La infracción de seguridad de Kelp DAO de 292 millones de dólares deja a Aave frente a una exposición masiva a deudas incobrables
En lo que marca la violación de seguridad de DeFi más importante de 2026 hasta la fecha, Kelp DAO fue víctima de un sofisticado ataque el 18 de abril que resultó en el robo de 116,500 tokens rsETH, lo que representa aproximadamente $292 millones en valor de su infraestructura de puente entre cadenas integrada en LayerZero. Actualización sobre el incidente de rsETH: @LlamaRisk ha publicado un informe que describe el incidente de rsETH, las acciones inmediatas tomadas, su impacto en Aave y los posibles caminos a seguir. Todos los proveedores de servicios han estado trabajando para evaluar los dos posibles escenarios de deuda incobrable en el protocolo Aave... - Aave (@aave) 20 de abril de 2026 Según el análisis de LayerZero, los perpetradores, que se sospecha que son el notorio Grupo Lazarus que opera en Corea del Norte, comprometieron con éxito una lista de nodos RPC utilizados por la red descentralizada verificada. Los atacantes envenenaron dos nodos y al mismo tiempo lanzaron un ataque distribuido de denegación de servicio (DDoS) contra un tercer nodo, engañando efectivamente al sistema para que validara un mensaje fraudulento entre cadenas que autorizaba la creación de 116.500 rsETH. Kelp DAO respondió rápidamente al detectar la brecha de seguridad. El equipo suspendió inmediatamente todos los contratos inteligentes afectados e implementó medidas de lista negra contra las carteras conectadas al atacante, una acción defensiva que supuestamente evitó la pérdida adicional de 40.000 rsETH, equivalente a aproximadamente 95 millones de dólares. Los tokens comprometidos se depositaron posteriormente en Aave V3. El perpetrador proporcionó 89,567 rsETH (por un valor aproximado de $221 millones) como garantía para pedir prestados 82,650 Ether envueltos más 821 wstETH, creando posiciones con factores de salud críticamente bajos que ahora exponen a Aave a un riesgo sustancial de deuda incobrable. Desde que ocurrió el exploit, Aave ha experimentado un éxodo de casi 10 mil millones de dólares en valor total bloqueado. LayerZero publicó un informe detallado señalando la configuración DVN 1 de 1 de Kelp DAO, caracterizándola como un punto único crítico de falla. La compañía afirma que Kelp había recibido recomendaciones para implementar una arquitectura DVN más diversificada, pero se negó a actuar según esta guía. Kelp DAO ha cuestionado esta narrativa, afirmando que la configuración 1 de 1 representa la configuración predeterminada estándar descrita explícitamente en la documentación oficial de LayerZero. Kelp sostiene que LayerZero "confirmó afirmativamente como apropiada" esta configuración durante la expansión de Kelp a implementaciones de red de capa 2. Ambas organizaciones han manifestado su compromiso con los esfuerzos colaborativos de resolución. LlamaRisk, el socio de gestión de riesgos de Aave, ha construido dos escenarios distintos que proyectan posibles resultados de deudas incobrables en función de las próximas decisiones de Kelp DAO. La primera vía distribuye las pérdidas de manera uniforme entre todos los titulares de rsETH tanto en la red principal de Ethereum como en las redes de capa 2. Este enfoque desencadenaría una desvinculación del 15 % de rsETH y generaría aproximadamente 123,7 millones de dólares en deudas incobrables para Aave. El mercado primario de Ethereum soportaría la mayor pérdida nominal de 91,8 millones de dólares, aunque sus importantes reservas limitarían el déficit a sólo el 1,54% de las tenencias. Mantle experimentaría el impacto proporcional más severo con un 9,54% en este escenario. La vía alternativa concentra todas las pérdidas exclusivamente en las redes de capa 2 y, al mismo tiempo, mantiene el respaldo total para la red principal de Ethereum, rsETH. Esto impondría un devastador recorte del 73,54 % a las garantías de la capa 2 y aumentaría el total de deudas incobrables a 230,1 millones de dólares repartidos entre los mercados Mantle, Arbitrum y Base. En el primer escenario, el módulo de seguridad Umbrella de Aave contiene 54 millones de dólares disponibles para su implementación como red de seguridad. Esta protección no sería aplicable en el segundo escenario. Aave enfatizó que la resolución final depende del enfoque de Kelp DAO para actualizar los mecanismos de contabilidad de rsETH y los cálculos del tipo de cambio de Oracle. Aave DAO posee actualmente 181 millones de dólares en reservas de tesorería y ha obtenido compromisos de las partes interesadas del ecosistema para brindar apoyo adicional en caso de que se materialice una deuda incobrable. Hasta el lunes, Kelp DAO confirmó que continúa evaluando las ramificaciones financieras y aún tiene que anunciar su estrategia de asignación de pérdidas o su marco de recuperación.