Ataque a KelpDAO paraliza a LayerZero
El hackeo sufrido por KelpDAO el pasado 18 de abril, que resultó en el drenaje de 292 millones de dólares en el token rsETH, ha desencadenado una reacción en cadena dentro del ecosistema de activos digitales. Al menos 30 protocolos que utilizan la infraestructura de LayerZero han decidido pausar sus operaciones preventivamente, aunque hasta el momento ninguno ha reportado pérdidas de fondos.
Según el informe técnico publicado el 20 de abril por LayerZero Labs, la causa raíz del exploit fue una decisión operativa de KelpDAO: operar bajo una configuración de seguridad denominada 1-de-1 DVN. Esto implicaba depender de un único verificador de transcciones entre cadenas (en este caso, el propio DVN V2 de LayerZero Labs) sin ningún verificador independiente adicional, creando un punto único de falla.
Mecánica del ataque e infraestructura comprometida
La investigación revela que el atacante no explotó vulnerabilidades en el código smart contract de LayerZero ni de KelpDAO. En su lugar, el ataque se dirigió a la infraestructura subyacente: los servidores RPC (nodos de acceso) que el DVN de LayerZero utilizaba para consultar el estado de la red Ethereum.
El modus operandi consistió en:
- Compromiso de nodos: El atacante identificó y comprometió dos nodos RPC independientes utilizados por el DVN, reemplazando su software por versiones manipuladas capaces de enviar datos falsos.
- Envenenamiento selectivo: Estos nodos alterados respondían con información falsa únicamente cuando eran consultados por el DVN de LayerZero, evitando ser detectados por sistemas de monitoreo internos.
- Ataque de denegación (DDoS): Se saturó el tráfico de los nodos RPC no comprometidos, forzando al DVN a confiar exclusivamente en los nodos envenenados.
LayerZero sostiene que si KelpDAO hubiera seguido sus recomendaciones de utilizar configuraciones con múltiples DVNs redundantes, un segundo verificador independiente habría rechazado el mensaje falso y el robo no habría prosperado. El informe atribuye el ataque al grupo norcoreano Lazarus (específicamente la unidad TraderTraitor), aunque esta atribución aún carece de corroboración independiente.
Reacción en cadena: pausa preventiva en la industria
La incertidumbre sobre el alcance real del incidente provocó un efecto dominó, conocido como «Efecto KelpDAO». Cerca de 30 protocolos compartían la infraestructura de LayerZero y, ante el riesgo potencial, optaron por la suspensión cautelar mientras verifican sus propias configuraciones.
Entre los proyectos que pausaron sus operaciones se destacan nombres relevantes del ecosistema:
- Curve Finance: Suspendió el puente del token CRV desde BNB Chain y Avalanche.
- TRON DAO: Pausó el puente OFT de su nativo TRX.
- Morpho: Detuvo el puente OFT del token MORPHO en Arbitrum.
- BitGo y Wrapped Bitcoin (WBTC): Detuvieron los canales DVN para mover el token WBTC.
- USDT0: Paralizó su infraestructura de puentes, asegurando el respaldo 1:1 de sus tokens.
Otros proyectos como Ethena, ether.fi, Pudgy Penguins, Agora, Euler Labs y Kamino, entre otros, también adoptaron medidas de seguridad preventiva. Hasta la fecha, ninguno de estos protocolos ha confirmado pérdidas.
Medidas correctivas y contexto de seguridad
Como respuesta inmediata, LayerZero anunció que su DVN dejará de firmar mensajes para aplicaciones que mantengan configuraciones «1-de-1». La plataforma contactará a todos los integradores en esta situación para forzar una migración hacia esquemas con redundancia y mayor seguridad.
Este incidente se suma a una ola de inseguridad que afectó al sector en abril, con pérdidas acumuladas en el mes que superan los 450 millones de dólares adicionales al hackeo de KelpDAO. La manipulación de infraestructura de nodos RPC se suma así a la lista de vectores de ataque que ponen en riesgo a los puentes cross-chain, subrayando la necesidad crítica de descentralización y redundancia en los mecanismos de verificación.
