Kelp DAO refuta las críticas de LayerZero; las deudas incobrables de Aave alcanzan hasta 230 millones de dólares

Kelp DAO publicó un comunicado el 21 de abril, refutando las críticas de LayerZero sobre su configuración 1/1 DVN, y señalando la responsabilidad fundamental por esta vulnerabilidad de 292 millones de dólares hacia la infraestructura de LayerZero. Aave publicó un informe de evaluación del impacto del evento: bajo el supuesto de pérdidas distribuidas de manera uniforme, cerca de 124 millones de dólares; bajo el supuesto de pérdidas concentradas en L2, hasta 230 millones de dólares.

Refutación de Kelp DAO: la configuración predeterminada de DVN y el objetivo del ataque es la infraestructura de LayerZero

LayerZero criticó previamente en su informe del incidente que Kelp DAO adoptó una configuración 1/1 DVN, creando un punto único de falla, y afirmó que con anterioridad ya había transmitido recomendaciones sobre mejores prácticas para la verificación distribuida a Kelp DAO. Kelp DAO respondió directamente: «La configuración 1 a 1 de DVN es la configuración predeterminada registrada en los documentos de LayerZero y es aplicable a todas las nuevas implementaciones de OFT. Desde enero de 2024, Kelp ha estado operando en la infraestructura de LayerZero, y esta configuración ya fue confirmada explícitamente como adecuada durante la expansión a L2».

Kelp DAO también señaló que sus medidas de respuesta fueron efectivas para impedir pérdidas adicionales: se detuvieron todos los contratos relacionados, se incluyó en la lista negra a las carteras vinculadas al atacante y se contactó a SEAL-911. Estas medidas lograron frustrar el intento del atacante de robar otros 40.000 rsETH (aprox. 95 millones de dólares) mediante la falsificación de paquetes de datos.

Análisis de deudas incobrables: dos escenarios, hasta 230 millones de dólares

（Fuente: Aave）

El atacante proporcionó 89.567 rsETH (aprox. 221 millones de dólares) como colateral para Aave V3, y pidió prestados 82.650 WETH y 821 wstETH, dejando un coeficiente de salud extremadamente bajo de las posiciones correspondientes. Aave evaluó dos escenarios hipotéticos:

Escenario uno (distribución uniforme): pérdida de aproximadamente 112.204 rsETH distribuida de manera uniforme en todas las cadenas; rsETH se desacopló un 15,12%; la deuda incobrable total de Aave fue de aproximadamente 123,7 millones de dólares. El mercado central de Ethereum tuvo la mayor pérdida absoluta (91,8 millones de dólares), pero con reservas de WETH suficientes, la brecha fue solo del 1,54%; el mercado de Mantle tuvo la proporción de brecha más alta, del 9,54%.

Escenario dos (pérdida concentrada en L2): pérdidas concentradas en rsETH de L2; el colateral de L2 se redujo un 73,54%; la deuda incobrable del mercado de L2 (Mantle, Arbitrum, Base) alcanzó 230,1 millones de dólares, mientras que el rsETH de la red principal de Ethereum quedó completamente respaldado.

Aave señaló: «Cuál de estos casos ocurra depende de cómo Kelp gestione contablemente rsETH y de cómo se actualice la tasa del LRTOracle; esta es una decisión que Aave no puede controlar».

El colchón de capital de Aave y los planes posteriores

En el escenario uno, los 54 millones de dólares en el fondo WETH Umbrella que Aave tiene pueden usarse como garantía inicial; en el escenario dos, dicho fondo no se activará. Aave DAO actualmente posee activos por 181 millones de dólares y ya recibió varias promesas de apoyo por parte de participantes del ecosistema en caso de deudas incobrables. Kelp DAO indicó que está trabajando en conjunto con Aave, LayerZero y todos los principales interesados para evaluar de manera sincronizada los pasos posteriores para reanudar la operación del protocolo y las posibles medidas de mitigación.

Preguntas frecuentes

¿Cuál es el núcleo de la disputa sobre responsabilidades entre Kelp DAO y LayerZero?

La controversia se centra en la configuración 1/1 DVN. LayerZero sostiene que la configuración de Kelp DAO, que usa solo un DVN, crea un punto único de falla, y que anteriormente ya proporcionó recomendaciones de seguridad. Kelp DAO refuta que 1/1 DVN es la configuración predeterminada de LayerZero para todas las nuevas implementaciones, que LayerZero ya confirmó como adecuada durante la expansión a L2, y que la verdadera vulnerabilidad de seguridad radica en que los propios nodos RPC de LayerZero fueron comprometidos.

¿Cómo se calculan los dos escenarios de deuda incobrable de Aave?

El escenario uno asume que la pérdida de aproximadamente 112.204 rsETH se distribuye de manera uniforme entre todas las cadenas; rsETH se desacopla un 15,12%, lo que corresponde a una deuda incobrable de Aave de aproximadamente 123,7 millones de dólares. El escenario dos asume que la pérdida se concentra en L2; el colateral de rsETH en L2 se reduce un 73,54%, y la deuda incobrable del mercado de L2 alcanza 230,1 millones de dólares. La diferencia clave entre ambos escenarios radica en cómo Kelp finalmente asigna la responsabilidad por las pérdidas.

¿Qué recursos de capital tiene Aave para hacer frente a posibles deudas incobrables?

Aave cuenta con un fondo WETH Umbrella de 54 millones de dólares (disponible en el escenario uno), activos de Aave DAO de 181 millones de dólares y varias promesas de apoyo por parte de participantes del ecosistema. Si la deuda incobrable supera el colchón mencionado, de acuerdo con el diseño del módulo de seguridad de Aave, los tenedores de tokens de apuesta stkAAVE podrían recibir protección para la brecha restante mediante un mecanismo de Slashing.