Por qué Aave congeló los mercados de rsETH tras el exploit del Kelp DAO

El 18 de abril de 2026, Aave congeló los mercados de rsETH después de que el exploit del puente Kelp DAO convirtiera un activo colateral correlacionado con ETH, ampliamente utilizado, en una fuente de riesgo para el protocolo. La decisión no fue un signo de que los propios contratos de préstamo de Aave hubieran sido hackeados. Fue una medida de contención dentro de un sistema de préstamos DeFi mucho más amplio que depende en gran medida de suposiciones de colateral confiables.

El problema central estaba aguas arriba. Según el análisis público del incidente publicado tras el ataque, un atacante acuñó o liberó 116,500 rsETH no respaldados, que valían aproximadamente 292 millones de dólares en ese momento, a través de un camino de puente comprometido o mal configurado. Esos tokens se utilizaron luego como colateral en plataformas de préstamos, incluyendo Aave, para retirar liquidez real del sistema. Una vez que el mercado entendió que parte del suministro de rsETH ya no estaba respaldado de manera confiable, Aave tuvo que asumir que el colateral detrás de esos préstamos no podía ser confiable.

Por eso la congelación era importante. El primer trabajo de Aave fue detener el daño antes de que empeorara.

Qué ocurrió el 18 de abril de 2026

El incidente comenzó fuera de Aave. Los primeros informes y el análisis en cadena apuntaron a una falla en la infraestructura de cadena cruzada de Kelp DAO, no a un defecto en el motor de préstamos de Aave. El análisis público posterior al incidente dijo que el atacante utilizó mensajería de cadena cruzada falsificada para causar la liberación de rsETH que no debería haber existido en forma gastable.

En lugar de volcar ese rsETH directamente en intercambios descentralizados y aceptar una gran deslizamiento, el atacante lo utilizó de manera más eficiente: como colateral. Ese enfoque permitió al atacante pedir prestados activos líquidos como WETH contra activos cuya confianza en el mercado aún no se había colapsado por completo.

Para Aave, esto creó el peor tipo de contagio. El protocolo no perdió fondos porque sus contratos fallaron. Se enfrentó a una deuda mala porque un activo externo que había sido aceptado como garantía se volvió repentinamente poco fiable.

Por qué Aave congeló los mercados de rsETH

Aave congeló los mercados de rsETH para lograr tres cosas a la vez.

Primero, impidió nuevos depósitos y nuevas actividades de préstamo vinculadas al activo afectado. Cuando un activo de garantía está comprometido, permitir que se abran nuevas posiciones puede multiplicar la pérdida.

En segundo lugar, compró tiempo para que los gestores de riesgos y los participantes de la gobernanza evaluaran cuánto de deuda mala ya se había formado. En incidentes de DeFi de rápida evolución, las primeras horas son más importantes que un mensaje perfecto. El sistema tiene que detener la exposición antes de poder producir un análisis post-mortem limpio.

En tercer lugar, protegió el pool de préstamos más amplio de convertir un evento de garantía malo en una espiral de liquidez completa. Una vez que se rompe la confianza, los proveedores comienzan a marcharse. Si el protocolo no contiene rápidamente el mercado afectado, el pánico puede extenderse a reservas no relacionadas.

Esa lógica fue visible en las actualizaciones de gobernanza de Aave publicadas el 19 de abril de 2026. LlamaRisk escribió que, como seguimiento precautorio al congelamiento de rsETH, el Guardián del Protocolo también congeló WETH en Core, Prime, Arbitrum, Base, Mantle y Linea para prevenir nuevos préstamos contra la garantía de WETH mientras la situación aún estaba siendo monitoreada.

Por qué la exposición se volvió tan grande

La exposición de Aave a rsETH no apareció de la nada. El 9 de abril de 2026, LlamaRisk propuso aumentar el límite de suministro de rsETH en Ethereum Core de 480,000 a 530,000, citando una demanda persistente y estrategias de apalancamiento correlacionadas con ETH. En condiciones normales de mercado, ese tipo de posicionamiento puede parecer manejable porque se espera que rsETH y ETH se muevan estrechamente juntos.

Pero el comportamiento de precios correlacionado no es lo mismo que la seguridad de la infraestructura.

Esa distinción es la verdadera lección del incidente. Un activo de garantía puede parecer líquido, integrado y estable en precio mientras aún lleva riesgo de puente, acuñación o configuración fuera del propio protocolo de préstamos. Cuando esa capa oculta falla, el mercado de préstamos hereda las consecuencias. Esa es también la razón por la que el debate en torno al modelo de restaking se ha vuelto más importante tras este evento: los sistemas de rendimiento en capas pueden amplificar la fragilidad cuando las suposiciones sobre el colateral se rompen.

