El mayor robo de criptomonedas del año
El 18 de abril de 2026, unos atacantes robaron criptomonedas por un valor aproximado de US$290 millones de KelpDAO, un protocolo de finanzas descentralizadas construido sobre la red Ethereum. El hecho se convirtió en el mayor robo de activos digitales del año. LayerZero Labs, proveedor de infraestructura entre cadenas que quedó atrapado en el incidente, atribuyó el ataque a TraderTraitor, una unidad especializada del Grupo Lazarus de Corea del Norte, y citó indicios técnicos preliminares que apuntan a una operación estatal muy sofisticada. El robo se produjo apenas unas semanas después de que, presuntamente, los mismos actores de amenazas sustrajeran US$285 millones del protocolo Drift, lo que eleva a más de US$575 millones el total robado por hackers norcoreanos solo en abril.
Contenido
El ataque tuvo como objetivo rsETH, un token líquido de restaking emitido por KelpDAO que representa Ethereum en staking y genera rendimientos, pero que puede seguir utilizándose en otras aplicaciones descentralizadas. Al aprovechar debilidades en el proceso de verificación entre cadenas, los ladrones sustrajeron 116.500 tokens rsETH, valorados en unos US$293 millones, antes de blanquear parte de los fondos a través de Tornado Cash, un servicio de mezcla de criptomonedas diseñado para ocultar el rastro de las transacciones. Un panel de las Naciones Unidas había estimado anteriormente que Corea del Norte ha robado más de US$3.000 millones en criptomonedas desde 2017 y que utiliza esos ingresos ilícitos para ayudar a financiar su programa de desarrollo de armas nucleares.
Este incidente representa algo más que una actividad delictiva aislada. Analistas de seguridad lo consideran una prueba de que Pyongyang está intensificando su campaña contra el ecosistema de las finanzas descentralizadas, lo que deja al descubierto vulnerabilidades fundamentales en el funcionamiento de los puentes entre cadenas y los mecanismos de verificación. El robo ha conmocionado a la industria de las criptomonedas, llevó al gigante de los préstamos Aave a congelar mercados y provocó retiros por miles de millones de dólares de los protocolos afectados.
Cómo funcionó el ataque entre cadenas
KelpDAO opera como un protocolo de restaking líquido: permite a los usuarios depositar Ethereum y recibir a cambio tokens rsETH. Estos tokens derivados representan los activos subyacentes en staking y, al mismo tiempo, siguen generando recompensas a través de EigenLayer, una infraestructura de restaking en Ethereum. Gracias a capas de interoperabilidad como LayerZero, rsETH puede transferirse entre distintas redes de cadena de bloques. Esto aporta flexibilidad, pero también amplía la superficie potencial de ataque. Esta funcionalidad entre cadenas se convirtió en la puerta de entrada del mayor ataque contra criptomonedas registrado este año.
Los atacantes apuntaron a la Red de Verificadores Descentralizados (DVN, por sus siglas en inglés), encargada de validar mensajes entre distintas cadenas de bloques. En lugar de explotar un defecto en el código de los contratos inteligentes de KelpDAO, los hackers manipularon la infraestructura que respalda estas operaciones de verificación. Comprometieron nodos específicos de llamada a procedimiento remoto (RPC), que sirven como puntos de comunicación para que las aplicaciones lean datos de la cadena de bloques, e introdujeron datos falsos en la capa de verificación.
Para intensificar el ataque, los actores de amenazas lanzaron al mismo tiempo ataques distribuidos de denegación de servicio (DDoS) contra nodos RPC legítimos. Esta avalancha redujo la disponibilidad de fuentes de datos fiables y obligó al sistema a depender de los nodos comprometidos, que proporcionaban información falsa. En esencia, los atacantes envenenaron el proceso de validación y lograron que se aceptaran mensajes fraudulentos entre cadenas como si fueran legítimos, aunque las transacciones subyacentes nunca se habían producido realmente en la cadena de bloques.
