Cuatro meses después del hackeo de KelpDAO, Aave sigue sin levantar cabeza, según los datos recopilados por CriptoTendencia. El mayor protocolo de préstamos de Ethereum mantiene un valor total bloqueado de unos 14.900 millones de dólares, un 43% por debajo del nivel previo al ataque y un 67% por debajo de su máximo de los últimos 12 meses.
Un agujero de liquidez que se mide en miles de millones
El valor total bloqueado, el indicador que el sector llama TVL, resume cuánto dinero hay depositado en los contratos inteligentes de un protocolo. Justo antes del ataque, los usuarios habían confiado al protocolo 26.400 millones de dólares, una cifra ya lejana del pico de 45.900 millones que alcanzó en octubre de 2025.
Hoy el ecosistema apenas retiene 14.900 millones. La caída no solo es porcentual: implica menos garantías disponibles para prestar, mayor volatilidad y una capacidad de financiación claramente mermada.
Para un prestatario, el TVL no es una abstracción. Representa el volumen de depósitos e inventario que puede utilizar como contrapartida. Una piscina de liquidez que vale un 43% menos tiene ese mismo porcentaje menos que ofrecer y se vuelve más sensible a los movimientos bruscos.
Qué pasó exactamente en KelpDAO
KelpDAO acepta depósitos de ETH, los pone a trabajar en el staking de Ethereum (el mecanismo por el que se bloquean criptomonedas para validar la red a cambio de recompensas) y emite un token recibo llamado rsETH. En abril, los atacantes aparcaron rsETH robado en Aave y pidieron prestado ether real contra esa garantía. Aave y el prestamista Compound quedaron con una deuda incobrable conjunta estimada en 246 millones de dólares.
El propio Aave nunca fue vulnerado. Sus contratos y su sistema de liquidaciones funcionaron según lo previsto, según su informe posterior. Pese a ello, aceptar los tokens de KelpDAO como colateral convirtió una utilidad legítima en la vía de salida para fondos robados.
Aceptar colateral sintético transformó un protocolo seguro en la puerta de salida de un robo ajeno.
A los dos días del robo, los depósitos de Aave se desplomaron en más de 8.000 millones de dólares. Las piscinas de stablecoins (criptomonedas diseñadas para mantener paridad con el dólar) llegaron a una utilización del 100%, lo que dejó miles de millones de dólares cripto congelados a efectos prácticos: no había margen para que otros usuarios retiraran estable.
A finales de abril, Aave anunció que la coalición DeFi United aportaría ETH suficiente para restaurar el respaldo total de rsETH. El 6 de mayo liquidó las posiciones del atacante en Ethereum y Arbitrum, y el colateral de reemplazo fue entrando en tramos hasta finales de mes.
A finales de mayo, Aave declaró que sus mercados habían vuelto a la normalidad. Sin embargo, la salida de capital no se detuvo ahí. El TVL siguió drenando hasta junio, tocó fondo cerca de los 11.900 millones de dólares y solo se ha recuperado parcialmente desde entonces. La cotización de su token también acusa el golpe: ronda los 89 dólares, apenas por debajo de los 92 con los que cerró el día posterior al ataque.
Por qué importa más allá de Aave
Aave cerró 2025 con un TVL de 55.000 millones de dólares, más de la mitad del sector de préstamos de las finanzas descentralizadas (DeFi). Perder el liderazgo en este segmento no es un simple cambio de ranking: reduce la profundidad del mercado y encarece el crédito para todo el ecosistema.
El hackeo de KelpDAO volvió a situar a Corea del Norte en el centro de la conversación. LayerZero, proveedor del software del puente de KelpDAO (la infraestructura por la que se mueven activos entre cadenas), atribuyó la operación a un grupo vinculado a Corea del Norte en menos de 48 horas, una pista que luego confirmaron investigadores externos. Chainalysis apunta al grupo Lazarus como probable respaldo del ataque y el clúster TraderTraitor aparece en el análisis posterior de LayerZero.
También hay indicios on-chain que relacionan a los atacantes con los robos sufridos por Bybit y BTC Turk, según ha informado Protos. Nada de esto cambia el funcionamiento de Aave, pero explica por qué los depositantes siguen sin atreverse a regresar del todo.
La confianza no se restaura por contrato
Este episodio recuerda que la seguridad de un protocolo no se limita a que sus contratos estén bien escritos. Aave hizo lo que debía: liquidó posiciones, reconstruyó la garantía y evitó un descalabro mayor. La mecánica funcionó. El problema es que, en DeFi, la percepción de riesgo tarda mucho más en repararse que una piscina de liquidez.
No es la primera vez que Ethereum y sus aplicaciones financieras pasan por una crisis de confianza. El hackeo de The DAO en 2016, aquel fondo de inversión descentralizado cuyo fallo de contrato drenó millones de ether, provocó una división de la propia red; el verano DeFi de 2020 trajo tanta innovación como exploits. La diferencia actual es que Aave no ha sufrido una vulnerabilidad directa, pero ha aprendido a la fuerza que el colateral sintético puede ser un punto ciego.
El riesgo de concentración también está ahí. Cuando un protocolo acepta como garantía el token de un puente o de un derivado de staking poco maduro, una sola brecha externa puede contaminar todo su balance. La retirada de capital aún en curso es la constatación de que el mercado no ha olvidado ese detalle.
El foco se mantiene en la recuperación del TVL durante los próximos meses. Si los depósitos no vuelven, Aave conservará su posición estructural, pero cederá margen frente a competidores que prometen colaterales más estrictos. La pregunta no es si los contratos aguantan, sino cuánto tiempo tardará el capital en creerlo otra vez.
