2.92 mil millones de dólares puente cruzado de KelpDAO robado: ¿quién debería pagar por esto?

El 18 de abril de 2026, un atacante robó 116,500 rsETH, valorados en aproximadamente 292 millones de dólares, en 46 minutos desde el puente cross-chain de KelpDAO. Este es el mayor incidente de seguridad en DeFi hasta la fecha en 2026. Los tokens robados fueron inmediatamente depositados en protocolos de préstamo como Aave V3 como colateral, prestando aproximadamente 236 millones de dólares en ETH, lo que causó entre 177 y 200 millones de dólares en deudas incobrables en la plataforma Aave, desencadenando una reacción en cadena que afectó a más de nueve protocolos DeFi, con una evaporación de aproximadamente 60 mil millones de dólares en TVL (Total Value Locked) en una sola noche.

El relato del incidente ha sido ampliamente reportado, por lo que no se repetirá aquí. De hecho, el autor mismo tiene varios miles de dólares bloqueados que no puede retirar… por lo que tiene mucho interés en investigar. Lo que se abordará en este artículo es una cuestión diferente: desde la perspectiva del derecho civil, ¿quién debería asumir la responsabilidad? ¿Pueden las víctimas realmente obtener compensación?

La respuesta es mucho más compleja que las acusaciones mutuas iniciales en la comunidad cripto. Tras un análisis sistemático del marco legal aplicable, creo que: KelpDAO y LayerZero Labs comparten responsabilidad por culpa concurrente (concurrent liability), con una proporción de culpa aproximada de 60% para KelpDAO y 40% para LayerZero; además, las cláusulas de límite de responsabilidad en los términos de servicio de ambos protocolos son casi seguramente inaplicables.

Cuestión central de responsabilidad: dos fallos, un ataque

La discusión en torno a este ataque siempre comienza con la misma controversia: ¿fue culpa de KelpDAO (que eligió una configuración DVN 1-de-1), o de LayerZero (que operaba la infraestructura RPC del DVN y fue envenenada)?

La respuesta es: ambas tienen responsabilidad.

(a) ¿Qué hizo mal KelpDAO?

El protocolo de mensajes cross-chain de LayerZero utiliza una red de validadores descentralizados (DVN, Decentralized Verifier Network) para verificar si los mensajes enviados de una blockchain a otra son auténticos. Este protocolo fue diseñado para ser altamente flexible: cada aplicación desplegada en LayerZero puede elegir cuántos DVN deben alcanzar consenso para confiar en un mensaje. La documentación de LayerZero recomienda al menos usar una configuración 2-de-3, es decir, que al menos dos de tres validadores independientes confirmen el mensaje antes de aceptarlo.

KelpDAO eligió la configuración más baja posible: 1-de-1. Un solo validador. Sin tolerancia a fallos.

Esto significa que cualquiera que logre hackear, engañar o manipular a ese único validador puede falsificar cualquier mensaje cross-chain, incluyendo uno que indique que el puente de KelpDAO libere todos sus rsETH a una dirección controlada por el atacante. Y eso fue exactamente lo que ocurrió.

Es absurdo: el puente de KelpDAO bloquea en más de veinte redes blockchain un valor total de aproximadamente 1.6 mil millones de dólares. El protocolo optó por un punto único de fallo (single point of failure) para proteger estos activos, como si usara una cerradura para un banco, cuando el fabricante recomienda claramente usar al menos un sistema de triple cerradura.

Desde la perspectiva del derecho de responsabilidad por daños (tort law), este análisis es bastante directo. La «Restatement (Second) of Torts» (Reformulación [1]Segunda[2] de los daños) define la negligencia (negligence) como una conducta que está por debajo del estándar de cuidado establecido por la ley para proteger a otros de daños por riesgos no razonables. [3] Para un profesional, la gestión de activos de decenas de miles de millones de dólares en protocolos, sin duda, se considera una conducta negligente, elevando el estándar de cuidado a las habilidades y conocimientos que normalmente posee un profesional del sector. ###

El marco clásico de análisis de riesgo-utilidad fue propuesto por el juez Learned Hand en la Segunda Corte de Apelaciones Federal de EE. UU. en el caso «Carroll Towing Co.»: si el costo de prevenir (B) es menor que la probabilidad de que ocurra un daño (P) multiplicada por la magnitud del daño (L), entonces no tomar la prevención constituye negligencia. Es decir, cuando B < P×L, no actuar es negligente.

En este caso, la ecuación no deja lugar a dudas:

• P (probabilidad): los ataques a puentes cross-chain son uno de los tipos de ataque más comunes y con mayores pérdidas en DeFi. Wormhole (320 millones de dólares, 2022), Ronin (625 millones, 2022), Nomad (190 millones, 2022), y Drift Protocol (285 millones, 2026-04-01, solo 17 días antes del ataque actual) muestran que la seguridad en los puentes es una amenaza conocida y activa.

• L (magnitud del daño): pérdida directa de 292 millones de dólares, más las deudas en cascada en protocolos downstream por varios cientos de millones.

• B (costo de prevención): cambiar la configuración del DVN del puente de 1-de-1 a 2-de-3. Costo adicional: un pequeño retraso en la validación (unos segundos) y los costos del DVN (que, en relación con el valor protegido, son insignificantes).

Ningún operador racional de protocolos puede defenderse usando una configuración 1-de-1 para activos de tal escala. El costo de prevención es mínimo, y el daño esperado sería catastrófico.

