El ataque también generó un efecto dominó en Aave, dejando alrededor de $177 millones en deuda incobrable y obligando a congelar mercados clave.
📌 Detalles del ataque
- Fecha: 18 de abril de 2026
- Monto robado: 116,500 rsETH (~$292M), equivalente al 18% del suministro circulante de rsETH.
- Método: Manipulación del sistema de mensajería cross-chain de LayerZero, que validó una transferencia falsa como legítima.
- Impacto inmediato:
- KelpDAO: Puente rsETH paralizado, operaciones detenidas.
- Aave: $200M en préstamos con colateral robado → $177M en deuda incobrable.
- Otros protocolos afectados: SparkLend, Fluid, Upshift (mercados congelados).
🔎 Investigación y hallazgos
- Investigador que alertó: ZachXBT, a las 2:52 PM del 18 de abril.
- Técnicas usadas:
- Spoofing de mensajes cross-chain.
- Uso de herramientas de ofuscación y llamadas dirigidas a contratos.
- Consecuencia: Transferencia no autorizada de rsETH → drenaje masivo de reservas.
📊 Tabla comparativa rápida
| Aspecto | Detalle |
|---------|---------|
| Monto robado | $292M (116,500 rsETH) |
| Suministro afectado | 18% del rsETH circulante |
| Protocolo explotado | Puente LayerZero de KelpDAO |
| Impacto en Aave | $177M deuda incobrable |
| Otros protocolos | SparkLend, Fluid, Upshift |
| Fecha | 18 abril 2026 |
| Investigador clave | ZachXBT |
⚖️ Implicaciones para el ecosistema
- DeFi bajo presión: Este ataque supera todos los exploits previos de 2026 en escala.
- Confianza en LayerZero: El incidente expone vulnerabilidades críticas en la verificación cross-chain.
- Usuarios de KelpDAO y Aave: Depósitos y colaterales enfrentan riesgo de pérdida parcial o total.
- Lección clave: Los sistemas de mensajería cross-chain requieren auditorías más estrictas y redundancia en validación.
🚨 Recomendaciones inmediatas
- Usuarios de KelpDAO: Evitar nuevas operaciones hasta que se publiquen parches y auditorías externas.
- Inversores en Aave y protocolos afectados: Monitorear anuncios oficiales sobre recuperación y compensación.
- General: Diversificar posiciones y limitar exposición a tokens puenteados hasta que se refuercen las medidas de seguridad.
