El exploit DeFi de $293 millones que expuso una debilidad oculta

El 18 de abril de 2026, el ecosistema de finanzas descentralizadas (DeFi) se enfrentó a una de sus brechas de seguridad más significativas del año. En un ataque altamente coordinado, aproximadamente entre $290 y $293 millones en activos, alrededor de 116,500 rsETH, fueron drenados de la infraestructura de puente de KelpDAO.

A primera vista, puede parecer similar a exploits DeFi anteriores. Pero este incidente se distingue por una razón crítica: no fue causado por una falla en la lógica de un contrato inteligente. En cambio, expuso una vulnerabilidad más profunda y preocupante: la fragilidad de la infraestructura off-chain de la que muchos protocolos dependen silenciosamente. Esta distinción es importante. Porque si bien los contratos inteligentes se han vuelto más seguros con el tiempo, los sistemas que los rodean se están convirtiendo ahora en la principal superficie de ataque.

Fuente : @Jeremybtc

¿Qué es KelpDAO?

KelpDAO es un protocolo de restaking líquido construido principalmente sobre Ethereum, diseñado para mejorar la eficiencia del capital para los usuarios que participan en los ecosistemas de staking. A través de integraciones con marcos de restaking como EigenLayer, KelpDAO permite a los usuarios hacer restaking de ETH y recibir un token derivado líquido, rsETH. Este token puede luego ser desplegado en todo el ecosistema DeFi para préstamos, colateralización o comercio, permitiendo efectivamente a los usuarios obtener rendimientos mientras mantienen liquidez.

Para principios de 2026, rsETH se había convertido en un activo significativo dentro del panorama del restaking, profundamente integrado en múltiples protocolos DeFi. Una parte clave de esta expansión se basó en la funcionalidad cross-chain, facilitada por infraestructura como LayerZero. Sin embargo, esa dependencia se convirtió en el eslabón más débil del protocolo.

Fuente : @kelpDao

Cronología del Ataque

El exploit se desarrolló rápidamente, destacando la velocidad con la que pueden escalar los ataques modernos. A las 17:35 UTC, los atacantes iniciaron la secuencia enviando un mensaje cross-chain forjado. El mensaje indicaba falsamente que una gran cantidad de rsETH había sido quemada en Unichain, un entorno L2 asociado con Uniswap. Debido a que el sistema estaba configurado con una configuración de un solo verificador, el mensaje fue aceptado sin suficientes comprobaciones de redundancia. Esto desencadenó la liberación de aproximadamente 116,500 rsETH de contratos de custodia basados en Ethereum a carteras controladas por los atacantes.

En cuestión de minutos, los fondos desaparecieron. Aproximadamente 46 minutos después, la multifirma de emergencia de KelpDAO intervino, pausando el protocolo. Dos intentos posteriores de drenar 80,000 rsETH adicionales, valorados en alrededor de $200 millones, fueron bloqueados con éxito gracias a esta respuesta. A pesar de la contención parcial, el daño principal ya estaba hecho.

Cómo Funcionó el Ataque

Lo que hace que este exploit sea particularmente importante es el método. En lugar de explotar un error en el código de un contrato inteligente, los atacantes se dirigieron a la capa de infraestructura que valida la comunicación cross-chain. El ataque involucró múltiples pasos coordinados:

1. Primero, los nodos RPC utilizados por la red de verificadores de LayerZero fueron comprometidos o manipulados. Esto dio a los atacantes control sobre cómo se interpretaban los datos de verificación.
2. Segundo, se lanzó un ataque de denegación de servicio distribuido (DDoS) contra nodos legítimos. Esto obligó al sistema a depender de nodos de respaldo, algunos de los cuales estaban bajo la influencia de los atacantes. Con este control establecido, los atacantes generaron un mensaje forjado que parecía válido dentro del modelo de confianza del sistema.
3. Finalmente, debido a la configuración de verificador 1-de-1 de KelpDAO, una única aprobación fue suficiente para autorizar la liberación de fondos.

Esta elección de configuración, probablemente realizada para reducir la latencia y los costos, eliminó la redundancia. Y en los sistemas de seguridad, la falta de redundancia es a menudo equivalente a un único punto de falla.

Atribución: El papel del Grupo Lazarus

Firmas de seguridad, incluyendo LayerZero y Chainalysis, han atribuido el ataque con alta confianza al Grupo Lazarus, una organización de hackers patrocinada por el estado y vinculada a Corea del Norte. Más específicamente, se cree que el subgrupo conocido como “TraderTraitor” es el responsable.