Los informes públicos en las primeras 48 horas sugirieron que el atacante tomó prestados decenas de miles de WETH a través de Ethereum y Arbitrum. Las estimaciones sobre la deuda mala relacionada con Aave variaron según la fuente y la metodología, pero la mayoría de las discusiones serias situaron el problema en cifras altas de nueve dígitos a partir del 20 de abril de 2026.

¿Quién Puede Absorber las Pérdidas?

La siguiente pregunta no es si Aave fue afectado. Es quién paga en última instancia.

El sistema Umbrella de Aave fue diseñado como un respaldo automatizado para la deuda mala. Según la documentación oficial de Aave, Umbrella aísla el riesgo por activo y red y puede quemar los aTokens en stake correspondientes cuando ocurren déficits. Es una versión más automatizada del modelo de seguridad anterior del protocolo.

Pero hay una limitación importante. Umbrella se despliega inicialmente en Ethereum y soporta activos seleccionados allí, incluyendo WETH. Eso significa que la cobertura no es automáticamente uniforme en todas las redes donde opera Aave. Si las pérdidas están fuera del alcance del despliegue activo de Umbrella, las decisiones de gobernanza y tesorería se vuelven más importantes.

Para los usuarios, esto significa que la congelación no debe interpretarse como una resolución final. Es el comienzo del proceso de resolución. El protocolo aún tiene que determinar el déficit, el camino de respaldo y la eventual asignación de pérdidas a través de las capas de protección disponibles.

Lo que significa la Congelación de rsETH para DeFi

Este incidente es más grande que un token o un protocolo. Muestra por qué el riesgo de DeFi ya no puede evaluarse solo en la capa de oráculo de precios y liquidación.

Un protocolo de préstamos puede tener contratos centrales excelentes y aún así sufrir daños severos si lista activos cuyos supuestos de puente o emisión son débiles. La congelación de rsETH es, por lo tanto, un estudio de caso en el riesgo de composabilidad: Aave heredó riesgo de una parte de la pila que no controlaba directamente.

Para los constructores de DeFi, la lección es sencilla. Los marcos de riesgo deben tratar la seguridad del puente, los supuestos de los validadores y la infraestructura de colateral como criterios de listado de primera clase. Para los usuarios, la lección es aún más simple: “Similar a ETH” no significa “equivalente en riesgo a ETH.”

Aave congeló los mercados de rsETH porque esperar habría sido peor. La congelación fue un freno de emergencia, no una cura. La verdadera prueba ahora es si el diseño del seguro del protocolo, el proceso de gobernanza y los estándares de listado son lo suficientemente fuertes como para absorber un fallo de colateral que se originó en otro lugar. Esa es también la razón por la que la reacción del mercado en el AAVE token sigue siendo una señal de sentimiento útil, incluso si la acción del precio por sí sola no puede explicar la magnitud total del riesgo.

FAQ

¿Aave fue hackeado?

No hay informes públicos hasta el 20 de abril de 2026 que indiquen que los contratos centrales de préstamos de Aave fueron la causa raíz. El desencadenante fue la explotación de rsETH y el uso de colateral comprometido dentro de Aave.

¿Por qué Aave también congeló WETH en algunos mercados?

Las actualizaciones de gobernanza de Aave del 19 de abril de 2026 dijeron que WETH fue congelado en varias instancias para prevenir nuevos préstamos contra el colateral de WETH mientras el protocolo monitoreaba las consecuencias del incidente de rsETH.

¿Qué es Aave Umbrella?

Umbrella es el respaldo automatizado de deuda incobrable de Aave. Utiliza bóvedas de staking específicas de activos y redes para absorber déficits, en lugar de depender únicamente de una intervención de gobernanza más lenta.

¿Significa el congelamiento de rsETH que los usuarios han perdido fondos de forma permanente?

No automáticamente. Un congelamiento es una acción de contención. El impacto final en el usuario depende de la contabilidad de deudas incobrables, cualquier recuperación de Kelp DAO o partes relacionadas, la cobertura de Umbrella y decisiones de gobernanza posteriores.

¿Cuál es la mayor lección de este evento?

El riesgo de colateral en DeFi no se trata solo de la volatilidad de precios. El diseño del puente, la verificación de mensajes y la arquitectura de emisión de activos pueden ser igual de importantes. Para un marco más amplio, ayuda ver el incidente a través de la lente del riesgo de DeFi, no solo del movimiento del precio del token.