El mayor hackeo del año en el mundo DeFi ocurrió el sábado 18 de abril: vaciaron 116.500 rsETH del puente cross-chain de Kelp DAO en 46 minutos, equivalentes a 292 millones de dólares. Las novedades sobre la recuperación y una demanda han permitido reconstruir lo sucedido.
rsETH es un recibo de restaking líquido emitido por Kelp. Depositas ETH y Kelp lo pone a generar rendimientos en EigenLayer; a cambio, recibes rsETH, un token transferible que puedes usar como garantía para pedir préstamos. El puente se basa en una prueba de quema en un lado para liberar la misma cantidad de tokens en el otro. Esa noche, alguien acuñó de la nada 116.500 rsETH, sin que hubiera ningún depósito de ETH detrás.
El ataque se llevó a cabo en dos pasos. Según la demanda, el 6 de marzo instaló un troyano en el ordenador de un desarrollador de LayerZero y obtuvo acceso al nodo. El 18 de abril, el nodo comprometido envió datos falsos al verificador, que aprobó un mensaje cross-chain falsificado, y el puente lo aceptó directamente. La clave es que el puente de Kelp solo tenía configurado un verificador, operado por la propia LayerZero, así que la autenticidad de los mensajes dependía enteramente de una sola entidad.
Tras recibir los fondos, el hacker no se apresuró a huir. Puso en garantía parte de sus rsETH en Aave para pedir WETH prestado y retiró unos 106.000 ETH, valorados en aproximadamente 250 millones de dólares. Kelp congeló el contrato 46 minutos después y frenó la acuñación de otros 40.000 tokens. Nueve protocolos congelaron ese mismo día los mercados de rsETH. Arbitrum congeló 30.766 ETH que estaban en manos del atacante, y siguen congelados. Chainalysis atribuyó el ataque al grupo norcoreano Lazarus.
Para el 7 de noviembre, Kelp había recuperado 43.000 ETH. Sumados a los 30.766 ETH congelados por Arbitrum, hacen un total de unos 73.700 ETH. Del déficit original de 163.200 ETH, aún faltan unos 89.500 ETH. El déficit supera los 116.500 tokens acuñados porque el hacker también usó como garantía rsETH sin respaldo para pedir WETH prestado; ese dinero prestado también cuenta como parte del agujero. Aave, Mantle, Lido y otros protocolos formaron DeFi United y se comprometieron a aportar 43.500 ETH. El 24 de septiembre, Evercrest, la empresa desarrolladora de Kelp, demandó a LayerZero y a su CEO en la provincia canadiense de Columbia Británica. El motivo: en 2024, la otra parte había aprobado por escrito la configuración con un solo validador y además había indicado que copiaran la de otro puente. LayerZero afirmó que las acusaciones carecen de fundamento. El litigio aún no se ha resuelto.
Esto afecta directamente a los pequeños inversores que tienen rsETH. Un token que genera rendimiento no es un depósito: su valor depende del puente y del método de validación. Cuando el puente falla, el token pierde primero su paridad y las posiciones apalancadas con préstamos quedan expuestas a liquidación. Que un proyecto sea famoso tampoco significa que sus validaciones sean rigurosas. Los registros en cadena de Kelp muestran que el puente tenía originalmente dos validadores, pero luego pasó a tener uno, y nadie dio la voz de alarma. Que te hackeen no significa que todo el dinero se haya perdido: la recuperación es real, pero puede tardar meses y el déficit todavía no se ha cubierto por completo.
Mi opinión se resume en una frase: la seguridad de un puente no depende de su reputación, sino del número de validadores. Un solo validador equivale a no tener validación.
¿Tienes algún token que genere rendimiento? ¿Has comprobado cómo valida las transacciones el puente que lo respalda?
#Kelp #LayerZero #跨链桥 #安全复盘 #rsETH
—— Xiaokai, un pequeño inversor de Web3
Este artículo solo expresa una opinión personal y no constituye asesoramiento de inversión. Fuentes de datos: Unchained, The Block, Bitquery, la página de seguimiento de DeFi United e informes públicos. Los importes son estimaciones al momento del incidente; el mercado puede cambiar en cualquier momento. Evalúa los riesgos por tu cuenta.