Explotación de KelpDAO: $292M acuñados a través de un puente LayerZero 1-de-1, $177M en deuda morosa ahora recaen sobre Aave Umbrella La mayor extracción DeFi de 2026 no provino de un bug en el contrato. Provino de una sola línea de configuración. A las 17:35 UTC del 18 de abril, un atacante envió una llamada lzReceive falsificada a través del adaptador OFT de LayerZero de @KelpDAO y acuñó 116.500 rsETH no respaldados — aproximadamente el 18% de la oferta, ~$293,5M. Una sola transacción, una sola firma. Causa raíz: el adaptador rsETH estaba ejecutando requiredDVNCount: 1 con @LayerZero_Labs como único verificador. Un protocolo con TVL superior a $1B aseguró su puente con un único punto de fallo. El cobro fue clásico. En lugar de vender en liquidez de DEX, el atacante usó los tokens no respaldados como garantía: • Aave Ethereum: tomó prestados 52.834 WETH • Aave Arbitrum: 29.782 WETH + 821 wstETH • Posiciones menores en Compound V3 y Euler antes de que se congelaran Total prestado: $200M–$236M, los primeros movimientos se enrutarón a través de Tornado Cash en menos de 20 minutos. KelpDAO pausó los contratos en 46 minutos, pero las posiciones ya abiertas en prestamistas de terceros no pueden deshacerse. Aave, SparkLend, Fluid, Ethena, Yearn, Pendle, Beefy y Lombard congelaron toda la exposición a rsETH en cuestión de horas. Cada rsETH puenteado en ~20 L2s ahora está estructuralmente dañado. ¿Quién paga realmente los ~$177M de deuda morosa?: Los stakers de WETH en Aave Umbrella en Ethereum y Arbitrum. Este es el primer evento de slashing con dinero real de Umbrella: automatizado, proporcional, sin voto de gobernanza. Los fondos combinados tienen un TVL de ~$260M, lo que coloca la proporción de slashing entre el 60% y el 70%. Los stakers que obtenían unos puntos adicionales sobre aWETH están a punto de perder dos tercios de su posición en una noche. Los titulares de rsETH puenteado sufren un daño de nivel 2 con una reducción del 15–20%, mientras KelpDAO mantiene el rsETH mainnet intacto. La lección se repite. Los contratos funcionaron. EigenLayer estuvo bien. El protocolo LayerZero estuvo bien. El fallo estaba en la configuración — la parte del stack que los auditores no revisan. Antes de tratar un LRT puenteado como 1:1 con su versión mainnet, verifica cuántos DVNs lo aseguran. Esa es la diferencia entre una operación de rendimiento y una pérdida total. Gran informe de @defiprime 🔗 https://t.co/f20MPysRPm