Un atraco masivo de $ 292 millones golpea a Kelp DAO, elimina las tenencias de rsETH, lo que lleva a Aave a bloquear grupos de inversión vulnerables
Un devastador ciberataque ha afectado a Kelp DAO, un protocolo de recuperación de líquidos, lo que ha provocado una asombrosa pérdida de aproximadamente 292 millones de dólares. Este exploit masivo fue detectado inicialmente por el renombrado investigador de blockchain ZachXBT el 18 de abril a las 2:52 p.m. El atacante manipuló hábilmente el sistema de mensajería entre cadenas de LayerZero, engañándolo para que verificara una solicitud de transferencia falsa de otra red. Esto llevó a la transferencia no autorizada de 116.500 tokens rsETH, que están valorados en alrededor de 292 millones de dólares, según datos de la cadena. Esta cantidad explotada representa aproximadamente el 18% del suministro circulante total de 630.000 tokens rsETH.
En respuesta al ataque, Kelp DAO activó rápidamente sus protocolos de emergencia, deteniendo inmediatamente los depósitos y retiros de rsETH. Actualmente, el protocolo está colaborando con LayerZero y Unichain para abordar el problema. Kelp DAO anunció en X que había identificado actividad sospechosa entre cadenas que involucraba a rsETH y había detenido los contratos de rsETH en la red principal y varias redes de capa 2 mientras realizaba una investigación. El protocolo trabaja en estrecha colaboración con los principales expertos en seguridad, auditores y socios, incluidos LayerZero y Unichain, para realizar un análisis de la causa raíz.
La situación se agravó cuando los fondos robados se desviaron a varios protocolos de préstamos, incluidos Aave V3, Compound V3 y Euler. El atacante utilizó el rsETH robado como garantía para pedir prestadas cantidades sustanciales de ETH envuelto, acumulando más de 236 millones de dólares en posiciones de deuda. Los datos en cadena revelan que el atacante consolidó alrededor de 74.000 ETH después del exploit, generando la asombrosa cantidad de 280 millones de dólares en deudas incobrables en estos protocolos.
Como resultado, Aave suspendió los mercados rsETH tanto en Aave V3 como en Aave V4, confirmando que sus contratos inteligentes no estaban comprometidos y que el problema se originó en el token rsETH. Actualmente, Aave está revisando los préstamos respaldados por rsETH abiertos después del exploit para evaluar la exposición potencial y está explorando medidas para abordar cualquier deuda incobrable resultante. El proyecto declaró que evaluaría el impacto del exploit en su protocolo y tomaría las medidas necesarias para mitigar cualquier riesgo potencial.
Otros protocolos, como SparkLend y Fluid, tomaron precauciones similares, y SparkLend informó cero exposición a rsETH debido a su enfoque conservador de gestión de riesgos. Lido Finance detuvo los depósitos en su producto ganarETH, que tiene exposición a rsETH, al tiempo que enfatizó que su protocolo de participación central y el token stETH no se vieron afectados. Ethena, un emisor de monedas estables, cerró temporalmente sus puentes LayerZero desde la red principal de Ethereum como medida de precaución, a pesar de no tener exposición a rsETH y mantener una garantía superior al 101%.
Las consecuencias del ataque han tenido un impacto significativo en el mercado, con el precio del token de Aave cayendo aproximadamente un 10% según CoinGecko. Este ataque es el mayor exploit DeFi del año hasta la fecha y llega inmediatamente después de una serie de ataques más pequeños a protocolos como CoW Swap, Zerion, Rhea Finance y Silo Finance. Hace apenas unas semanas, el protocolo Drift Protocol, con sede en Solana, sufrió una infracción administrativa selectiva, lo que resultó en una pérdida de alrededor de 285 millones de dólares, que luego se vinculó con actores afiliados a Corea del Norte. Este último ataque a Kelp DAO ha generado preocupaciones sobre la seguridad de los protocolos DeFi y la necesidad de una mayor vigilancia en la industria.