#加密市场行情震荡rsETH ACTUALIZACIÓN DEL ATAQUE CÓMO UN SOLO MENSAJE FALSIFICADO PARTIÓ $10 MIL MILLONES EN DEFI

#加密市场行情震荡rsETH ACTUALIZACIÓN DEL ATAQUE CÓMO UN SOLO MENSAJE FALSIFICADO PARTIÓ $10 MIL MILLONES EN DEFI

EL ATAQUE QUE CAMBIÓ DE FORMA DEFINITIVA EL DEFI

Exactamente a las 17:35 UTC del 18 de abril de 2026, un solo mensaje falsificado entre cadenas desencadenó la mayor explotación de DeFi del año. El puente rsETH de KelpDAO, impulsado por LayerZero, fue drenado de 116,500 rsETH aproximadamente $292 millones en cuestión de minutos. No se rompió ningún contrato inteligente. No se explotó ningún código Solidity. Todo el ataque ocurrió en la capa invisible entre blockchains, en la infraestructura de verificación fuera de la cadena en la que DeFi ha dependido silenciosamente sin entender completamente su vulnerabilidad. Cuando el polvo se asentó 24 horas después, el valor total bloqueado en DeFi se desplomó de $99.5 mil millones a $85.21 mil millones, una destrucción de valor de $14 mil millones por un solo exploit. Esta es la actualización del ataque a rsETH que cada participante de DeFi debe entender completamente.

QUÉ ES KELPDAO Y POR QUÉ IMPORTÓ

KelpDAO es un protocolo de restaking líquido construido sobre Ethereum y EigenLayer. Los usuarios depositan ETH, el protocolo lo enruta a través de la infraestructura de restaking de EigenLayer para obtener rendimiento adicional además de las recompensas de staking estándar, y emite rsETH, un token de recibo negociable que representa la posición en restaking más las recompensas acumuladas. Para abril de 2026, rsETH había superado $1 mil millones en valor total bloqueado y se integraba como colateral en la mayoría de los principales mercados de préstamos y plataformas de rendimiento en DeFi. rsETH estaba activo en más de 20 redes blockchain, incluyendo Arbitrum, Base, Linea, Mantle, Blast y Scroll, usando el estándar OFT de LayerZero para moverse entre cadenas. El puente que fue drenado contenía las reservas que respaldaban cada uno de esos tokens rsETH envueltos en todas las implementaciones Layer 2. Cuando ese puente fue vaciado, el 18% de toda la oferta circulante de rsETH quedó sin respaldo simultáneamente en más de 20 cadenas.

CÓMO SE EJECUTÓ EL ATAQUE, DESGLOSE TÉCNICO

El ataque no fue un hackeo de contrato inteligente. Cada transacción en la cadena parecía completamente válida. Se verificaron las firmas. Los mensajes estaban correctamente formateados. La explotación fue contra la capa de infraestructura fuera de la cadena — específicamente la Red de Verificadores Descentralizados de LayerZero, el sistema que confirma si los mensajes entre cadenas son legítimos antes de que la cadena de destino actúe sobre ellos.

El puente rsETH de KelpDAO usaba una configuración DVN de 1-de-1. Esto significaba que solo una entidad, el DVN de LayerZero Labs, debía verificar y aprobar los mensajes entre cadenas. Sin segundo verificador, sin confirmación independiente, sin redundancia. Un verificador. Un punto de falla.

El Grupo Lazarus, la unidad de hacking patrocinada por el estado de Corea del Norte, identificó esta vulnerabilidad y ejecutó un ataque de infraestructura en tres partes. Primero, comprometieron dos nodos RPC internos que alimentaban datos de mercado al verificador de LayerZero, envenenando la fuente de datos con información falsa. Segundo, lanzaron un ataque DDoS contra los nodos de respaldo limpios, forzando al sistema a fallar en la conmutación por error a la infraestructura ya comprometida. Tercero, con el verificador ahora funcionando completamente en nodos envenenados, inyectaron un nonce falsificado de mensaje entre cadenas de LayerZero, 308, que indicaba al contrato puente de Ethereum que se había producido una quema válida en la cadena fuente, desencadenando la liberación de 116,500 rsETH a una cartera controlada por el atacante. Toda la operación utilizó carteras prefinanciadas obtenidas a través de Tornado Cash aproximadamente 10 horas antes del ataque, confirmando que fue una operación planificada a nivel estatal y no una explotación oportunista.

