Tras la trágica operación de $50 millones que derivó en pérdida, Aave activa el sistema de seguridad Shield

Aave ha implementado la función Shield tras la operación de 50 millones de dólares con ejecución fallida. Además, los desarrolladores junto con CoW Swap, compartieron recientemente sus respectivos informes técnicos de los sucedido. 

El protocolo de finanzas descentralizadas Aave ha puesto en marcha una nueva herramienta de protección denominada Aave Shield. 

Esta nueva función de seguridad surge como respuesta directa al incidente ocurrido la semana pasada, donde un usuario sufrió una pérdida superior a los 50 millones de dólares al realizar un intercambio de activos a través de la interfaz de la plataforma. La operación, como informó oportunamente este medio, involucraba la conversión de 50,4 millones de unidades de aEthUSDT a tokens AAVE, pero resultó en la recepción de apenas 36.500 dólares en el token de gobernanza del protocolo. 

Esta trágica operación ha sido catalogada por especialistas del sector como una de las mayores fallas de ejecución en la historia de las finanzas descentralizadas, exponiendo vulnerabilidades en el enrutamiento de liquidez y en los límites de tolerancia de las interfaces actuales ante escenarios de mercado extremadamente ilíquidos.

La operación en la que los bots capturaron millones en ganancias

El informe independiente publicado por el equipo de CoW Swap confirmó que el fallo en la operación mencionada se originó por una serie de errores técnicos encadenados. El análisis detalló que el sistema encargado de verificar los presupuestos trabajaba con un límite de gas fijado en 12 millones de unidades, una configuración heredada que ya no correspondía con las necesidades actuales de consumo. Esa restricción impidió que el sistema aceptara rutas con mejores precios de mercado, ya que se rechazaban automáticamente por superar el límite establecido.

Durante la investigación, los desarrolladores detectaron que solo un solver, identificado como Solver A, superó las verificaciones iniciales, aunque lo hizo con una oferta muy por debajo del valor real del mercado. Poco después, otro participante, conocido como Solver E, ganó dos subastas seguidas con rutas más competitivas. Sin embargo, esas transacciones nunca llegaron a ejecutarse en la red principal, un hecho que agravó el problema.

El informe también reveló que el sistema de subastas no contaba con herramientas para identificar ni corregir estos patrones de fallos, lo que terminó por activar la peor opción disponible. A partir del análisis de los registros de Etherscan, se determinó que la transacción pudo haber pasado de un mempool privado a uno público. Esa filtración dio margen a la actuación de bots especializados en valor extraíble máximo (MEV), que aprovecharon la vulnerabilidad para ejecutar un ataque tipo sándwich con ganancias estimadas en cerca de 10 millones de dólares.

Aave Shield, una protección automática para evitar pérdidas extremas

Por su parte, el análisis forense publicado por Aave se centró en la dinámica de liquidez de los depósitos utilizados. El informe indica que el enrutamiento final dirigió la operación hacia un pool de SushiSwap que contaba con solo 73.000 dólares de liquidez total. Al inyectar una orden de tal magnitud en un mercado tan reducido, el precio colapsó instantáneamente debido a la arquitectura de los creadores de mercado automatizados (AMM).

Los desarrolladores del protocolo confirmaron que, aunque el usuario recibió y aceptó manualmente una advertencia de «alto impacto de precio» del 99,9% en su dispositivo móvil, se identificó la necesidad de implementar barreras preventivas más estrictas. 

Ante este incidente, Aave ha implementado la función Shield, que bloqueará por defecto cualquier intercambio de activos donde el impacto proyectado sobre el precio supere el 25%. En estos casos, la plataforma impedirá la transacción a menos que el usuario acceda a la configuración avanzada y desactive la protección de forma voluntaria. 

“Aave Shield proporciona otra capa de protección para evitar confirmaciones accidentales, manteniendo al mismo tiempo operaciones sin permisos para usuarios avanzados.”, comentó el equipo de Aave. 

Respecto a las comisiones, Aave rectificó las estimaciones iniciales, situando los honorarios reales de la operación en 110.368 dólares, calculados sobre una tasa de 25 puntos básicos.

Se reaviva la discusión sobre la responsabilidad de usuarios y desarrolladores en DeFi

La reciente operación que involucró una pérdida millonaria dentro del ecosistema DeFi abrió una discusión entre los usuarios y los desarrolladores sobre hasta dónde debe llegar la responsabilidad de cada parte. 

De acuerdo con datos de Arkham Intelligence, un constructor de bloques logró extraer cerca de 34 millones de dólares en ETH mientras se procesaba el bloque afectado. El hecho se dio en medio de una etapa de fuerte inestabilidad para el protocolo, que pocos días antes había sufrido liquidaciones por unos 26 millones debido a fallas en la configuración de sus oráculos de precios.

Las auditorías internas realizadas por ambos proyectos mostraron que las medidas de protección frente al valor máximo extraíble, o MEV, no lograron contener el impacto bajo condiciones de liquidez extrema. Estas herramientas habían sido integrada con promesas de mayor seguridad, aunque los resultados demostraron lo contrario. Desde CoW Swap reconocieron que su sistema de verificación fue un mecanismo limitado frente a operaciones de gran escala. 

Por su parte, Aave optó por desarrollar restricciones directas en su software con el propósito de prevenir que un evento similar vuelva a ocurrir. 

Hasta el momento, el titular de los fondos involucrados no ha contactado a los equipos de desarrollo para recuperar el monto bloqueado correspondiente a las comisiones recolectadas durante la transacción, ni para iniciar un proceso de mediación técnica.