#rsETHAttackUpdate

El incidente de seguridad reciente que involucró el token rsETH de Kelp DAO ocurrió el 18 de abril de 2026. Los atacantes lograron drenar con éxito aproximadamente $292 millones de (116,500 rsETH) del protocolo.

El exploit ha sido atribuido por analistas de seguridad al Grupo Lazarus, vinculado a Corea del Norte.

Cómo ocurrió el ataque

El incidente fue un ataque sofisticado contra infraestructura fuera de la cadena en lugar de una vulnerabilidad en los contratos inteligentes en sí.

Mensaje transfronterizo falsificado: Los atacantes eludieron la seguridad del puente falsificando un mensaje transfronterizo que imitaba una transacción legítima.

Compromiso de infraestructura: El objetivo fue el adaptador de puente impulsado por LayerZero. Los atacantes comprometieron nodos RPC internos asociados con la Red de Verificadores Descentralizados (DVN) y al mismo tiempo lanzaron un ataque DDoS contra nodos externos.

Fallo en la verificación: Al envenenar el proceso de verificación, forzaron al sistema a confiar en datos falsificados, lo que llevó a que el puente liberara 116,500 rsETH en Ethereum sin un "quemado" real o respaldo de colateral en la parte superior.

Explotación del colateral: Tras la acuñación no autorizada de estos tokens "fantasma", los atacantes los usaron como colateral en Aave para pedir prestado otros activos, lo que causó una tensión significativa y salidas de liquidez en todo el ecosistema DeFi.

Impacto inmediato y respuesta

Pausas en el protocolo: Kelp DAO pausó rápidamente sus contratos rsETH en la red principal y en varias redes de Capa 2 tras identificar la actividad sospechosa.

Precauciones en DeFi: Los principales protocolos de préstamo, incluido Aave, optaron por congelar los mercados de rsETH para proteger sus plataformas y usuarios. Otros protocolos con exposición, como los integrados con Lido, también suspendieron depósitos o tomaron medidas preventivas.

Intento de segundo ataque: Tras el robo inicial, los atacantes intentaron un segundo drenaje menor de otros 40,000 rsETH (~$95 millón), pero esto fue frustrado después de que Kelp DAO incluyó en la lista negra las direcciones de los atacantes y pausó los contratos relevantes.

Este evento ha generado una discusión significativa en la industria sobre la dependencia de configuraciones de punto único de fallo en la seguridad de los puentes y la necesidad de monitoreo a nivel de invariantes en lugar de solo verificación de llamadas individuales.
‍$AAVE