Este no es un incidente aislado. En el mismo mes, Lazarus también fue relacionado con:

1. El exploit del protocolo Drift, que resultó en pérdidas de aproximadamente $285 millones
2. Un ataque menor pero relacionado en Hyperbridge

Lo que destaca es el patrón. No se trata de hacks oportunistas que explotan vulnerabilidades simples. Son operaciones a largo plazo, dirigidas, que a menudo implican meses de preparación y múltiples vectores de ataque. El enfoque se ha desplazado claramente hacia la infraestructura de alto valor: puentes, sistemas de restaking y protocolos cross-chain.

Impacto Inmediato en el Ecosistema DeFi

Las consecuencias del ataque fueron inmediatas y generalizadas. El token rsETH perdió rápidamente su paridad, desencadenando inestabilidad en las plataformas de préstamo. Protocolos como Aave y otros se movieron rápidamente para congelar o restringir rsETH como garantía para prevenir un mayor riesgo sistémico. Esta reacción, aunque necesaria, contribuyó a una conmoción de liquidez más amplia.

En cuestión de días, más de $13 mil millones en valor total fueron retirados de plataformas DeFi, una de las salidas de capital más rápidas observadas en los últimos años. El incidente resaltó una realidad clave: el DeFi moderno está altamente interconectado. Una falla en un componente, especialmente un puente, puede propagarse en cascada a través de múltiples sistemas, afectando la liquidez, la estabilidad de las garantías y la confianza del usuario simultáneamente.

Lecciones para Protocolos y Usuarios

El exploit de KelpDAO refuerza varias lecciones críticas para la industria.

1. Primero, la redundancia ya no es opcional. Los sistemas que dependen de verificadores únicos o modelos de confianza simplificados son inherentemente vulnerables. Las configuraciones de múltiples verificadores y los mecanismos de validación descentralizados deberían considerarse requisitos básicos.
2. Segundo, la seguridad debe extenderse más allá de los contratos inteligentes. La infraestructura off-chain (nodos RPC, oráculos y capas de verificación) debe tratarse con el mismo nivel de escrutinio que el código on-chain.
3. Tercero, los mecanismos de respuesta importan. Si bien KelpDAO sufrió pérdidas significativas, su rápido mecanismo de pausa evitó daños adicionales. Esto demuestra el valor de tener controles de emergencia bien definidos.
4. Para los usuarios, la lección es igualmente clara. La sobreexposición a un solo activo o protocolo, especialmente uno que depende de una infraestructura compleja, puede amplificar el riesgo. La diversificación y el conocimiento de los mecanismos subyacentes son esenciales.

Un Punto de Inflexión para la Seguridad DeFi

Este ataque, combinado con otros exploits de alto perfil en 2026, señala un cambio en la forma en que DeFi debe abordar la seguridad. La industria ha logrado un progreso significativo en la auditoría de contratos inteligentes y la verificación formal. Pero los atacantes se han adaptado. Ahora están apuntando a las capas que se encuentran fuera de la propia blockchain: las interfaces, los canales de comunicación y las suposiciones de confianza que permiten la escalabilidad. Esta evolución requiere un cambio de mentalidad correspondiente. La seguridad ya no puede tratarse como un elemento de una lista de verificación completado antes del despliegue. Debe integrarse en cada capa del sistema, probarse continuamente y diseñarse teniendo en cuenta las condiciones adversarias. Los protocolos que reconozcan este cambio e inviertan en consecuencia estarán mejor posicionados para mantener la confianza del usuario en un entorno cada vez más hostil.

Conclusión

El exploit de KelpDAO de $293 millones no es solo otra entrada en la lista de hacks DeFi. Es un estudio de caso sobre cómo están evolucionando los ataques modernos y dónde es probable que surjan las próximas vulnerabilidades. El problema central no fue un contrato roto, sino una conexión frágil. A medida que DeFi continúa escalando e interconectándose, estas conexiones se convierten tanto en su mayor fortaleza como en su mayor riesgo. La lección es clara: la velocidad y la eficiencia no pueden venir a expensas de la resiliencia. Porque en el entorno actual, las vulnerabilidades más peligrosas no siempre son visibles en el código; existen en las suposiciones detrás de él.

Descargo de Responsabilidad

Este artículo es solo para fines informativos y educativos. No constituye asesoramiento financiero, de inversión o comercial. Las criptomonedas y DeFi implican un riesgo significativo de pérdida. Siempre realice su propia investigación y actúe con precaución.