Aave reforma sus reglas de listado tras la explotación de $230M de rsETH

Aave reescribe las reglas de listado tras el exploit de $230M en rsETH que expone vulnerabilidades en los puentes Aave ha lanzado una revisión exhaustiva de todos los activos de V3 y está reformando sus estándares de listado tras el exploit de $230 millones en rsETH de abril — el mayor ataque DeFi de 2026 — que demostró que el eslabón más débil puede ser la infraestructura entre cadenas alrededor de un token, no el código propio del protocolo de préstamo. ¿Qué sucedió? - El exploit se originó con rsETH de KelpDAO — un token de “restaking” de ether que representa un derecho sobre ETH que los usuarios han stakeado y reutilizado como garantía para obtener rendimiento adicional. - Para mover rsETH entre cadenas, KelpDAO confió en LayerZero, un sistema de mensajería/puente entre cadenas que utiliza múltiples verificadores para validar mensajes. En este incidente, un único verificador aprobó un mensaje falsificado. - Esa aprobación permitió al atacante acuñar 116.500 rsETH sin respaldo real de ETH. Luego, el atacante depositó esos tokens en Aave y obtuvo préstamos que el protocolo no pudo recuperar una vez que se reveló que los rsETH eran inválidos. - El análisis posterior de Aave enfatiza que los contratos inteligentes de Aave funcionaron como se esperaba; la causa raíz fue un fallo en la verificación del puente. LayerZero ha reconocido que “cometió un error” al confiar en una configuración de verificación única para activos de alto valor. Respuesta de Aave y nuevas reglas - Aave dice que reformulará los estándares de listado de garantías para ir más allá de las verificaciones clásicas (volatilidad, liquidez, auditorías de contratos inteligentes) y evaluar explícitamente la infraestructura externa en la que dependen los tokens. - Los nuevos factores de evaluación incluirán seguridad del puente y modelos de verificación, dependencias de oráculos, contratos y custodios de terceros, seguridad operacional y liquidez en mercados secundarios. - Aave también está desarrollando defensas automatizadas para reaccionar más rápido cuando un activo muestra señales de estrés. Una medida propuesta reduciría automáticamente el coeficiente préstamo/valor a cero si se superan umbrales de riesgo predefinidos, cortando el poder de préstamo antes de que las pérdidas se propaguen. - Operativamente, el equipo de riesgo de Aave ya ha realizado aproximadamente 295 cambios en parámetros en los mercados V3 desde el exploit — incluyendo 168 reducciones en límites de suministro y 66 recortes en límites de préstamo — para limitar la exposición a activos individuales. ¿Por qué importa? - El incidente subraya una lección más amplia para DeFi: a medida que los protocolos se vuelven más interconectados, la infraestructura fuera de cadena y entre cadenas (puentes, relayers, redes de verificación) debe tratarse como vectores de riesgo de primera clase junto con contratos inteligentes y riesgo de mercado. - El cambio de Aave hacia listados conscientes de la infraestructura y defensas automatizadas más rápidas podría establecer un nuevo estándar industrial sobre cómo las plataformas de préstamo evalúan y gestionan garantías que dependen de sistemas de terceros. Conclusión: El exploit de rsETH no rompió el código de Aave — rompió un puente. El análisis posterior de Aave argumenta que la solución no es solo parches, sino una reevaluación fundamental de cómo DeFi mide y responde al riesgo en toda la pila.