#rsETHAttackUpdate

El exploit de rsETH que se desarrolló el 18 de abril de 2026, se presenta como el incidente de seguridad más grande en la industria de las criptomonedas este año, con aproximadamente 293,7 millones de dólares drenados del protocolo de restaking líquido de KelpDAO. El ataque explotó vulnerabilidades en el contrato puente del protocolo, creando un efecto en cascada que se extendió a múltiples plataformas DeFi y expuso riesgos sistémicos críticos en la infraestructura de cadenas cruzadas.

La metodología del ataque fue sofisticada pero siguió un patrón familiar visto en exploits anteriores de puentes. El perpetrador aprovechó el puente comprometido para generar tokens rsETH no respaldados, que luego fueron depositados como garantía en los principales protocolos de préstamo, incluyendo Aave V3, Compound V3 y Euler. Al usar estos activos obtenidos ilícitamente, el atacante tomó prestados cantidades sustanciales de WETH y wstETH, creando más de $236 millones en deuda incobrable. Los fondos robados se dividieron entre la red principal de Ethereum y Arbitrum, con $178 millones y $72 millones respectivamente, demostrando la naturaleza de cadena cruzada del exploit.

Aave emergió como el protocolo más afectado, con aproximadamente 221,39 millones de dólares en garantía de rsETH contaminada utilizada para tomar prestados alrededor de 190,86 millones de dólares en WETH y 2,33 millones de dólares en wstETH en ambas instancias de Ethereum y Arbitrum. Los proveedores del protocolo publicaron un informe de incidentes que describe dos escenarios de deuda incobrable que van desde 123,7 millones hasta 230,1 millones de dólares, lo que llevó a medidas inmediatas de mitigación de riesgos, incluyendo el congelamiento de los mercados de rsETH en Aave V3 y V4. Esta acción evitó depósitos adicionales pero dejó expuestas las posiciones existentes, desencadenando una salida masiva de activos de usuarios por valor de 10,1 mil millones de dólares, ya que los depositantes se apresuraron a retirar sus fondos.

La contagión se extendió más allá de Aave a al menos nueve protocolos en total. Fluid confirmó que había pausado todos los mercados con posible exposición a rsETH, mientras que los socios de seguridad de Compound presentaron cuatro propuestas de gobernanza para ajustar los parámetros de riesgo en los Comets afectados. SparkLend congeló su exposición, y Euler tomó medidas para contener el riesgo en expansión. Este impacto entre protocolos resalta una vulnerabilidad fundamental en la arquitectura interconectada de DeFi, donde los activos profundamente integrados en préstamos, bóvedas y protocolos de liquidez pueden transmitir fallos de manera instantánea.

La respuesta de KelpDAO involucró pausas inmediatas en los contratos en la red principal y varias redes de capa 2 tras identificar actividad sospechosa de cadena cruzada. El equipo anunció asociaciones con LayerZero, Unichain, sus auditores y expertos en seguridad para realizar un análisis de causa raíz. Sin embargo, las comunicaciones entre KelpDAO y los protocolos afectados parecen haber sido tensas, con informes que indican que LayerZero no había emitido recomendaciones específicas para cambiar la configuración de rsETH DVN a pesar de tener un canal de comunicación abierto desde julio de 2024.

El incidente plantea serias preguntas sobre la seguridad de los puentes en el ecosistema de restaking. Como señalaron expertos en seguridad de Cyvers, la capacidad de crear activos sintéticos no respaldados a través de caminos de puente comprometidos y usarlos posteriormente para tomar prestados activos reales representa exactamente cómo estos exploits se escalan rápidamente. El ataque demuestra que distribuir activos en múltiples cadenas no distribuye el riesgo de manera proporcional, y que el diseño de los puentes se ha convertido en un componente inseparable de los perfiles de riesgo de los activos en DeFi.

Los observadores de la industria han notado paralelismos con el exploit anterior del Drift Protocol de $280 millones, que este ataque ha superado ahora. El patrón de usar garantías comprometidas para crear deuda incobrable en múltiples plataformas sugiere que los marcos actuales de gestión de riesgos pueden ser insuficientes para la complejidad del DeFi intercadena moderno. Se espera que la comunidad de Aave discuta si rsETH debería ser eliminado permanentemente de todos los mercados, siguiendo un patrón que ha surgido tras eventos anteriores de deuda incobrable.

Las secuelas continúan desarrollándose a medida que los protocolos evalúan su exposición e implementan medidas de remediación. El incidente sirve como un recordatorio contundente de que en el panorama interconectado de DeFi, la seguridad solo es tan fuerte como el eslabón más débil de la cadena de protocolos integrados. A medida que la industria enfrenta las implicaciones de este exploit, el enfoque se ha desplazado hacia el desarrollo de marcos de evaluación de riesgos de cadena cruzada más robustos y la mejora de la coordinación entre protocolos cuando se descubren vulnerabilidades.