La liquidez de todo el mercado de préstamos se bloqueó instantáneamente.

Autor del artículo, fuente: 0x9999in1, ME News

TL;DR

• Cualitativo: La mayor black swan del inicio de 2026. El atacante falsificó sin costo alguno los mensajes跨链 de LayerZero y obtuvo 116.500 rsETH de la nada. Esto no es solo una vulnerabilidad de código, sino una falla total del mecanismo de confianza跨链.
• Cadena de trampas: la víctima del hacker no es el rsETH en sí, sino el dinero real en Aave. Usando certificados de aire como garantía, toma prestados cantidades masivas de WETH. Lo que deja a Aave es un agujero negro de deudas incobrables sin garantía.
• Arquitectura a prueba: Bajo estrés, los fundamentos del protocolo se hacen evidentes. El "mercado completamente aislado" de Morpho superó la prueba con una exposición mínima de solo 1 millón de dólares; mientras que la "liquidez global" de Aave se vio obligada a congelarse por completo, revelando vulnerabilidades sistémicas.
• Aprovechar la crisis y salvarse a uno mismo: Fluid lanza rápidamente el protocolo de rescate de aWETH, atacando con precisión a los usuarios afectados de Aave, en un ataque de vampiro de liquidez digno de un libro de texto.
• Reflexión subyacente: La combinación de LRT (liquidity re-staking) y puentes cruzados (OFT) está generando “activos derivados tóxicos” en el mundo DeFi. Cuanto más alto se apila el Lego, más se rompe al caer. Tras la crisis, la reestructuración de los estándares cruzados es inevitable.

Fin de semana aterrador: Cuando las alarmas resuenan en la dark web

El capital nunca duerme. Los hackers tampoco.

La red de Ethereum el sábado, que antes funcionaba como una máquina de imprimir dinero precisa, absorbía silenciosamente bloques. Pero un conjunto de transacciones extrañas rasgó de inmediato esta capa de calma. 116.500 rsETH. No es una cantidad pequeña. Es un número astronómico.

¿De quién es este dinero? Es el dinero sudado de los usuarios de Kelp DAO para la reestaking de liquidez.

¿Cómo se fue? Porque el protocolo de comunicación del puente cruzado LayerZero fue “engañado”.

Imagina que eres el dueño de una casa de empeño. Alguien llega con un pagaré falso del Banco Suizo y, sin inmutarse, se lleva una tonelada de oro de tu establecimiento. Eso es lo que sucedió el fin de semana. Los hackers no forzaron la bóveda ni rompieron la lógica matemática subyacente de los contratos inteligentes. Hicieron algo más inteligente y más letal: falsificaron los mensajes cruzados de LayerZero.

El mensaje dice: "Deposité dinero en esa cadena, ¿puedes prestarme en esta cadena?"

El contrato puerta confió. Abrió la puerta obedientemente.

116,500 rsETH han caído en los bolsillos del hacker. Este es el mayor ataque DeFi de 2026 hasta la fecha. Pero tenga en cuenta que esto es solo el comienzo del pesadilla. Lo que el hacker realmente quiere no son tokens derivados como rsETH, que tienen una fuerte vinculación comercial. Lo que quiere es dinero duro. Lo que quiere es WETH.

Entonces, la mira del fusil se apuntó al banco central más grande del mundo DeFi: Aave.

Cadena mortal: Aave y los "activos de garantía fantasmas"

La cadena lógica del hacker es aterradoramente clara.

Paso uno: crear aire. A través de una vulnerabilidad en el puente cruzado, inventar rsETH.

Paso dos: convertir el aire en efectivo. Deposita estos “rsETH fantasmas”, sin respaldo de activos subyacentes, en Aave.

Paso tres: drenar la sangre. Usar rsETH como garantía para pedir prestado WETH en exceso.

El contrato inteligente de Aave entiende las matemáticas, pero no entiende los sentimientos humanos, ni menos aún los trucos detrás de los puentes cruzados. Para los oráculos de Aave, el precio de rsETH sigue anclado al Ether. La tasa de colateralización es saludable. Otorgar préstamo. Otorgar préstamo. Continuar otorgando préstamos.

Boom. El edificio se viene abajo.

Cuando Kelp DAO y LayerZero se dieron cuenta, ya era demasiado tarde. En la caja fuerte de Aave, se acumulaban estos “rsETH fantasmas” sin valor alguno. Mientras tanto, los WETH blancos y auténticos pertenecientes a usuarios reales habían sido saqueados por los hackers.

