Aave registra salidas de ETH por 5.400 millones de dólares tras el exploit de rsETH en Kelp DAO
Un ataque de cerca de 300 millones de dólares contra el puente crosschain de rsETH, de Kelp DAO, ha desatado una oleada de retiradas en Aave: más de 5.400 millones de dólares en ETH han abandonado el protocolo. La reacción se produjo tras el temor a que el incidente derive en deuda incobrable (bad debt) dentro de la plataforma.
Según el análisis disponible, el atacante habría depositado rsETH en Aave para drenar ETH, dejando al protocolo con una exposición difícil de deshacer. El impacto fue inmediato: la tasa de utilización de ETH en Aave subió al 100%, lo que implica que todo el ETH disponible en el pool de préstamos está prestado y el protocolo se ha quedado sin colchón de liquidez.
La retirada masiva estuvo impulsada por grandes tenedores. Justin Sun retiró de una sola vez 65.584 ETH, valorados en torno a 154 millones de dólares. Datos onchain recopilados por Lookonchain sitúan el total de la salida en 5.400 millones de dólares, en un movimiento que refleja la preocupación de usuarios sofisticados ante lo que la acumulación de bad debt puede suponer para depositantes que no puedan retirar fondos cuando lo necesiten.
Kelp DAO pausó los contratos de rsETH en mainnet y en varias redes de Capa 2 tras detectar actividad crosschain sospechosa. El equipo indicó que trabaja con LayerZero, Unichain, auditores y especialistas en seguridad para identificar la causa raíz.
D2 Finance apuntó a una filtración de clave privada en la cadena de origen como detonante del incidente, lo que habría comprometido la confianza en los nodos OApp y permitido al atacante manipular el puente. Los investigadores contemplan dos posibles vías de fallo: si existe una transacción legítima en origen para el nonce relevante, el compromiso se originó en la clave OApp del lado de origen; si no aparece ninguna transacción en origen, el problema estaría en el lado DVN, agravado por la configuración de Kelp al introducir un único punto de fallo al usar LayerZero Labs como único verificador.
Los contratos de Kelp DAO siguen pausados mientras avanza la investigación. Con la utilización de ETH en Aave al 100%, los depositantes no podrán retirar hasta que se devuelva el ETH prestado o entre nueva liquidez en el pool. La cuestión clave es el posible bad debt: si no se recuperan las posiciones de rsETH afectadas, Aave tendrá que decidir cómo se reparten las pérdidas dentro del protocolo, un proceso que históricamente ha sido controvertido y lento.
Aún se están completando el análisis forense y el mapa de clúster del atacante. Se esperan actualizaciones oficiales a través de los canales verificados de Kelp DAO conforme avance la investigación.
