Informe de incidente: Llamarisk y los proveedores de servicios de Aave detallan el hackeo de Kelp rsETH en los mercados de Ethereum y Arbitrum

• Según Llamarisk, un atacante explotó el puente Layerzero V2 de Kelp el 18 de abril de 2026, acuñando 116 500 rsETH sin la quema correspondiente.
• Llamarisk estima que la deuda incobrable oscila entre 123,7 y 230,1 millones de dólares en los siete mercados afectados, dependiendo de cómo Kelp distribuya las pérdidas.
• La tesorería de Aave DAO cuenta con 181 millones de dólares a fecha de 20 de abril de 2026, y los proveedores de servicios ya están obteniendo compromisos indicativos de recuperación por parte de los participantes del ecosistema.

Llamarisk detalla los escenarios de explotación de rsETH tras el vaciamiento del adaptador OFT de Kelp

El análisis publicado por la empresa de gestión de riesgos Llamarisk y los coautores del proveedor de servicios de Aave explicó que el ataque se produjo a las 17:35 UTC en el bloque 24 908 285 de Ethereum. La ruta de Unichain a Ethereum estaba configurada como una ruta DVN 1-de-1, lo que significa que un único verificador podía certificar un paquete entrante sin ninguna acción saliente correspondiente, según el informe.

Los autores de Llamarisk afirmaron que el atacante falsificó un paquete que fue verificado, confirmado y entregado en Ethereum, liberando 116 500 rsETH del adaptador, señala el informe de Aave. El saldo del adaptador cayó de 116 723 rsETH a 223 rsETH en un solo bloque. El atacante distribuyó los rsETH robados desde una cartera de entrada a través de siete direcciones secundarias. De los 116 500 rsETH recibidos, 89 567 se depositaron en los mercados de Aave V3 en Ethereum y Arbitrum como garantía. Esas posiciones se utilizaron para pedir prestados aproximadamente 82 650 WETH y 821 wstETH, con factores de salud que oscilaban entre 1,01 y 1,03. Las siete direcciones del atacante siguen activas en Aave en el momento de la publicación.

Los proveedores de servicios de Aave colaboraron en la redacción del informe completo del incidente de Llamarisk y confirmaron que los propios contratos inteligentes de Aave no se vieron comprometidos. Toda la lógica del protocolo, incluidas las mecánicas de suministro, reembolso y liquidación, siguió funcionando según lo previsto durante todo el incidente. El Protocol Guardian comenzó a congelar todas las reservas de rsETH y wrsETH en todas las implementaciones de Aave V3 aproximadamente a las 19:00 UTC del 18 de abril. La medida fijó el LTV en cero y desactivó el nuevo suministro y los préstamos, al tiempo que dejó las posiciones existentes elegibles para el reembolso y la liquidación. Según el análisis del foro de Aave, se vieron afectados once mercados en Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma y Zksync.

El informe indica que el Risk Steward ajustó los modelos de tipos de interés de WETH en Arbitrum, Base, Mantle y Linea aproximadamente a las 14:30 UTC del 19 de abril, reduciendo la Slope 2 al 1,50 % y recortando el tipo de interés de préstamo con una utilización del 100 %, de entre el 8,5 % y el 10,5 % a un 3,0 % TAE. Se aplicó un ajuste correspondiente a Core aproximadamente a las 05:00 UTC del 20 de abril, fijando Slope 1 en el 2 %, Slope 2 en el 3 % y la utilización óptima en el 94 %.

El Protocol Guardian también congeló el WETH en Core, Prime, Arbitrum, Base, Mantle y Linea aproximadamente a las 02:00 UTC del 20 de abril para evitar nuevos préstamos y contener la propagación de posibles tensiones a las reservas de stablecoins.

Los dos escenarios

Los dos escenarios modelados por el análisis de Llamarisk reflejan cómo la decisión de Kelp sobre la asignación de pérdidas determinará la exposición final del protocolo. El escenario 1 asume una socialización uniforme de los 112 204 rsETH sin respaldo en todo el suministro de rsETH, lo que produce una desvinculación del 15,12 % y una deuda incobrable estimada de 123,7 millones de dólares, con Ethereum Core absorbiendo 91,8 millones de dólares en términos absolutos y Mantle enfrentándose a un déficit de reserva de WETH del 9,54 %.

El escenario 2 trata la pérdida como algo aislado únicamente al rsETH de L2, aplicando un recorte del 73,54 % a las garantías en cadenas remotas, mientras que deja el rsETH de la red principal de Ethereum totalmente intacto, lo que produce una deuda incobrable estimada de 230,1 millones de dólares concentrada en Mantle, con un déficit de WETH del 71,45 %, y en Arbitrum, con un 26,67 %.

El saldo actual del adaptador es de 40 373 rsETH, el único respaldo confirmado para todo el rsETH de cadenas remotas en todas las rutas L2, frente a un total de reclamaciones remotas de 152 577 rsETH. Kelp no ha confirmado públicamente cómo se asignarán los fondos recuperados.

A fecha de 20 de abril de 2026, el informe indicaba que la tesorería de Aave DAO cuenta con 181 millones de dólares en activos, incluidos 62 millones de dólares en activos correlacionados con Ethereum, 54 millones de dólares en AAVE y 52 millones de dólares en stablecoins. La DAO generó 145 millones de dólares en ingresos durante 2025 y 38 millones de dólares en lo que va de 2026. Llamarisk confirmó que ya existen varios compromisos indicativos por parte de los participantes del ecosistema para hacer frente a posibles escenarios de deuda incobrable. Las reservas de WETH en Ethereum, Arbitrum, Base, Linea y Mantle se encuentran al 100 % de utilización, con saldos inactivos por debajo de 20 dólares en cada cadena. A plena utilización, los liquidadores reciben aWETH en lugar del WETH subyacente, lo que ralentiza el rendimiento de la liquidación.

El informe de Llamarisk señala a Base y Arbitrum como los mercados con menos colchón de seguridad, con las primeras liquidaciones activadas ante caídas del precio del WETH del 0,77 % y el 1,77 %, respectivamente, debido a que las posiciones operaban con factores de salud en torno a 1,03.

Llamarisk recomendó una pausa inmediata del módulo de staking de WETH Umbrella en el Escenario 1. A fecha de publicación del informe, 18 922 de los 23 507 aWETH en staking habían entrado en el periodo de espera para desstaking.

Una pausa bloquearía los depósitos, retiros, transferencias y recortes, al tiempo que mantendría activa la distribución de recompensas. Los cuatro mercados restantes que cotizan rsETH —Ethereum Lido, MegaETH, Plasma y Zksync— tienen saldos insignificantes y carecen de deuda incobrable. Otros doce mercados de Aave V3 no cotizan rsETH y no se ven afectados.