El equipo de seguridad del protocolo DeFi más grande, Aave, se va. ¿Quién podrá soportar la próxima cisne negro en el mercado bajista?

Autor: Deep Tide TechFlow

El mayor protocolo de préstamos DeFi está atravesando una salida silenciosa del equipo de seguridad.

Ayer, una empresa llamada Chaos Labs envió una carta de despedida anunciando la terminación de su colaboración con Aave. Es posible que la mayoría de los usuarios no hayan oído ese nombre, pero durante los últimos tres años, la tasa de colateralización, las líneas de liquidación y los parámetros de riesgo en cada operación de préstamo que hiciste en Aave han estado siendo supervisados por esta empresa.

También montaron un sistema de automatización llamado Risk Oracle, capaz de ajustar los parámetros en tiempo real siguiendo el mercado. Gracias a esta capa, Aave se expandió de decenas de mercados a más de 250 en 19 cadenas. Durante tres años administraron fondos por cientos de miles de millones de dólares, sin cuentas incobrables.

En pocas palabras, en Aave se ejecutan contratos inteligentes, pero durante todo ese tiempo, los valores que se rellenan en esos contratos han sido verificados por Chaos Labs.

La carta de despedida del CEO Omer Goldberg está escrita con mucha formalidad, y el boletín de resultados también está detallado. El TVL pasó de 5.200 millones a más de 25k de dólares, los depósitos acumulados superan los 2,5 billones, las liquidaciones superan los 2.000 millones…

Luego dice: “Nosotros propusimos terminar el contrato de manera proactiva”. No los despidieron, y el contrato tampoco había vencido. Al mismo tiempo, el fundador de Aave, Stani Kulechov, respondió de forma muy serena: el protocolo funciona con normalidad y el otro proveedor de servicios de riesgo, LlamaRisk, se hará cargo.

Suena como si no hubiera ocurrido nada.

Pero en las finanzas tradicionales, un equipo de control de riesgos que llevó tres años sin que pasara nada y decide irse de manera voluntaria del mayor protocolo de préstamos DeFi es un mal presagio.

En su declaración, Goldberg dijo que la discrepancia no está en el dinero, sino en que la visión fundamental sobre la gestión del riesgo entre ambas partes ya no coincide.

Menos dinero, más agravio para la gente

Para retener talento, Aave Labs propuso aumentar el presupuesto anual de Chaos Labs de 3 millones de dólares a 5 millones. Chaos Labs igual se fue.

Goldberg dio tres razones en su declaración que, según él, “sí o sí” debían cumplirse para irse, pero al leerlas te darías cuenta de que señalan a una misma conclusión.

La primera es el dinero. Los ingresos de Aave en 2025 para todo el año son 142 millones de dólares, y el presupuesto para control de riesgos es de 3 millones, el 2%. En bancos tradicionales, la proporción que se destina al cumplimiento regulatorio y al control de riesgos suele estar entre 6% y 10%.

Goldberg dice que en los últimos tres años estuvieron perdiendo dinero al hacer esto, y que aunque el presupuesto suba a 5 millones, seguirán teniendo pérdidas. Considera que el umbral razonable es 8 millones. En la tesorería de Aave hay 140 millones de dólares; Aave Labs acaba de aprobar para sí un fondo de 50 millones de dólares, así que parece que al protocolo no le falta dinero, pero simplemente no quiere darle tanto al equipo de seguridad.

La segunda es el trabajo. Aave está pasando de V3 a V4: toda la arquitectura subyacente, los contratos y la lógica de liquidación se reescribieron por completo. Goldberg afirma que el único punto en común entre V4 y V3 es el nombre. Durante la actualización, los dos sistemas deben funcionar en paralelo; la carga de trabajo para el control de riesgos no se reduce a la mitad, sino que se duplica.

La tercera es la responsabilidad. Actualmente no existe ninguna definición legal de la responsabilidad legal que asumen los profesionales del control de riesgos en DeFi; tampoco hay un marco regulatorio ni cláusulas de puerto seguro. Cuando todo va bien, eres invisible; cuando ocurre un problema, eres el primero que van a buscar. La frase original de Goldberg es: “Si el espacio alcista es de ganancias modestas y el espacio a la baja no tiene piso, entonces continuar haciendo esto, por sí mismo, es una mala decisión de gestión de riesgos”.

El autor cree que estas palabras son difíciles de refutar. Un protocolo con ingresos de 140 millones al año, le da un 2% de presupuesto a un equipo que gestiona la seguridad de activos por cientos de miles de millones y luego les dice que “la actividad” tiene que ser el doble. Si ocurre algo, nadie te protegerá legalmente.

Si fueras tú, ¿lo harías?

Claro que del otro lado hay una versión distinta. En X, el fundador de Aave Labs, Kulechov, en su respuesta sugiere que Chaos Labs ya estaba reduciendo recientemente su negocio de consultoría de riesgos, y que además ya había empezado a disminuir la colaboración con otros protocolos.

Dicho de otro modo, las razones de la carta de despedida parecen más bien un relato respetable para justificar la salida.

Al final, si fue una falta de coincidencia de ideas o simplemente aprovechar la pendiente para irse, los de afuera no lo pueden saber. Pero hay algo que es seguro: no solo se fue Chaos Labs.

