#KelpDAOExploitFreeze *Kelp DAO Explotación & Congelación – 18 de abril de 2026*
Esto es ahora la *explotación DeFi más grande de 2026*: $292M-$293M drenados de Kelp DAO. Aquí está lo que sucedió y lo que está congelado:
*1. La explotación*
- *Cuándo*: Sábado, 18 de abril de 2026 a ∼17:35 UTC / 5:35 PM UTC
- *Qué fue golpeado*: El puente entre cadenas impulsado por LayerZero de Kelp para rsETH
- *Cómo*: El atacante suplantó la mensajería entre cadenas de LayerZero. La configuración utilizó un DVN de 1 de 1 (firmante único) en lugar de 2 de 2, creando un único punto de fallo. Una clave privada de la cadena fuente filtrada/comprometida permitió al atacante emitir un mensaje falso
- *Robado*: 116,500 rsETH = ∼$292M, aproximadamente el 18% del suministro circulante total de rsETH
- *Velocidad*: Desaparecido en una transacción. Dos intentos de seguimiento por otros $100M fallaron después de que Kelp pausara #KelpDAOExploitFreeze
*2. Lo que Kelp DAO congeló*
El multisig de pausa de emergencia de Kelp congeló contratos centrales 46 minutos después del drenaje, a las 18:21 UTC:
- *Pausado*: contratos de rsETH en Ethereum mainnet y varios L2s
- *Estado*: Depósitos/retiros detenidos mientras investigan con LayerZero, Unichain, auditores
- *Fondos de usuarios*: El equipo dijo que el ETH depositado en contratos inteligentes permanece seguro - el error afectó a la acuñación/puente, no a la custodia
*3. Congelaciones y consecuencias a nivel DeFi*
Debido a que rsETH se utilizó como colateral en todas partes, otros protocolos congelaron mercados para contener la contagión:
*Aave V3/V4*
- *Congelado*: mercados de rsETH + reservas de WETH en Ethereum, Arbitrum, Base, Mantle, Linea
- *Por qué*: El atacante depositó rsETH robado como colateral y pidió prestado ∼126,000 WETH = $236M
- *Impacto*: $177M-$200M en deuda mala. Más de $5.4B en salidas, TVL disminuido un 24%, token AAVE -17.7%
- *Nota*: Los contratos de Aave no fueron explotados - el problema fue el colateral de rsETH
*Otros que congelaron/pausaron*:
- *SparkLend & Fluid*: Congelaron mercados de rsETH. SparkLend no tuvo exposición
- *Lido Finance*: Pausó depósitos en el producto earnETH debido a la exposición de rsETH. stETH no afectado
- *Ethena*: Cerró los puentes de LayerZero desde Ethereum mainnet como precaución, a pesar de no tener exposición a rsETH
- *Compound V3, Euler*: También tuvieron posiciones de deuda del atacante #KelpDAOExploitFreeze #Write2Earn $ETH
Esto es ahora la *explotación DeFi más grande de 2026*: $292M-$293M drenados de Kelp DAO. Aquí está lo que sucedió y lo que está congelado:
*1. La explotación*
- *Cuándo*: Sábado, 18 de abril de 2026 a ∼17:35 UTC / 5:35 PM UTC
- *Qué fue golpeado*: El puente entre cadenas impulsado por LayerZero de Kelp para rsETH
- *Cómo*: El atacante suplantó la mensajería entre cadenas de LayerZero. La configuración utilizó un DVN de 1 de 1 (firmante único) en lugar de 2 de 2, creando un único punto de fallo. Una clave privada de la cadena fuente filtrada/comprometida permitió al atacante emitir un mensaje falso
- *Robado*: 116,500 rsETH = ∼$292M, aproximadamente el 18% del suministro circulante total de rsETH
- *Velocidad*: Desaparecido en una transacción. Dos intentos de seguimiento por otros $100M fallaron después de que Kelp pausara #KelpDAOExploitFreeze
*2. Lo que Kelp DAO congeló*
El multisig de pausa de emergencia de Kelp congeló contratos centrales 46 minutos después del drenaje, a las 18:21 UTC:
- *Pausado*: contratos de rsETH en Ethereum mainnet y varios L2s
- *Estado*: Depósitos/retiros detenidos mientras investigan con LayerZero, Unichain, auditores
- *Fondos de usuarios*: El equipo dijo que el ETH depositado en contratos inteligentes permanece seguro - el error afectó a la acuñación/puente, no a la custodia
*3. Congelaciones y consecuencias a nivel DeFi*
Debido a que rsETH se utilizó como colateral en todas partes, otros protocolos congelaron mercados para contener la contagión:
*Aave V3/V4*
- *Congelado*: mercados de rsETH + reservas de WETH en Ethereum, Arbitrum, Base, Mantle, Linea
- *Por qué*: El atacante depositó rsETH robado como colateral y pidió prestado ∼126,000 WETH = $236M
- *Impacto*: $177M-$200M en deuda mala. Más de $5.4B en salidas, TVL disminuido un 24%, token AAVE -17.7%
- *Nota*: Los contratos de Aave no fueron explotados - el problema fue el colateral de rsETH
*Otros que congelaron/pausaron*:
- *SparkLend & Fluid*: Congelaron mercados de rsETH. SparkLend no tuvo exposición
- *Lido Finance*: Pausó depósitos en el producto earnETH debido a la exposición de rsETH. stETH no afectado
- *Ethena*: Cerró los puentes de LayerZero desde Ethereum mainnet como precaución, a pesar de no tener exposición a rsETH
- *Compound V3, Euler*: También tuvieron posiciones de deuda del atacante #KelpDAOExploitFreeze #Write2Earn $ETH