Una vulnerabilidad crítica hizo posible el engaño. KelpDAO utilizaba una configuración de una sola DVN para sus operaciones entre cadenas, es decir, un único verificador comprobaba la validez de los mensajes, en lugar de exigir el consenso de varios validadores independientes. LayerZero afirmó que esta configuración creó un único punto de fallo y permitió que el mensaje falsificado pasara sin verificaciones adicionales. Los atacantes utilizaron una carga útil personalizada, diseñada específicamente para falsificar un mensaje dirigido a la DVN con un mínimo de alertas, lo que permitió transferir sin autorización tokens rsETH a billeteras bajo su control.
LayerZero y KelpDAO se responsabilizan mutuamente
Tras el robo, LayerZero y KelpDAO protagonizaron una disputa pública sobre quién es responsable de la brecha de seguridad. LayerZero sostiene que el incidente se debió por completo a la decisión de KelpDAO de operar con un solo verificador, pese a las recomendaciones de utilizar varias DVN independientes. La empresa señaló que ya había comunicado a KelpDAO las mejores prácticas para diversificar las DVN y que una configuración debidamente reforzada, que exigiera el consenso de varios verificadores, habría impedido el ataque.
LayerZero publicó un análisis técnico detallado del incidente, en el que explicó la metodología del ataque de suplantación de RPC y aseguró que no había riesgo de propagación a otros activos o aplicaciones entre cadenas que utilizan configuraciones diferentes. La empresa anunció que dejaría de firmar mensajes para aplicaciones con configuraciones de un solo verificador, a fin de prevenir incidentes similares. LayerZero identificó al actor de amenazas específico como TraderTraitor, un subgrupo del Grupo Lazarus conocido por atacar plataformas de criptomonedas.
KelpDAO cuestionó esta descripción y sostuvo que utilizaba la infraestructura de LayerZero desde enero de 2024 y que mantenía canales de comunicación abiertos con el equipo de LayerZero. Según KelpDAO, las dudas sobre la configuración de las DVN surgieron durante su expansión a la capa 2, y en ese momento se confirmó expresamente que las opciones predeterminadas eran adecuadas. El protocolo sostiene que la configuración predeterminada de LayerZero facilitó la configuración vulnerable y cuestiona que los usuarios deban asumir toda la responsabilidad por parámetros de seguridad que se presentaron como opciones estándar.
Al operar con una configuración que tenía un único punto de fallo, no había ningún verificador independiente que detectara y rechazara un mensaje falsificado. LayerZero y otras partes externas ya habían comunicado a KelpDAO las mejores prácticas para diversificar las DVN. Pese a esas recomendaciones, KelpDAO optó por una configuración de DVN de 1/1.
Expertos en seguridad han intervenido en el debate y han señalado que depender de que los usuarios lean la documentación y elijan manualmente opciones más seguras constituye un defecto fundamental de diseño en los sistemas descentralizados. David Schwed, director de operaciones de la empresa de seguridad para cadenas de bloques SVRN, observó que, si una configuración se considera insegura, no debería ofrecerse como opción. Esto refleja una tensión más amplia en el ecosistema Web3 entre los ideales de descentralización y la necesidad práctica de establecer opciones predeterminadas seguras.
Impacto en cadena en las finanzas descentralizadas
El robo tuvo repercusiones mucho más allá de KelpDAO y puso de manifiesto la interconexión de los protocolos actuales de finanzas descentralizadas. Como rsETH se utiliza como garantía en varias plataformas de préstamos, el ataque generó un riesgo sistémico que se propagó por el ecosistema en cuestión de horas. Aave, uno de los mayores protocolos descentralizados de préstamos, registró una caída de casi US$8.000 millones en el valor total bloqueado, mientras los inversionistas se apresuraban a retirar sus activos. El protocolo congeló los mercados de rsETH en Ethereum, Arbitrum, Base, Mantle y Linea para impedir una mayor exposición.
