En el ecosistema DeFi, la diferencia entre la seguridad y el desastre a veces se mide en una decisión técnica mal tomada hace meses. El fin de semana del 18 al 20 de abril, esa distancia quedó brutalmente expuesta cuando un exploit sobre el protocolo KelpDAO derivó en la mayor salida de capital del DeFi en más de un año.

El ataque empezó de forma precisa y silenciosa. Exploits de esta escala rara vez son accidentales.

Cómo funcionó el exploit

KelpDAO opera un token llamado rsETH, que representa Ethereum en staking restakeado. Para mover ese token entre blockchains, el protocolo utilizaba el bridge de LayerZero, una infraestructura de comunicación entre cadenas que, en condiciones normales, es robusta. El problema fue una decisión de configuración: KelpDAO optó por usar un único nodo verificador en lugar de múltiples, a pesar de advertencias explícitas previas de LayerZero.

Los atacantes, identificados preliminarmente como el grupo norcoreano Lazarus por parte de LayerZero, comprometieron dos nodos RPC y lanzaron un ataque de denegación de servicio (DDoS) para forzar que el sistema fallara sobre el único verificador activo. Con ese control, generaron 116,500 tokens rsETH falsos, el 18% del supply total, valuados en aproximadamente $292 millones.

La trampa del colateral contaminado

Hasta aquí, el daño hubiera sido enorme pero contenido. Lo que lo convirtió en una catástrofe sistémica fue que esos rsETH falsos habían sido aceptados como colateral en múltiples protocolos DeFi, incluyendo Aave, el mayor protocolo de préstamos del ecosistema. Cuando la manipulación fue descubierta y el precio del token colapsó, los sistemas de liquidación automática se activaron. Los usuarios que no tenían ninguna relación con KelpDAO comenzaron a ver sus posiciones en peligro.

El pánico hizo el resto: en 48 horas, el TVL (Total Value Locked) de todo el ecosistema DeFi cayó de $99,500 millones a $85,210 millones. Aave sola vio retiros de aproximadamente $10,000 millones. El DeFi tocó su punto más bajo en un año, casi 50% por debajo de los picos de octubre.

¿Qué significa esto para ti?

Si participas en DeFi, este incidente refuerza tres principios básicos que demasiada gente ignora. Primero: la diversificación de riesgo de protocolo es real. Tener fondos en un solo protocolo, sin importar cuán auditado esté, es concentrar riesgo. Segundo: los puentes cross-chain son hoy el eslabón más débil del ecosistema y merecen escrutinio especial antes de depositar. Tercero: el error de configuración de un equipo puede afectar a usuarios que nunca usaron ese protocolo directamente, porque el DeFi está interconectado.

El episodio también reabre el debate sobre los seguros on-chain y los sistemas de gobernanza de emergencia. Varios protocolos respondieron más rápido que nunca congelando pares de colateral contaminado en minutos. Es progreso real, aunque insuficiente cuando los fondos ya se fueron.

DeFi sigue siendo una de las innovaciones más disruptivas de las finanzas en décadas. Pero la madurez del ecosistema se mide también en cómo procesa sus fracasos. El exploit de KelpDAO será, casi con certeza, un caso de estudio obligatorio en auditorías de seguridad cripto por años.