En minutos, el atacante depositó los rsETH robados como colateral en Aave y tomó prestado más de $236 millones en WETH contra ello, usando tokens no respaldados como colateral para un préstamo real. El robo de $292 millones se convirtió en una extracción de $236 millones en WETH antes de que la mayoría de los usuarios supieran que había ocurrido.

LA RESPUESTA DE 46 MINUTOS QUE SALVÓ $100 MILLONES

El equipo de respuesta de emergencia de KelpDAO identificó el ataque y activó el multisig de pausa de emergencia a las 18:21 UTC, exactamente 46 minutos después del drenaje inicial. La pausa en todo el protocolo congeló depósitos, retiros y el token rsETH en la red principal y en todas las implementaciones Layer 2. A las 18:26 UTC y 18:28 UTC, dos intentos de drenaje posteriores del atacante, cada uno apuntando a otros 40,000 rsETH por valor de aproximadamente $100 millones, fueron revertidos contra los contratos congelados. La ventana de respuesta de 46 minutos es la diferencia entre un exploit de $292 millones y una catástrofe de $492 millones. La acción rápida del equipo de emergencia de KelpDAO es la única razón por la que el daño no fue casi el doble.

LA CONTAGIO QUE SE PROPAGÓ POR DEFI

El daño en cascada se movió más rápido de lo que cualquier pausa de emergencia pudo contener. Aave, el mayor protocolo de préstamos en DeFi con más de $20 mil millones en valor total bloqueado, congeló los mercados de rsETH en V3 y V4 en pocas horas. La utilización de ETH en Aave alcanzó brevemente el 100% mientras los usuarios intentaban retirar. El token AAVE cayó aproximadamente entre un 10-20% a medida que los traders valoraban la posible exposición a deuda incobrable. SparkLend y Fluid también congelaron sus mercados de rsETH. Lido Finance pausó los depósitos en su producto earnETH debido a la exposición a rsETH. Ethena pausó temporalmente sus puentes OFT de LayerZero desde la red principal de Ethereum como medida de precaución. El TVL total en DeFi se desplomó de $99.5 mil millones a $85.21 mil millones en un solo día, $14 mil millones borrados de todo el ecosistema por un solo exploit en un puente.
El análisis del incidente de Aave encontró que el exploit creó colateral sin respaldo usado para tomar prestado aproximadamente $190 millones, dejando al protocolo enfrentando potenciales deudas incobrables entre $123 millones y $230 millones, dependiendo de cómo KelpDAO distribuya la deficiencia entre los titulares de rsETH.

LA ATRIBUCIÓN AL GRUPO LAZARUS

Esto no fue un hackeo aleatorio. LayerZero atribuyó formalmente el ataque al Grupo Lazarus de Corea del Norte, la misma unidad de hacking patrocinada por el estado vinculada al exploit $285 millón Drift del 1 de abril de 2026, y a docenas de robos criptográficos anteriores por miles de millones de dólares a lo largo de varios años. El Grupo Lazarus es la operación de hacking en criptomonedas más prolífica y técnicamente sofisticada del mundo, y su participación en dos de los tres mayores exploits de DeFi de 2026 en 18 días confirma una campaña sistemática y coordinada dirigida a la infraestructura de DeFi en la capa de infraestructura, no en la capa de contratos.

LA CONGELACIÓN DE EMERGENCIA DE ARBITRUM, INTERVENCIÓN SIN PRECEDENTES

El 21 de abril de 2026, tres días después del exploit, el Consejo de Seguridad de Arbitrum ejecutó la intervención de emergencia más significativa en la historia de Layer 2. El consejo de 12 miembros, operando bajo un multisig de 9 de 12, confiscó 30,766 ETH de la dirección del atacante en Arbitrum One y los transfirió a una cartera intermediaria congelada. La transferencia se completó a las 11:26 p.m. ET del 21 de abril. Esos fondos no pueden moverse nuevamente sin una votación formal de gobernanza de Arbitrum. La intervención recuperó aproximadamente $71.15 millones, alrededor del 29% del ETH que el atacante había acumulado en Arbitrum. Los 75,701 ETH restantes, valorados en aproximadamente $175 millones en la red principal de Ethereum, ya habían sido movidos y estaban siendo lavados a través de Thorchain y otras herramientas de privacidad antes de que se pudiera extender la congelación.

