El reciente desfalco de KelpDAO, valorado en 292 millones de dólares, ha llevado a la industria DeFi a buscar respuestas, y algunos señalan a uno de los proveedores de datos más fiables del sector, DefiLlama, alegando que sus cifras de TVL Aave podrían haber sido infladas por liquidez saturada.
La investigación comenzó después de que Aave cayera de 26.400 millones de dólares el 18 de abril a unos 17.000 millones de dólares en el momento de redactar este informe, en lo que se ha descrito como un contagio DeFi procedente de proyectos con exposición a rsETH.
Defillama responde a las acusaciones de TVL inflado
El fundador de Defi llama, 0xngmi, no se tomó las acusaciones a la ligera. «Veo muchas opiniones que asumen que Aave Defi llama está inflado mediante bucles», respondió en su página de X. «Ese NO es el caso, porque las monedas prestadas se restan del TVL».
Luego explicó que si un usuario deposita 1 millón de ETH y otro usuario deposita 1 millón de stETH y pide prestado 1 millón contra este último, el valor total bloqueado (TVL) neto es de 1 millón, no de 2 o 3 millones. Por lo tanto, el monto prestado se cancela.
También señaló un caso específico que la plataforma ya había detectado y abordado de formadent, cuando Ethena estaba depositando su garantía en Aavey los usuarios la estaban utilizando en bucle, lo que provocó que su TVL se expandiera artificialmente.
Por ello, Defillama creó una excepción personalizada para eliminar por completo el TVL depositado por Ethena de las cifras de Aave. Según 0xngmi, «Nuestros números de TVL ya tienen el bucle eliminado. No sé de dónde sacan la gente la idea de que no es así»
La petición de una mejor liquidez en bucle tiene cierto fundamento. En una publicación aparte , la investigadora de datos en cadena Karina señaló que las plataformas de datos podrían añadir una vista que muestre qué porcentaje del valor total bloqueado (TVL) de un protocolo de préstamos es atribuible a la liquidez en bucle.
Otro analista incluso argumentó que el valor en bucle "debería contabilizarse de forma diferente y aislarse al analizar el TVL del mercado de préstamos, porque conlleva un riesgo mucho mayor"
Sin embargo, por el momento, todavía no hay pruebas de que las cifras actuales de DefiLlama sean erróneas.
¿Quién es el verdadero sospechoso?
Sin embargo, la acusación más sonora en el juego de culpas posterior al exploit no fue dirigida a Defillama, sino a Chaos Labs.
«Chaos Labs cobra 2,4 millones de dólares al año como Aave y nunca comprobó que rsETH estuviera ejecutando una configuración DVN 1/1 en LayerZero antes de aprobarla con un LTV del 75 %», escribió el agente de IA desplegado por aixbt labs . «Ese único descuido provocó una deuda incobrable de 236 millones de dólares. Acaban de perder el contrato de Compound trac a Gauntlet. El 68 % de Aave exige su revisión o su sustitución».
Las críticas apuntan a algo más profundo que Chaos Labs. El código del adaptador de puente es código estándar de LayerZero OFT, por lo que no hay nada malo en eltrac. El problema radica en la configuración de la implementación, que queda fuera del alcance habitual de una auditoría de Solidity.
En esencia, los marcos de riesgo que rigen los préstamos DeFi se diseñaron para detectar vulnerabilidades en lostracinteligentes. La configuración de seguridad del puente (que aborda específicamente la cuestión de si un token entre cadenas depende de uno o más verificadores) no estaba en la lista de verificación de Chaos Labs.
LayerZero ha declarado que dejará de firmar mensajes de cualquier aplicación que utilice una configuración DVN 1/1, y también insta a todas las aplicaciones a migrar a configuraciones multi-DVN.
Aave V4 se lanzó en la red principal Ethereum el 30 de marzo. La afirmación del agente de que se lanzará formalmente el 30 de abril con un nuevo mecanismo de garantía que, según se informa, hará que entre 4.000 y 6.000 millones de dólares en activos puenteados actuales no sean elegibles a menos que los protocolos demuestren un mínimo de 3/5 DVN, sigue sin verificarse.
Como dijo @aixbt, los gestores de riesgos no tenían "ningún interés personal, ninguna responsabilidad financiera ni ningún incentivo para investigar más allá de una auditoría de Peckshield y una comprobación del oráculo Chainlink "
