Los 119,9 millones de dólares que Aave guarda en su mercado Ethereum Core contra tBTC llevan nueve días sin poder crecer, y el motivo no es un hackeo ni una quiebra: es una vulnerabilidad del kernel de Linux que obligó a apagar nodos. Threshold, la red que emite el token, pausó el 31 de octubre los depósitos nuevos, la acuñación y las redenciones, y este 9 de noviembre la reserva sigue congelada. Ninguna llave privada se perdió y ningún contrato de Aave se rompió.
tBTC es un token que representa bitcoin y que se emite a través de un puente con operadores independientes. Para mover un solo satoshi de la reserva hacen falta las firmas de una mayoría de esos operadores, de modo que ninguno puede sacar los fondos por su cuenta. Cuando esa mayoría apaga sus máquinas para parchear el kernel, la firma se detiene aunque el dinero siga donde estaba y el respaldo se mantenga entero frente a los 4.320,58 BTC que el explorador de la red mostraba esta semana.
La cifra congelada es grande, y la lección que deja es más grande todavía: una ventana de mantenimiento del sistema operativo, decidida por administradores que nunca hablaron con Aave, puede cerrar un mercado de 119,9 millones sin que nadie haya atacado nada.
La cronología desde el 31 de octubre
Threshold anunció la pausa el 31 de octubre con efecto sobre tres frentes a la vez: depósitos nuevos de BTC, acuñación de tBTC y redenciones. Dos días más tarde, su actualización de seguridad explicó la causa que nadie esperaba en un puente: todos los nodos estaban parcheados o fuera de línea porque los operadores atendían una vulnerabilidad del kernel de Linux. El anuncio de la pausa del 31 de octubre y el parte del 2 de noviembre dibujan una interrupción que empezó por el sistema operativo y no por el código del protocolo.
Threshold describió el estado de sus nodos con una frase que merece atención: todos parcheados o fuera de línea, sin excepciones. Un operador que atendía el aviso del kernel podía aplicar la actualización y volver, o apagarse y esperar, y en los dos casos dejaba de firmar durante un rato. El puente no se cayó por un ataque, se quedó sin quórum por mantenimiento.
LlamaRisk abrió un hilo en el foro de gobernanza de Aave el mismo 31 de octubre para pedir el freeze del mercado tBTC de Ethereum Core. Su argumento fue acotar la exposición del protocolo a tBTC mientras durase la interrupción, y la gobernanza lo aplicó sobre una reserva que en ese momento valía 119,9 millones de dólares. Nueve días después, esa cifra sigue siendo la misma y el hilo sigue sin una fecha de cierre.
Ninguno de los dos avisos puso fecha al final del problema ni dio el identificador del fallo del kernel. Ese silencio es normal en un incidente abierto y también es lo que impide al usuario calcular cuándo podrá redimir sus tBTC.
El kernel como causa raíz de un freeze en DeFi
El kernel es la pieza de software que habla con el hardware, así que un puente de bitcoin depende de él tanto como de su propio código. Los operadores de tBTC corren nodos propios, cada uno con su distribución, su ciclo de actualización y su horario. Una vulnerabilidad que amenaza a todos a la vez los empuja a parchear a la vez, y mientras el parche se aplica la mayoría de firmas que el puente necesita no existe.
La presión no es teórica. El kernel vive un goteo de CVE que ya no cabe en una revisión manual, como mostró el recuento de fallos que el kernel no da abasto a triar. El CVE-2026-98432 del TCP de IPv4 añadió el caso contrario: parche en las ramas estables y tres semanas de espera en Ubuntu y en RHEL, con los administradores decidiendo si actualizar o aguantar.
Un puente presume de que sus operadores son independientes, y lo son mientras no comparten la misma obligación de actualizar. La independencia del modelo se mide en firmas, y el kernel no distingue entre firmantes.
