LayerZero detalla el exploit de $292M de KelpDAO y refuerza la seguridad del puente entre cadenas

LayerZero Labs ha publicado su informe del incidente sobre el ataque al puente entre cadenas de KelpDAO, indicando que aproximadamente $292 millones en rsETH fueron robados tras envenenar la infraestructura RPC utilizada por su red de verificación, lo que forzó cambios de política en torno a las configuraciones de firmante único.

LayerZero Labs ha publicado un relato detallado del exploit de KelpDAO, confirmando que los atacantes robaron aproximadamente 116.500 rsETH, valorados en unos $292 millones, al comprometer la infraestructura downstream vinculada a la capa de verificación utilizada en la configuración cross-chain de KelpDAO.

La compañía indicó que el incidente se limitó a la configuración de rsETH de KelpDAO porque la aplicación dependía de una configuración DVN 1 de 1 con LayerZero Labs como único verificador, un diseño que LayerZero afirmó contradecía directamente su recomendación vigente de que las aplicaciones utilicen configuraciones multi-DVN diversificadas con redundancia.

En su declaración, LayerZero afirmó que hubo "cero contagio a cualquier otro activo o aplicación cross-chain", argumentando que la arquitectura de seguridad modular del protocolo contuvo el radio de impacto incluso cuando falló una única configuración a nivel de aplicación.

Cómo funcionó el ataque

Según el informe de LayerZero, el ataque del 18 de abril de 2026 tuvo como objetivo la infraestructura RPC de la que depende el DVN de LayerZero Labs, en lugar de explotar el protocolo LayerZero, la gestión de claves o el propio software DVN.

La compañía indicó que los atacantes obtuvieron acceso a la lista de RPCs utilizados por el DVN, comprometieron dos nodos que se ejecutaban en clústeres separados, reemplazaron los binarios en nodos op-geth y luego utilizaron cargas maliciosas para enviar datos de transacciones falsificados al verificador mientras devolvían datos verídicos a otros endpoints, incluidos los servicios de monitoreo internos.

Para completar el exploit, los atacantes también lanzaron ataques DDoS contra los endpoints RPC no comprometidos, lo que desencadenó la conmutación por error hacia los nodos envenenados y permitió al DVN de LayerZero Labs confirmar transacciones que nunca habían ocurrido realmente.

El trabajo forense externo coincide en líneas generales con esa descripción. Chainalysis afirmó que los atacantes vinculados al Grupo Lazarus de Corea del Norte, específicamente TraderTraitor, no explotaron un bug en un contrato inteligente, sino que falsificaron un mensaje cross-chain envenenando nodos RPC internos y saturando los externos en una configuración de verificación con punto único de fallo.

Cambios de seguridad

LayerZero indicó que la respuesta inmediata incluyó la obsolescencia y sustitución de todos los nodos RPC afectados, la restauración del DVN de LayerZero Labs a su funcionamiento y el contacto con las agencias de aplicación de la ley, al tiempo que trabajaba con socios del sector y Seal911 para rastrear los fondos robados.

Más importante aún, la compañía está cambiando la forma en que gestiona las configuraciones de riesgo. En la declaración, LayerZero afirmó que su DVN "no firmará ni atestiguará mensajes de ninguna aplicación que utilice una configuración 1/1", un cambio de política directo destinado a evitar que se repita el modo de fallo de KelpDAO.

La compañía también está contactando con proyectos que aún utilizan configuraciones 1/1 para migrarlos a modelos multi-DVN con redundancia, admitiendo efectivamente que la flexibilidad de configuración sin barreras de seguridad impuestas era demasiado permisiva en la práctica.

El panorama de atribución también se ha consolidado. Chainalysis vinculó el exploit al Grupo Lazarus de Corea del Norte y específicamente a TraderTraitor, mientras que Nexus Mutual afirmó que el mensaje falsificado drenó $292 millones del puente entre cadenas de KelpDAO en menos de 46 minutos, convirtiéndolo en una de las mayores pérdidas DeFi de 2026.

El resultado es una lección familiar pero brutal para la infraestructura cross-chain: los contratos inteligentes pueden sobrevivir intactos y el protocolo puede seguir fallando en la práctica si la capa de confianza off-chain es lo suficientemente débil. LayerZero está intentando ahora demostrar que la conclusión correcta de un robo de puente entre cadenas de $292 millones no es que la seguridad modular haya fallado, sino que permitir que cualquiera ejecutara una configuración de firmante único fue el verdadero error.