Los atacantes demostraron una ingeniería financiera sofisticada al depositar los rsETH robados como garantía en Aave v3 y pedir prestado Ether envuelto, lo que generó una deuda de unos US$195 millones en la plataforma. Mientras los usuarios se apresuraban a retirar sus activos para evitar posibles pérdidas, los fondos de préstamos de Aave v3 alcanzaron su capacidad máxima, lo que bloqueó temporalmente el acceso a más de US$5.100 millones en monedas estables. Los protocolos Compound y Euler también informaron de consecuencias del incidente, aunque adoptaron medidas de emergencia para limitar su propagación.
El fundador de Cardano, Charles Hoskinson, analizó el ataque durante una transmisión en directo y distinguió entre el robo inicial y la posterior propagación a través de los mercados de préstamos. Señaló que la novedad no estaba en la falsificación del puente en sí, sino en la manera en que el atacante utilizó los rsETH robados como garantía para pedir prestados activos líquidos, transformando un robo simple en una crisis de balance para al menos nueve protocolos. Esta segunda vía de ataque convirtió una garantía contaminada en un arma contra el ecosistema DeFi en general.
El mercado reaccionó con brusquedad a la noticia. El precio del token rsETH fluctuó entre US$1.600 y US$2.500 durante las primeras 24 horas, mientras los proveedores de liquidez retiraban su respaldo. El valor total bloqueado en DeFi cayó unos US$13.000 millones en las 48 horas posteriores al incidente. El Consejo de Seguridad de Arbitrum logró congelar aproximadamente 30.766 ETH, equivalentes a US$71 millones y cerca de una cuarta parte de los fondos robados, aunque la mayoría siguió bajo el control de los atacantes.
El Grupo Lazarus y los robos patrocinados por un Estado
La atribución al Grupo Lazarus de Corea del Norte encaja en un patrón bien establecido de robos de criptomonedas patrocinados por el Estado, destinados a eludir las sanciones internacionales y financiar programas de armamento. TraderTraitor, el subgrupo identificado en este ataque, ha sido vinculado a varios robos de gran magnitud en los últimos años, incluido el de US$1.500 millones a Bybit a principios de 2026, considerado el mayor robo de criptomonedas de la historia. Los observadores de las Naciones Unidas han documentado cómo Pyongyang destina directamente estos ingresos ilícitos al desarrollo de armas nucleares y misiles balísticos.
Investigadores de seguridad señalan que las operaciones cibernéticas de Corea del Norte han pasado de ataques oportunistas contra casas de cambio a intrusiones sofisticadas y metódicas contra la infraestructura fundamental de las finanzas descentralizadas. Alexander Urbelis, director de seguridad de la información de ENS Labs, describió estos incidentes no como hechos aislados, sino como una serie sostenida de operaciones. Subrayó que grupos como Lazarus no solo se enriquecen con los robos, sino que también mejoran sus capacidades: utilizan los recursos sustraídos para ampliar sus herramientas, perfeccionar sus técnicas y reinvertir en futuras campañas.
Estos entornos no están siendo puestos a prueba por actores que roban y huyen, sino que están bajo la presión de adversarios disciplinados que saben cómo encadenar puntos débiles en la infraestructura, las aplicaciones y las relaciones de confianza.
La metodología del ataque revela una evolución en las estrategias del Grupo Lazarus. En lugar de explotar vulnerabilidades en los contratos inteligentes o robar claves privadas, el grupo ha empezado a centrarse en la infraestructura entre cadenas y de restaking, es decir, en los componentes que conectan distintas redes de cadenas de bloques. Estas capas son técnicamente complejas, suelen concentrar un valor considerable y tienden a ser más difíciles de vigilar que las aplicaciones visibles. Al comprometer la infraestructura de verificación, en lugar de la lógica de las aplicaciones, los atacantes demostraron conocer en profundidad cómo los sistemas descentralizados confían en la información y la validan.
Henri Arslanian, cofundador de Nine Blocks Capital Management, expresó plena certeza sobre la atribución. «Ningún otro grupo del mundo tiene la experiencia y la capacidad para llevar a cabo un ataque de este tipo», afirmó. También señaló que la sofisticación técnica y la seguridad operativa demostradas en el ataque a KelpDAO son propias de actores estatales. El uso de Tornado Cash para blanquear los fondos, junto con un ataque de varias etapas que combinó el compromiso de la infraestructura y elementos de ingeniería social, respalda esta evaluación.
