Un único exploit contra el puente de Kelp DAO impulsado por LayerZero se ha convertido en la mayor pérdida DeFi de 2026. El atacante drenó aproximadamente 116,500 rsETH, por un valor cercano a 292 millones de dólares, a las 17:35 UTC del sábado y luego empujó los tokens robados a Aave (AAVE), Compound y Euler (EUL) para extraer cientos de millones más en WETH prestado.
Ahora, todos los grandes mercados de préstamos de Ethereum (ETH) están aplicando congelaciones de emergencia.
Cómo el atacante engañó a LayerZero
El puente de Kelp depende de la capa de mensajería entre cadenas de LayerZero para acuñar y liberar rsETH en más de veinte redes.
Los investigadores señalan que el explotador alimentó al puente con una instrucción falsificada que parecía un mensaje válido de otra cadena, lo que desencadenó la liberación de 116,500 rsETH a una dirección controlada por el atacante.
El analista on-chain ZachXBT fue el primero en señalar la salida y confirmó que el puente nunca recibió la transferencia entrante correspondiente que debía respaldar la acuñación.
Una espiral de deuda incobrable en Aave V3
Minutos después de la acuñación, el atacante movió el rsETH robado a Aave V3, Compound V3 y Euler como garantía y pidió prestados más de 236 millones de dólares en WETH en los tres mercados.
Dado que el rsETH depositado no estaba respaldado, los protocolos de préstamo se quedaron con garantías contra un activo que ya no representaba Ether realmente restakeado.
También lee: Why Does An Oil Lane 7,000 Miles Away Control The Bitcoin Price
El gobierno de Aave ya ha pausado nuevos depósitos de rsETH, y AAVE cayó alrededor de un 10 % mientras el mercado descontaba la posible deuda incobrable.
Ether envuelto varado en veinte cadenas
rsETH circula en más de veinte soluciones de Capa 2 y sidechains, y este exploit en una sola cadena ha generado dudas sobre si alguno de esos suministros envueltos sigue totalmente respaldado.
Fluid y SparkLend se unieron a Aave para congelar los mercados de rsETH en cuestión de horas. En torno al 18 % del suministro circulante de 630,000 rsETH fue retirado en una sola transacción, según datos citados por CoinDesk.
Qué debes vigilar ahora
El equipo de Kelp DAO ha abierto una ventana de negociación de whitehat de 24 horas y está coordinando con LayerZero un análisis posterior al incidente.
La pregunta inmediata es si los tenedores de rsETH en redes que no son Ethereum podrán ser compensados por completo y si los depositantes de Aave absorberán alguna parte de la deuda incobrable.
El exploit también reabre un debate mayor dentro de DeFi: si el Ether restakeado, en cualquiera de sus variantes, debería aceptarse como colateral de primera categoría.
Lee a continuación: What Happens When the Most Powerful AI Gets Its Own Crypto Wallet