Un informe de incidente publicado por Llamarisk en el foro de Aave explica que un exploit de un puente dirigido a la ruta de KelpDAO en Layerzero V2 para rsETH el sábado permitió que un atacante extrajera 116.500 rsETH del adaptador OFT de Ethereum sin quemar ningún token en la cadena de origen. El informe de Llamarisk señala que este incidente expuso los mercados de Aave V3 a un posible mal deudor de entre 123,7 millones de dólares y 230,1 millones de dólares, dependiendo de cómo se asignen las pérdidas.
Conclusiones clave:
- Según Llamarisk, un atacante explotó el puente Layerzero V2 de Kelp el 18 de abril de 2026, acuñando 116.500 rsETH sin ninguna quema correspondiente.
- Llamarisk estima un mal deudor entre 123,7 millones de dólares y 230,1 millones de dólares en 7 mercados afectados, dependiendo de cómo Kelp socialice las pérdidas.
- El tesoro del Aave DAO mantiene $181M al 20 de abril de 2026, y los proveedores de servicios ya están asegurando compromisos indicativos de recuperación por parte de participantes del ecosistema.
Detalles de Llamarisk sobre escenarios del exploit de rsETH tras drenar el adaptador OFT de Kelp
El análisis publicado por la empresa de gestión de riesgos Llamarisk y coautores del proveedor de servicios de Aave explicó que el ataque ocurrió a las 17:35 UTC en el bloque 24.908.285 de Ethereum. La ruta de Unichain a Ethereum se configuró como un camino DVN de 1-of-1, lo que significa que un único verificador podía atestiguar un paquete entrante sin ninguna acción de salida correspondiente, según el informe.
Los autores de Llamarisk dijeron que el atacante forjó un paquete que fue verificado, confirmado y entregado en Ethereum, liberando 116.500 rsETH desde el adaptador, según señala el informe de Aave. El saldo del adaptador cayó de 116.723 rsETH a 223 rsETH en un solo bloque. El atacante distribuyó el rsETH robado desde una billetera de entrada en siete direcciones de ramificación. De los 116.500 rsETH recibidos, 89.567 se depositaron en mercados de Aave V3 en Ethereum y Arbitrum como colateral.
Esos puestos se usaron para pedir prestado aproximadamente 82.650 WETH y 821 wstETH, con factores de salud que se estabilizaron entre 1,01 y 1,03. Las siete direcciones del atacante permanecen activas en Aave en el momento de la publicación.
Los proveedores de servicios de Aave coautoraron el informe completo del incidente de Llamarisk y confirmaron que los propios contratos inteligentes de Aave no fueron comprometidos. La lógica del protocolo, incluido el suministro, el reembolso y la mecánica de liquidación, siguió funcionando como estaba diseñado durante todo el evento.
El Protocol Guardian comenzó a congelar todas las reservas de rsETH y wrsETH en todas las implementaciones de Aave V3 a aproximadamente las 19:00 UTC del 18 de abril. La acción fijó el LTV en cero y deshabilitó el nuevo suministro y el nuevo préstamo, mientras dejaba las posiciones existentes elegibles para el reembolso y la liquidación. Según el análisis del foro de Aave, se vieron afectados once mercados en Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma y Zksync.
El informe dice que el Risk Steward ajustó los modelos de tasa de interés de WETH en Arbitrum, Base, Mantle y Linea a aproximadamente las 14:30 UTC del 19 de abril, reduciendo Slope 2 a 1,50 por ciento y recortando la tasa de préstamo al 100 por ciento de utilización desde entre 8,5 y 10,5 por ciento hasta 3,0 por ciento de APR. Se aplicó un ajuste correspondiente en Core a aproximadamente las 05:00 UTC del 20 de abril, con Slope 1 establecido en 2 por ciento, Slope 2 en 3 por ciento y la utilización óptima en 94 por ciento.
El Protocol Guardian también congeló WETH en Core, Prime, Arbitrum, Base, Mantle y Linea a aproximadamente las 02:00 UTC del 20 de abril para evitar nuevos préstamos y contener el estrés potencial de que se propagara a las reservas de stablecoin.
Los 2 escenarios
Los dos escenarios modelados por el análisis de Llamarisk reflejan cómo la decisión de asignación de pérdidas de Kelp determinará la exposición final del protocolo. El Escenario 1 asume una socialización uniforme del rsETH no respaldado de 112.204 sobre todo el suministro de rsETH, produciendo un despegue de 15,12 por ciento y un mal deudor estimado de 123,7 millones de dólares, con Ethereum Core absorbiendo 91,8 millones de dólares en términos absolutos y Mantle enfrentando un déficit de reserva de WETH de 9,54 por ciento.
El Escenario 2 trata la pérdida como aislada solo para rsETH en L2, aplicando un recorte del 73,54 por ciento al colateral en cadenas remotas mientras deja intacto al 100 por ciento el rsETH del mainnet de Ethereum, lo que produce un mal deudor estimado de 230,1 millones de dólares concentrado en Mantle a un déficit de WETH de 71,45 por ciento y en Arbitrum a 26,67 por ciento.
El saldo actual del adaptador es de 40.373 rsETH, el único respaldo confirmado para todo el rsETH de cadenas remotas a través de cada ruta de L2, frente a reclamaciones remotas totales de 152.577 rsETH. Kelp no ha confirmado públicamente cómo se asignarán los fondos recuperados.
Al 20 de abril de 2026, el informe dijo que el tesoro del Aave DAO tiene 181 millones de dólares en activos, incluidos 62 millones de dólares en participaciones correlacionadas con Ethereum, 54 millones de dólares en AAVE y 52 millones de dólares en stablecoins. La DAO generó 145 millones de dólares en ingresos durante 2025 y 38 millones de dólares en el año hasta la fecha en 2026. Llamarisk confirmó que ya hay varios compromisos indicativos de participantes del ecosistema en marcha para abordar posibles escenarios de mal deudor.
Las reservas de WETH en Ethereum, Arbitrum, Base, Linea y Mantle están al 100 por ciento de utilización, con saldos ociosos por debajo de 20 dólares en cada cadena. Con utilización total, los liquidadores reciben aWETH en lugar de WETH subyacente, lo que reduce el ritmo de liquidación.
El informe de Llamarisk señaló a Base y Arbitrum como los mercados con menor colchón, con las primeras liquidaciones activándose con caídas del precio de WETH de 0,77 por ciento y 1,77 por ciento, respectivamente, debido a posiciones que operan con factores de salud alrededor de 1,03.
Llamarisk recomendó una pausa inmediata del módulo de staking de la WETH Umbrella bajo el Escenario 1. Al momento de publicación del informe, 18.922 de 23.507 aWETH en staking habían entrado en el período de enfriamiento de unstaking.
Una pausa bloquearía depósitos, retiros, transferencias y el slashing mientras mantendría activa la distribución de recompensas. Los cuatro mercados adicionales listados con rsETH, Ethereum Lido, MegaETH, Plasma y Zksync, llevan saldos triviales y no tienen mal deudor. Doce mercados adicionales de Aave V3 no listan rsETH y no se ven afectados.
