#rsETHAttackUpdate

La industria de las finanzas descentralizadas ha enfrentado muchos incidentes de seguridad a lo largo de los años, pero la explotación del puente rsETH del 18 de abril de 2026 destaca como uno de los ataques más graves y educativos que ha visto el ecosistema. Esto no fue simplemente otro hackeo de protocolo; fue un ataque directo a la estructura de confianza que soporta las finanzas entre cadenas, la reapuesta líquida y los préstamos colaterales en Ethereum.

KelpDAO, uno de los protocolos de reapuesta líquida más importantes en el ecosistema de Ethereum, se convirtió en el centro de atención después de que los atacantes explotaran su infraestructura de puente impulsada por LayerZero y acuñaran 116,500 tokens rsETH no respaldados. El valor total de la explotación alcanzó aproximadamente 292 millones de dólares, convirtiéndolo en uno de los mayores ataques DeFi del año y uno de los ejemplos más peligrosos de fallo relacionado con puentes.

Para entender la magnitud de este evento, es importante comprender qué es el rsETH en sí. KelpDAO permite a los usuarios depositar ETH y recibir a cambio rsETH, un token de reapuesta líquida que representa Ethereum apostado, pero que aún permite a los usuarios desplegar ese valor en aplicaciones DeFi como préstamos, farming y estrategias de apalancamiento. Esto hace que rsETH esté altamente integrado en múltiples protocolos.

El problema comenzó en el sistema de verificación del puente. En lugar de un modelo de seguridad descentralizado robusto, el puente dependía de una configuración de verificación peligrosa de 1-de-1. Esto significaba que solo un validador era responsable de confirmar si un mensaje de transferencia entre cadenas era legítimo. Una vez que ese punto de confianza fue comprometido, el atacante obtuvo la capacidad de crear confirmaciones de transferencia falsas.

No fue necesario robar claves privadas. No fue necesario un error en un contrato inteligente. Los contratos funcionaron exactamente como estaban diseñados; la verdadera debilidad era el propio modelo de confianza.
Al falsificar un mensaje de puente falso, el atacante engañó al sistema para acuñar tokens rsETH que nunca estaban respaldados por depósitos reales de ETH. En términos simples, colateral falso entró en el sistema DeFi disfrazado de valor legítimo.

Lo que hizo que este ataque fuera especialmente estratégico fue el siguiente movimiento del atacante. En lugar de vender inmediatamente los rsETH robados y desplomar el precio del token, usaron los tokens recién acuñados como colateral en protocolos de préstamo como Aave y otras plataformas integradas. Esto les permitió tomar prestado ETH real y otros activos valiosos, mientras mantenían la calma del mercado temporalmente.

Este método creó un problema mucho más profundo que un simple dumping de tokens. Las plataformas de préstamo de repente se encontraron con pasivos respaldados por activos que nunca fueron reales. Aunque esos protocolos tenían sistemas de liquidación funcionales y verificaciones normales de colateral, seguían expuestos porque el colateral en sí era fraudulento.

Aave y varios mercados de préstamos respondieron rápidamente congelando las posiciones afectadas y pausando operaciones riesgosas. Los controles de emergencia ayudaron a prevenir una mayor expansión del daño, pero el problema de deuda incobrable ya había entrado en el sistema. Esto puso de manifiesto uno de los mayores riesgos ocultos de DeFi: la composabilidad.

Los protocolos DeFi están conectados como fichas de dominó. La debilidad de un protocolo puede convertirse rápidamente en la crisis de otro. La explotación de rsETH demostró que una falla en un puente no permanece aislada: se propaga a través de sistemas de préstamo, apalancamiento, staking y liquidez en todo el ecosistema.

Este evento también generó serias preocupaciones sobre los estándares de seguridad de los puentes en todo el mercado. Muchos protocolos se enfocan mucho en auditorías de contratos inteligentes, pero ignoran las suposiciones sobre validadores, dependencias de oráculos y estructuras de verificación de mensajes. En realidad, la configuración de confianza suele ser más peligrosa que las vulnerabilidades en el código.

Para los usuarios, la lección es clara: el riesgo en DeFi no solo se trata de la volatilidad del precio de los tokens. Incluye riesgos en infraestructura, exposición a puentes, suposiciones de confianza en validadores y dependencias ocultas entre protocolos.
Para los constructores, el mensaje es aún más fuerte. Los puntos únicos de fallo deben ser eliminados. La verificación con múltiples validadores, una arquitectura de puente más sólida, sistemas de respuesta de emergencia más lentos y controles de riesgo de colateral más estrictos ya no son opcionales: son necesarios para la supervivencia.

La explotación de rsETH duele, pero también es un llamado de atención. Cada ataque importante obliga a DeFi a madurar. Este puede convertirse en el momento que cambie permanentemente la forma en que la industria aborda la seguridad de los puentes.
Porque esto no fue solo una explotación de 292 millones de dólares.
Fue una advertencia para todo el mundo DeFi.
Y los protocolos que aprendan de ella sobrevivirán al próximo ciclo—mientras que aquellos que la ignoren podrían convertirse en el próximo titular.