¿Qué es esto? En finanzas tradicionales, esto se llama malas deudas sistémicas. En DeFi, esto se llama el comienzo de una espiral de muerte.

La reacción de Aave no puede considerarse lenta. Congelado. Todo congelado. Ethereum, Arbitrum, Base, Mantle, Linea. Todas las reservas de WETH y los activos rsETH en los mercados afectados, ya sea en la versión V3 o V4, se han puesto en pausa. Aave afirma oficialmente que "rsETH en la red principal está completamente respaldado", pero esta afirmación resulta ahora débil. Es cierto que rsETH en la red principal tiene respaldo, pero ¿qué pasa con los rsETH generados a través de una vulnerabilidad en cross-chain? ¿Quién llenará el vacío dejado por el WETH extraído?

Aave ha entrado en un estado de "déficit de Schrödinger". Antes de una auditoría completa y la recuperación de los fondos, nadie sabe cuán grande es este agujero negro. Como el cimiento más fundamental de los bloques de DeFi, la congelación de Aave significa un infarto inmediato de la liquidez en todo el mercado de préstamos.

Piscina de aislamiento y minas en cadena: La diversidad de DeFi

Cuando baja la marea, no solo puedes ver quién está nadando desnudo, sino también quién construyó un barco con compartimentos estancos.

El evento rsETH actuó como una bomba de profundidad, revelando las diferencias abismales en las arquitecturas de control de riesgos de los protocolos DeFi. Frente a los activos tóxicos transfronterizos inesperados, el desempeño de cada protocolo se convirtió en un cruel libro de revelaciones sobre la supervivencia financiera.

Veamos si podemos desvelar las cartas de estos protocolos con una tabla.

¿Lo entendiste? Esta es la regla del segundo half del DeFi.

La victoria de Morpho: ¿Por qué Morpho se atreve a decir que es seguro? Porque no hace “comida en grandes ollas”. El modelo de Aave vierte todos los fondos en un solo gran fondo; si un activo falla, todos los fondos del fondo podrían usarse para cubrir malas deudas. Morpho, en cambio, utiliza un “diseño de mercados aislados”. ¿Tienes activos tóxicos? Quédate atrapado en tu pequeño fondo; mi vía principal sigue fluyendo sin obstáculos. Una exposición de solo 1 millón de dólares es para Morpho ni siquiera un rasguño. Es un ataque de reducción de dimensión por diseño de mecanismo.

La estrategia de Fluid: mientras todos los protocolos están a la defensiva, Fluid saca el cuchillo. Anuncian el lanzamiento del protocolo de canje de aWETH. ¿Qué operación es esta? Es sal sobre la herida de Aave, mientras se alimentan de ella. ¿Tus ETH en Aave están congelados y no puedes retirarlos? No importa, Fluid te ofrece pagarlos. Transfiere tu deuda a nosotros, y te la convertimos inmediatamente en wstETH o weETH, liberando tu liquidez. Una capacidad inicial de 1.000 millones de dólares, es como gritarle directamente a los usuarios de Aave: “¡Cámbiate al bando correcto!”. Es una guerra comercial pura, fría, eficiente y que golpea justo en el punto débil.

El límite de Reserve: La respuesta de Reserve muestra el encanto de las finanzas estructuradas. Incluso ante condiciones extremas, los titulares de DTF casi no se ven afectados. ¿Por qué? Porque diseñaron a los titulares de RSR como “capital de primera pérdida”. Es como el parachoques del sistema financiero: en caso de colisión, se rompe primero el parachoques, protegiendo la cabina.

En cuanto a los comunicados de protocolos como Polygon, EtherFi y Maple, se tratan más bien de acciones de relaciones públicas para dar la impresión de que todo está bajo control, con el fin de calmar a los proveedores de liquidez (LP) dentro de sus respectivos ecosistemas.

Origen del veneno: El encuentro mortal entre LRT nesting y el puente cruzado

Si consideras este evento simplemente como un ataque de piratería común, entonces eres demasiado ingenuo. En esencia, se trata de un colapso inevitable provocado por la “sobrefinanciación”.

Vamos a centrar la atención en el protagonista del evento: rsETH.

¿Qué es rsETH? Es un token de reestaking líquido (LRT) emitido por Kelp DAO.