Un mercado bajista con lluvia por la noche

Aave sigue llamándose Aave, pero el grupo que lo construyó ya se fue en las últimas dos semanas de manera gradual.

En febrero de este año, el equipo principal de desarrollo de Aave V3, BGD Labs, anunció que no renovaría el contrato. Esta empresa fue fundada por el ex CTO de Aave, Ernesto Boado; el código de V3, el sistema de gobernanza y los despliegues entre cadenas provienen básicamente de ellos. Hicieron cuatro años y, cuando venció el contrato, se fueron.

Las razones que dio BGD fueron muy directas. Aave Labs está concentrando el poder en sus propias manos: el desarrollo de V4, los activos de marca y las cuentas sociales están en manos de Aave Labs. BGD siente que no tiene el derecho de participar en el diseño, pero aun así tiene que responder por el resultado. Esto, en empresas tradicionales, se llama “abrogarle responsabilidades sin control” (quedarse con la autoridad y dejarle la ejecución a otros).

Un mes después, el proveedor de servicios más activo dentro del sistema de gobernanza de Aave, ACI, también anunció su salida. Este equipo de ocho personas impulsó el 61% de las propuestas de gobernanza de Aave durante tres años. El fundador Marc Zeller lo dijo con claridad en su carta de despedida, en esencia: Aave Labs puede usar su propio poder de voto para aprobar su propio presupuesto; los proveedores de servicios independientes ya no tienen ningún sentido dentro de este sistema.

Dos cartas de despedida en dos meses: una dice que fue “desplazada”, la otra dice que las reglas del juego son injustas.

Y luego, en marzo de este año, pasó otra cosa.

El sistema de control de riesgos construido por Chaos Labs tuvo un error de configuración, lo que provocó que una posición de aproximadamente 27 millones de dólares fuera liquidada de forma incorrecta. Al menos 34 usuarios resultaron afectados. Chaos Labs dijo que no se generaron cuentas incobrables y que los usuarios afectados recibirán compensación.

Al final, nadie asumió responsabilidad legal, porque en DeFi no existe definición legal alguna de quién debe hacerse cargo.

Pero, con cientos de miles de millones de dólares bajo gestión, un ajuste de un parámetro mal hecho puede causar oscilaciones de decenas de millones. Y tu protección legal equivale a cero. Ese es precisamente el problema que el equipo de control de riesgos remarcó repetidamente en su carta de despedida.

Hasta aquí, en la era V3, Aave funcionaba gracias a cuatro pilares: desarrollo, gobernanza, control de riesgos y crecimiento financiero. Ahora, los tres primeros pilares se fueron.

En la carta de despedida del equipo de control de riesgos hay una metáfora llamada el barco de Teseo. Si reemplazas cada tablón de un barco, ¿sigue siendo el mismo barco?

El nombre “Aave” aún está, los contratos siguen ejecutándose, el TVL sigue subiendo. Pero el equipo que escribe el código se fue, el equipo que gestiona la gobernanza se fue y el equipo que gestiona el control de riesgos se fue. Los usuarios siguen depositando y pidiendo prestado como de costumbre; quizá ni siquiera sepan que todo lo que había en la “parte de abajo del barco” ya se reemplazó por completo.

Lo que realmente resulta incómodo no es quién se fue, sino que después de que se fueron, no pasó nada.

El usuario entra a la página, deposita, pide prestado, las tasas son normales, las liquidaciones son normales, todo sigue igual. Si nadie se toma la molestia de leer los foros de gobernanza, la mayoría de los usuarios ni siquiera sabrá qué ocurrió en los últimos dos meses.

A corto plazo, quizá realmente no haya problema. Los contratos inteligentes no se detendrán por que el equipo de control de riesgos se haya ido; los parámetros ya configurados no van a cambiar por sí solos. Aave aún tiene otro proveedor de servicios de riesgo, LlamaRisk, así que no está completamente a la intemperie.

Pero el control de riesgos no es un proyecto de una sola vez. Que los parámetros estén configurados no significa que siempre sean adecuados: el mercado cambia, los activos cambian y también cambian las tácticas de ataque en la cadena. Si la próxima vez vuelve a ocurrir algo similar, no se sabe si el nuevo equipo podrá reaccionar tan rápido.

Además, ahora no es un momento de calma.

El precio de la criptomoneda de AAVE desde el máximo de agosto del año pasado, 356 dólares, cayó hasta cerca de 96 dólares, una caída de más del 70%. Todo el carril de préstamos DeFi se está encogiendo: la actividad on-chain disminuye y los ingresos de los protocolos están bajo presión.

En un mercado alcista, el control de riesgos es invisible; nadie aplaude porque “hoy no ocurrió nada”. En un mercado bajista, el control de riesgos se vuelve realmente necesario, porque los precios de los activos fluctúan con fuerza, la densidad de liquidaciones aumenta, la probabilidad de cisnes negros sube, y justamente es la etapa en la que más se pone a prueba la experiencia y la velocidad de reacción del equipo de control de riesgos.

Y precisamente en esta etapa se fue la gente con más experiencia.

En su carta de despedida, el equipo de control de riesgos dijo una frase que el autor considera que es acertadísima. Aave logró vencer a esos competidores más agresivos no porque tuviera más funciones, sino porque ellos explotaron y Aave no. En este mercado, sobrevivir es el producto.

El problema ahora es que quizá el grupo que hizo posible su supervivencia ya no esté.