Una reserva congelada
Aave es un mercado de préstamos donde depositas un activo y tomas prestado otro contra él, con la garantía puesta en el primero. Congelar la reserva de tBTC no toca las posiciones que ya existen: quien tiene deuda contra tBTC puede seguir devolviéndola, quien prestó puede retirar y los liquidadores pueden cerrar posiciones con salud comprometida. Lo que se cierra es la entrada, es decir, el nuevo suministro de tBTC y los préstamos nuevos tomados contra él.
Los tokens siguen siendo transferibles, así que el mercado secundario no se detuvo con el freeze. Quien quiera salir puede vender tBTC ahí en lugar de esperar la redención, y asume el precio que fije ese mercado. Quien espere recuperar sus bitcoins por la vía normal depende de que se reconecten más operadores, y de eso no hay calendario público ni promesa de plazo.
La liquidación merece una aclaración porque suena a castigo y no lo es. Si el préstamo de un usuario queda por debajo del umbral de garantía exigido, un tercero puede cerrar la deuda y quedarse con la garantía con el descuento que fija el protocolo, y con la reserva congelada esa válvula sigue activa. Sin ella, una caída de precio dejaría deudas sin cubrir y el mercado pagaría el freeze con pérdidas en lugar de con espera. Ese mecanismo es el que separa una pausa ordenada de un mercado roto.
El freeze reduce la exposición nueva de Aave, no el riesgo de lo que ya está dentro. Si el respaldo de tBTC se sostiene, la pausa se cierra sin pérdidas; si dejara de sostenerse, la reserva congelada sería el problema y no la solución.
El puente volvió y la aplicación no
Threshold reabrió la operación en la cadena el 8 de noviembre, y la aplicación sigue esperando a que se reconecten más operadores. El parte del puente tras la reapertura describe una red que ya procesa operaciones en la cadena y una interfaz que todavía no deja redimir, sin fecha para reanudar las redenciones. La diferencia importa porque una redención no empieza en la cadena, sino en una solicitud que la aplicación tiene que aceptar.
Threshold mantiene que tBTC está totalmente respaldado, y el explorador de la red mostraba unos 4.320,58 BTC frente a los 119,9 millones de dólares congelados en la reserva de Aave Ethereum Core. El aviso para quienes tienen fondos en camino pide dos instrucciones concretas: no enviar BTC a direcciones de depósito generadas antes de la pausa y no reenviar transacciones pendientes, porque el puente puede haberlas procesado o puede haberlas descartado.
La distinción entre la cadena y la aplicación parece un matiz técnico y no lo es. La cadena no pide permiso a nadie; la aplicación es la puerta que decide quién entra, y esa puerta lleva nueve días cerrada.
La dependencia de infraestructura común
DeFi se presenta como una capa autónoma y no lo es. Cada protocolo se apoya en servidores, en proveedores de nodos, en enlaces de datos entre cadenas y en un sistema operativo que alguien tiene que actualizar a mano. El patrón de dependencias que rompieron Tendril y CoreVault atacaba el precio que un contrato leía dentro de la misma transacción; este caso ataca algo más aburrido y más profundo, la máquina que firma las transacciones.
El riesgo de un puente ya no se mide solo por su código ni por el tamaño de su comité de firmantes. También cuenta cuántos de esos firmantes actualizan a tiempo, cuántos pueden seguir en línea con el kernel parcheado y cuánto tarda el resto en volver a firmar. Ese dato no aparece en ninguna auditoría de contrato, y en este incidente es el único que decidió cuándo se reabre el puente. Los partes públicos de la red hablan de operadores que faltan por reconectar, sin dar el número ni el plazo, y esa vaguedad es en sí misma la información más útil para el usuario.
Hoy la pregunta útil no es si tBTC está respaldado, que Threshold sostiene y la cifra del explorador acompaña, sino cuántos operadores han vuelto y cuándo se reabren las redenciones. Mientras no haya respuesta, los 119,9 millones de Aave seguirán congelados.