Esto en sí mismo es un juego de muñecas rusas. El usuario liquida ETH en la red Ethereum y recibe un LST (por ejemplo, stETH). Luego, liquida el LST en protocolos como EigenLayer y recibe un LRT (por ejemplo, rsETH).

¿Por qué pasar por todo esto? Por los rendimientos. Por extraer el último interés posible del Ether.

Esto en sí mismo no está mal. El capital busca beneficios es una naturaleza. Pero el problema radica en el siguiente paso: cross-chain.

Debido a la fragmentación del ecosistema DeFi multi-cadena, Kelp DAO integró el estándar OFT (token homogéneo multi-cadena) de LayerZero para permitir la circulación de rsETH en diversas L2 (capas 2).

Ahora está bien. La seguridad de los activos que anteriormente estaban protegidos por el consenso robusto de la red principal de Ethereum se ha reducido instantáneamente a la seguridad del puente cruzado.

¿Lo has notado? En una larga cadena de apalancamiento, si un solo eslabón se rompe, todo el sistema colapsará.

Los puentes cruzados han sido siempre el talón de Aquiles de DeFi. Desde el gran robo de Ronin en 2022 (625 millones de dólares), hasta PolyNetwork y Wormhole. La historia ha demostrado una y otra vez que transmitir libros de cuentas de activos de miles de millones entre dos blockchains que no se confían mutuamente a través de un conjunto de nodos de terceros (retransmisores/u oráculos) es una tarea extremadamente peligrosa.

LayerZero afirma oficialmente que "ha comprendido completamente el incidente de vulnerabilidad y está trabajando activamente con KelpDAO para repararlo". Pero esta explicación la hemos escuchado demasiadas veces. Arreglar una vulnerabilidad inevitablemente dará lugar a otra debido a la complejidad de la arquitectura. Cuando los mensajes cruzados pueden ser falsificados, el estándar OFT se convierte en un cheque en blanco que cualquiera puede completar.

Epílogo: ¿Quién pagará la cuenta?

Ya es demasiado tarde, todo es un desastre.

¿Quién llenará el déficit de 116.500 rsETH?

¿Es el tesoro de Kelp DAO el que paga de su bolsillo? ¿Es LayerZero vendiendo a pérdida para ganar popularidad? ¿O los titulares del token de gobernanza de Aave se ven obligados a diluir sus derechos para cubrir las deudas incobrables? ¿O, finalmente, son los usuarios comunes e inocentes, que mantuvieron sus fondos en el pool por unos pocos puntos de APY, quienes asumirán las pérdidas?

Nadie quiere ser el tonto. Pero al final del juego, siempre alguien tendrá que sangrar.

¿Qué nos dejó esta tormenta?

Anuncia de una manera extremadamente sangrienta: en el bosque oscuro del DeFi, no existe nada "demasiado grande para caer". El modelo de liquidez global de Aave resultó demasiado pesado frente al riesgo de cola extremo; y la idea de los pozos aislados de Morpho, quizás, sea la solución correcta para el próximo ciclo.

También ha quitado el velo de la rehipoteca de liquidez (LRT). Nos hemos obsesionado con apilar bloques de construcción y con los rendimientos apalancados creados de la nada, ignorando que la base subyacente ya está llena de grietas. Cuando se permitió que las LRT con riesgo entre cadenas se utilizaran como garantía en los principales protocolos de préstamos de primera línea, ya se había enterrado esta bomba de tiempo.

Nothing is new under the sun. Code is law, but law always has loopholes.

Cuando desgloses esta capa tras capa de vestimenta financiera, descubrirás que todo no es más que un juego interminable de gato y ratón entre la codicia humana y las imperfecciones tecnológicas.

La siguiente mano ya está repartiendo cartas. ¿Tú, todavía estás en la mesa?

Fuente de referencia:

1. Aave Governance Forum. (2026). "Actualización del incidente: Congelación del mercado rsETH y evaluación de deudas malas."
2. Blog oficial de Fluid Protocol. (2026). "Presentación de aWETH: Redención de liquidez para prestadores de ETH."
3. Morpho Labs Security Post. (2026). "Análisis post mortem: ¿Por qué los mercados aislados protegieron a Morpho del exploit de rsETH."
4. LayerZero Communications. (2026). "Respuesta al exploit de Kelp DAO rsETH y actualizaciones de seguridad de OFT."
5. Documentación de Reserve Protocol. (2026). "Comprensión del capital de primera pérdida en los mecanismos DTF."