La congelación generó un debate inmediato sobre la descentralización. Si un consejo de 12 personas puede congelar activos en Arbitrum, ¿qué significa eso para la garantía de propiedad permissionless que promete Layer 2? Los partidarios lo calificaron como una defensa de DeFi contra el crimen patrocinado por el estado. Los críticos lo vieron como una prueba de que Arbitrum es, en última instancia, una cartera multisig con el poder de anular el control de los activos por parte del usuario.

LA GUERRA DE CULPAS ENTRE LAYERZERO Y KELPDAO

El período posterior al exploit produjo una disputa pública total entre LayerZero y KelpDAO sobre quién tiene la responsabilidad. LayerZero publicó un informe post-mortem afirmando que KelpDAO eligió una configuración DVN de 1-de-1 a pesar de las recomendaciones explícitas de adoptar redundancia de múltiples verificadores, y anunció que dejaría de firmar mensajes para cualquier aplicación que utilice una configuración de verificador único, forzando una migración general en todas las integraciones de LayerZero.

KelpDAO respondió, afirmando que la configuración 1-de-1 era la configuración predeterminada enviada por LayerZero para nuevos despliegues, que la propia documentación y el código de despliegue público de LayerZero promueven la verificación de fuente única, y que la infraestructura comprometida, los nodos RPC y los servidores DVN, fue construida y operada completamente por LayerZero, no por Kelp. Los investigadores de seguridad se posicionaron parcialmente con Kelp, con el destacado desarrollador banteg publicando una revisión técnica que confirmaba que el código de despliegue de referencia de LayerZero se envía con verificación de fuente única como predeterminada en las principales cadenas.

El resultado es un enfrentamiento de daño compartido sin una resolución clara. Ambas partes han prometido informes completos de causa raíz. La pregunta más profunda de si todas las demás aplicaciones OFT de 1-de-1 que actualmente corren en LayerZero están expuestas a la misma clase de ataque sigue sin respuesta.

QUÉ SIGNIFICA ESTO PARA EL DEFI EN EL FUTURO

El exploit de KelpDAO no es solo otro hackeo. Es un evento que define categoría y que expuso un punto ciego estructural en todo el ecosistema DeFi entre cadenas. El ataque pertenece a la misma familia histórica que las fallas de los puentes Ronin y Nomad, donde los puntos de verificación centralizados se convirtieron en objetivos de alto valor. Pero va más allá, porque los contratos en cadena nunca fueron tocados. Cada transacción en cadena fue válida. La falla estuvo en la infraestructura fuera de la cadena, invisible, que DeFi ha tratado como un problema resuelto durante años.

Las lecciones son claras e inmediatas. Las configuraciones de múltiples verificadores DVN son ahora innegociables para cualquier puente que maneje valor significativo. Las auditorías de configuración que revisen los ajustes de despliegue, no solo el código del contrato inteligente, deben convertirse en práctica estándar. La monitorización de invariantes entre cadenas, que verifique continuamente que los tokens liberados en las cadenas de destino coincidan con los tokens quemados en las cadenas fuente, es el nuevo mínimo para la seguridad de los puentes. Y la pregunta de cómo DeFi maneja operaciones de hacking patrocinadas por estados con los recursos y la paciencia de un gobierno nacional aún no tiene una respuesta clara.

El robo de $292 millones. La destrucción de TVL de $14 mil millones. La potencial deuda incobrable de $230 millones en Aave. Los 30,766 ETH congelados por Arbitrum. La atribución al Grupo Lazarus. Todo apunta a una conclusión: la capa de infraestructura de cross-chain en DeFi es la superficie más desprotegida en todo el ecosistema, y los hackers más sofisticados del mundo han identificado ese hecho y lo están explotando sistemáticamente.

El ataque a rsETH no es una advertencia. Es un veredicto. Corrige la infraestructura, o perderás todo lo que está encima de ella.

#rsETHAttackUpdate