida del puente de LayerZero que permitió a un atacante acuñar 116.500 rsETH sin respaldo en Ethereum y marcharse con préstamos que Aave no pudo recuperar. El protocolo está reescribiendo ahora sus estándares de listado de activos para examinar puentes, dependencias de oráculos, custodios y seguridad operativa, junto con los riesgos financieros y de contratos inteligentes que tradicionalmente evaluaba.
Por qué importa
El exploit es el ataque más caro sufrido por DeFi en 2026, y el mecanismo importa más que la cifra en dólares. Un único verificador de LayerZero aprobó un mensaje forjado entre cadenas, liberando 116.500 rsETH en Ethereum sin un solo ether respaldándolos; esos tokens se depositaron después en Aave y se usaron como garantía para pedir préstamos que el protocolo tenía todos los motivos para creer reales. El propio código de Aave funcionó exactamente como estaba diseñado: la garantía era falsa porque la infraestructura que la entregó había sido comprometida.
LayerZero reconoció a principios de este mes que había "cometido un error" al permitir que su propio sistema de verificación asegurase activos de alto valor en una configuración de uno a uno. El informe post mortem de Aave lleva la implicación más lejos: las revisiones de riesgo tradicionales — volatilidad, liquidez, auditorías de contratos inteligentes — no capturaron los riesgos que residen en puentes, redes de verificación y otra infraestructura off-chain. A medida que DeFi se compone cada vez más entre cadenas, la superficie de ataque se ha desplazado fuera del código de las aplicaciones hacia las cañerías que las conectan.
Impacto en el mercado
Aave está lanzando una revisión exhaustiva de cada activo listado en V3 y reconstruyendo su marco de riesgo para evaluar la infraestructura de puentes, dependencias de oráculos, contratos de terceros, acuerdos de custodia y seguridad operativa antes de cualquier listado de garantía nuevo o ampliado. El protocolo también está desarrollando defensas automatizadas, incluyendo un sistema que situaría automáticamente el ratio préstamo-valor de un activo en cero una vez que se superen umbrales de riesgo predefinidos, eliminando su capacidad de endeudamiento antes de que las pérdidas puedan propagarse.
La respuesta ya está en marcha.
Preguntas frecuentes
-
¿Qué causó el exploit de rsETH de 230 millones en Aave?
Un fallo de verificación del puente de LayerZero. Un único verificador aprobó un mensaje forjado entre cadenas que permitió a un atacante acuñar 116.500 rsETH sin respaldo en Ethereum y usarlos como garantía para pedir fondos que Aave no pudo recuperar.
-
¿Se hackeó el código propio de Aave en el exploit de rsETH?
No. Aave señaló que sus contratos inteligentes funcionaron exactamente como estaban diseñados. La garantía que aceptó resultó ser falsa porque el puente impulsado por LayerZero que entregó los rsETH había sido comprometido, no por ningún fallo en el código de Aave.
-
¿Cómo está cambiando Aave sus estándares de listado tras el exploit?
Aave está reescribiendo su marco de riesgo para evaluar la infraestructura de puentes, dependencias de oráculos, contratos de terceros, acuerdos de custodia y seguridad operativa, junto con los riesgos financieros y de contratos inteligentes que tradicionalmente evaluaba.
-
¿Qué nuevas defensas está construyendo Aave para garantías en riesgo?
Aave está desarrollando sistemas automatizados que reaccionan más rápido cuando los activos en garantía muestran signos de estrés, incluyendo una propuesta para llevar automáticamente el ratio préstamo-valor de un activo a cero cuando se superen umbrales de riesgo predefinidos.
-
¿Cuántos cambios de parámetros ha hecho Aave desde el exploit de rsETH?
Los gestores de riesgo de Aave han ejecutado aproximadamente 295 cambios de parámetros en los mercados V3 desde el exploit, incluyendo 168 reducciones del supply-cap y 66 reducciones del borrow-cap destinadas a limitar la exposición a activos individuales.
Crypto News
TheBlock
Crypto Rank News
WuBlockchain
CryptoSlate