Llamarisk cuantifica el impacto del hackeo de rsETH de Kelp en los mercados de Aave

Un informe de incidente publicado por Llamarisk en el foro de Aave detalla que un exploit en el puente de KelpDAO, centrado en la ruta rsETH de Layerzero V2 el sábado, permitió a un atacante extraer 116.500 rsETH del adaptador OFT de Ethereum sin quemar tokens en la cadena de origen. El análisis advierte de una posible exposición de Aave V3 a deuda incobrable de entre 123,7 y 230,1 millones de dólares, en función de cómo Kelp reparta las pérdidas. Puntos clave • Llamarisk sitúa el ataque el 18 de abril de 2026 y afirma que se acuñaron 116.500 rsETH sin quema equivalente. • La deuda incobrable estimada oscila entre 123,7 y 230,1 millones de dólares en 7 mercados afectados, según el esquema de socialización de pérdidas que adopte Kelp. • A 20 de abril de 2026, la tesorería del DAO de Aave suma 181 millones de dólares; proveedores de servicio ya trabajan para asegurar compromisos indicativos de recuperación de participantes del ecosistema. Cómo se produjo el drenaje del adaptador OFT Llamarisk y coautores vinculados a proveedores de servicio de Aave sitúan el ataque a las 17:35 UTC, en el bloque 24.908.285 de Ethereum. La ruta Unichain→Ethereum estaba configurada como un camino DVN 1of1, lo que, según el informe, permitía que un único verificador diera por válido un paquete entrante sin necesidad de una acción saliente equivalente. Los autores señalan que el atacante falsificó un paquete que fue verificado, comprometido y entregado en Ethereum, liberando 116.500 rsETH desde el adaptador. El saldo del adaptador cayó de 116.723 rsETH a 223 rsETH en un solo bloque. Distribución de fondos y posiciones en Aave El atacante dispersó el rsETH sustraído desde una cartera de entrada a siete direcciones. De los 116.500 rsETH recibidos, 89.567 se depositaron como colateral en mercados de Aave V3 en Ethereum y Arbitrum. Con esas garantías se tomaron préstamos de aproximadamente 82.650 WETH y 821 wstETH, con factores de salud entre 1,01 y 1,03. En el momento de publicación del informe, las siete direcciones seguían activas en Aave. Los coautores confirmaron que los contratos inteligentes de Aave no fueron comprometidos. El protocolo mantuvo operativas, según diseño, sus funciones de suministro, repago y liquidación durante el evento. Medidas de contención en Aave V3 El "Protocol Guardian" comenzó a congelar todas las reservas de rsETH y wrsETH en todos los despliegues de Aave V3 alrededor de las 19:00 UTC del 18 de abril. La medida fijó el LTV en cero y deshabilitó nuevos suministros y préstamos, manteniendo la posibilidad de repagar y liquidar posiciones existentes. El análisis del foro de Aave indica que 11 mercados se vieron afectados: Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma y Zksync. Además, el "Risk Steward" ajustó los modelos de tipos de interés de WETH en Arbitrum, Base, Mantle y Linea hacia las 14:30 UTC del 19 de abril: redujo Slope 2 al 1,50% y recortó la tasa de préstamo al 100% de utilización desde el rango 8,5%–10,5% hasta el 3,0% TAE. Se aplicó un ajuste equivalente en Core alrededor de las 05:00 UTC del 20 de abril, con Slope 1 en 2%, Slope 2 en 3% y utilización óptima en 94%. El "Protocol Guardian" también congeló WETH en Core, Prime, Arbitrum, Base, Mantle y Linea cerca de las 02:00 UTC del 20 de abril, para impedir nuevo endeudamiento y contener un posible contagio hacia reservas de stablecoins. Los dos escenarios de pérdidas Llamarisk modeliza dos resultados, condicionados por la decisión de Kelp sobre el reparto de pérdidas: Escenario 1: socialización uniforme de 112.204 rsETH sin respaldo sobre toda la oferta de rsETH. Esto implicaría un depeg del 15,12% y una deuda incobrable estimada de 123,7 millones de dólares. En términos absolutos, Ethereum Core absorbería 91,8 millones, mientras Mantle registraría un déficit de reservas de WETH del 9,54%. Escenario 2: aislamiento de la pérdida en rsETH de L2, aplicando un recorte del 73,54% al colateral en cadenas remotas y manteniendo intacto el rsETH de Ethereum mainnet. El informe estima 230,1 millones de dólares de deuda incobrable, concentrada en Mantle (déficit de WETH del 71,45%) y Arbitrum (26,67%). El saldo actual del adaptador se sitúa en 40.373 rsETH, única cobertura confirmada para todo el rsETH en cadenas remotas a lo largo de rutas L2, frente a reclamaciones remotas totales de 152.577 rsETH. Kelp no ha confirmado públicamente cómo se asignarán los fondos recuperados. Capacidad financiera del DAO y señales de apoyo A 20 de abril de 2026, el informe cifra la tesorería del DAO de Aave en 181 millones de dólares, con 62 millones en activos correlacionados con Ethereum, 54 millones en AAVE y 52 millones en stablecoins. El DAO generó 145 millones de dólares de ingresos en 2025 y 38 millones en lo que va de 2026. Llamarisk añade que ya existen varios compromisos indicativos de participantes del ecosistema para cubrir escenarios de posible deuda incobrable. Condiciones de liquidez y riesgo de liquidaciones Las reservas de WETH en Ethereum, Arbitrum, Base, Linea y Mantle están al 100% de utilización, con saldos ociosos por debajo de 20 dólares en cada cadena. A plena utilización, los liquidadores reciben aWETH en lugar de WETH subyacente, lo que ralentiza el ritmo de liquidaciones. El informe identifica Base y Arbitrum como los mercados con menor colchón, con primeras liquidaciones activándose tras caídas del precio de WETH del 0,77% y 1,77%, respectivamente, dado que las posiciones operan con factores de salud cercanos a 1,03. Recomendaciones adicionales Bajo el Escenario 1, Llamarisk recomienda pausar de inmediato el módulo de staking WETH Umbrella. En el momento de publicación, 18.922 de 23.507 aWETH en staking habían entrado en el periodo de enfriamiento para deshacer la posición. Una pausa bloquearía depósitos, retiradas, transferencias y slashing, manteniendo activa la distribución de recompensas. Los cuatro mercados restantes que listan rsETH (Ethereum Lido, MegaETH, Plasma y Zksync) presentan saldos marginales y no registran deuda incobrable. Otros 12 mercados de Aave V3 no listan rsETH y no se han visto afectados.