Intentos de negociación y lecciones de seguridad
En un gesto inusual, Justin Sun, multimillonario fundador de Tron Network, pidió públicamente a los hackers que devolvieran los fondos robados. En redes sociales, Sun se ofreció a negociar directamente con los atacantes y les preguntó cuánto querían, al tiempo que argumentó que no valía la pena sacrificar tanto Aave como KelpDAO. Su intervención puso de relieve la gravedad del riesgo sistémico que planteó el ataque, sobre todo porque direcciones vinculadas a HTX, la casa de cambio propiedad de Sun, habían enviado cientos de millones a cuentas de Aave.
Hacker de KelpDAO, ¿cuánto quieres? Hablemos. Con la ayuda de KelpDAO, por supuesto. Simplemente no vale la pena sacrificar tanto Aave como KelpDAO y dejar que se hundan por este ataque. De todos modos, no puedes gastar US$300 millones.
El incidente ha desatado un intenso debate en la comunidad de seguridad de las cadenas de bloques sobre el equilibrio entre descentralización y seguridad. Charles Hoskinson sostuvo que el fallo estaba en la lógica de verificación, no en la lógica de la aplicación, y señaló que una configuración con tres verificadores de cinco, en lugar de una de uno de uno, habría impedido la falsificación. Esta crítica se extiende al ecosistema de Ethereum en general, donde las complejas interacciones entre cadenas generan dependencias capaces de amplificar los puntos únicos de fallo.
Profesionales de seguridad promueven arquitecturas de confianza cero, que dan por hecho que se producirán intrusiones y aplican verificaciones estrictas en entornos complejos. Entre las medidas recomendadas figuran reforzar los puntos de acceso RPC, implementar mecanismos de consenso multipartitos, establecer defensas sólidas contra ataques DDoS e introducir disyuntores que puedan pausar automáticamente las transacciones cuando se detecten anomalías. El ataque a KelpDAO demuestra que, en las finanzas descentralizadas, la solidez de toda la cadena depende de los controles de cada eslabón y que, cuando uno falla, las consecuencias se propagan rápidamente.
Para quienes se incorporan al mundo DeFi, el robo es un contundente recordatorio de que la descentralización no es una característica binaria, sino una serie de decisiones sobre la confianza y la verificación. Mientras las operaciones cibernéticas de Corea del Norte siguen adaptándose y expandiéndose, la industria afronta una presión cada vez mayor para establecer la seguridad como opción predeterminada y no como mera recomendación, de modo que las opciones más seguras sean las más fáciles de usar y no queden ocultas en la documentación técnica.
Lo esencial
- Se sospecha que el Grupo Lazarus de Corea del Norte, en concreto el subgrupo TraderTraitor, robó de KelpDAO unos US$290 millones en tokens rsETH el 18 de abril de 2026
- El ataque aprovechó una configuración de un solo verificador en la infraestructura entre cadenas de KelZero, lo que permitió a los hackers falsificar mensajes de verificación y sustraer fondos
- Los atacantes comprometieron nodos RPC y lanzaron ataques DDoS para obligar al sistema a depender de fuentes de datos contaminadas
- El robo provocó una propagación sistémica en DeFi, obligó a Aave a congelar mercados y desencadenó retiros por US$8.000 millones de los protocolos de préstamos
- LayerZero y KelpDAO se han responsabilizado mutuamente en público: LayerZero señala que se eligió una configuración insegura y KelpDAO afirma que siguió las opciones predeterminadas
- El incidente es el segundo gran robo de criptomonedas atribuido a Corea del Norte en abril de 2026, después del robo de US$285 millones al protocolo Drift
- El Consejo de Seguridad de Arbitrum ha congelado aproximadamente US$71 millones de los fondos robados, mientras que la mayoría se blanqueó a través de Tornado Cash
- Paneles de las Naciones Unidas estiman que Corea del Norte ha robado más de US$3.000 millones en criptomonedas desde 2017 para financiar el desarrollo de armas nucleares