Es importante señalar que las prácticas del sector ofrecen una referencia relevante. SparkLend establece un LTV (Loan-to-Value) para rsETH del 72%, Fluid del 75%, ambos muy por debajo del 93% de Aave. Esta actitud conservadora refleja la percepción del riesgo de la comunidad respecto a los riesgos de puenteo de rsETH. Si incluso los protocolos de préstamo son cautelosos con el riesgo de puenteo de rsETH, el operador del puente en sí, KelpDAO, debería tener estándares de seguridad aún más altos. Pero, en realidad, la opción elegida fue la configuración de menor seguridad.

Otra defensa importante a discutir es la de transparencia en la cadena (on-chain transparency). La configuración DVN 1-de-1 es datos públicos en la cadena, y cualquier usuario con suficiente capacidad técnica puede verificar los parámetros de seguridad del puente consultando el contrato LayerZero EndpointV2. KelpDAO podría argumentar que, dado que la configuración es pública, los usuarios tienen la oportunidad (y la responsabilidad) de evaluar la seguridad del puente antes de depositar activos. Esto constituye una defensa de asunción de riesgo (assumption of risk), diferente de la renuncia contractual en los términos de servicio (que se analizará en la segunda parte). La fuerza de esta defensa depende de cómo los tribunales interpreten el estándar de «razonabilidad» de los usuarios de DeFi, y si se puede esperar que un usuario promedio revise los parámetros de seguridad del puente antes de depositar. Para los usuarios institucionales y las «ballenas» con alta capacidad técnica, esta defensa puede ser efectiva; para los minoristas, su fuerza se reduce considerablemente.

[4] (b) ¿Qué hizo mal LayerZero?

Pero la configuración elegida por KelpDAO por sí sola no explica la pérdida. La vulnerabilidad adicional fue que el atacante engañó a LayerZero para que firmara una validación de una transacción que nunca ocurrió, mediante la manipulación de la infraestructura RPC del DVN. Aquí radica la clara responsabilidad legal de LayerZero.

Según un análisis detallado publicado por la firma de seguridad SlowMist, fundada por Cos (el creador de SlowMist), [5] esta vez el ataque no fue una ruptura de las claves del DVN ni una explotación lógica del protocolo LayerZero. El atacante apuntó a la fuente de datos upstream del DVN: los nodos RPC que leen el estado de la blockchain.

El ataque se realizó en cinco pasos:

• El atacante obtuvo la lista de nodos RPC utilizados por el DVN de LayerZero.

• Hackeó dos clústeres independientes de nodos RPC, reemplazando los binarios legítimos de op-geth por versiones con malware.

• Los binarios infectados implementaron un engaño selectivo: solo respondían con datos falsificados a solicitudes provenientes de IPs del DVN. Todas las demás IPs, incluyendo los servicios de monitoreo de LayerZero, recibían datos reales. Este patrón de respuesta selectiva basado en IP hacía que la manipulación fuera completamente invisible a los sistemas de monitoreo habituales.

• El atacante lanzó un ataque DDoS contra los nodos RPC no comprometidos, forzando al DVN a hacer failover a los nodos envenenados.

• Tras la firma de la validación falsa, el binario malicioso se autodestruyó y borró todos los logs, eliminando las evidencias forenses.

Este punto es crucial: LayerZero opera ese DVN. No es un software pasivo desplegado por KelpDAO, sino que LayerZero administra activamente la infraestructura de validación, elige los proveedores de RPC, configura la lógica de failover y firma las pruebas de validación. Cuando el DVN lee datos falsificados de los nodos RPC envenenados y firma validaciones para transacciones inexistentes, la responsabilidad recae en la infraestructura operada por LayerZero.

Además, este vector de ataque no es nuevo. Como señala Cos: «Los ataques de envenenamiento RPC son una técnica antigua, que los exchanges han enfrentado hace años». [6]

Según la «Restatement (Second) of Torts», un actor debe reconocer los riesgos que un racional en su posición debería identificar. ( El envenenamiento RPC es una categoría de ataque bien documentada en la comunidad de seguridad blockchain. Un proveedor de infraestructura razonable que opere un DVN para proteger activos cross-chain por valor de miles de millones de dólares debería haber implementado contramedidas, incluyendo: )a( La utilización de múltiples proveedores independientes y dispersos geográficamente para RPC; )b( La implementación de validaciones cruzadas entre nodos RPC para detectar inconsistencias; )c( La monitorización de patrones de respuesta selectiva basada en IP; )d[7] La reforzada lógica de failover para evitar volver a nodos no confiables bajo DDoS; ###e[8] La detección de anomalías en las solicitudes de validación DVN (por ejemplo, marcar transferencias de grandes cantidades).

Además, el principio de no delegabilidad (non-delegable duty doctrine) también aplica en este caso. Según la «Restatement [9]Second[10] of Torts», ciertas funciones críticas de seguridad no pueden ser completamente delegadas a terceros, y quien asuma esa obligación tiene la responsabilidad de asegurarse de cumplirla adecuadamente. [11] Cuando LayerZero afirma ser una infraestructura de validación de alto valor para transacciones cross-chain, no puede simplemente señalar a los proveedores de RPC como contratistas independientes para evadir responsabilidad. LayerZero eligió estos proveedores, configuró el failover y operó los nodos de validación. La responsabilidad recae en los operadores.

Un ejemplo clásico en el derecho tradicional es la responsabilidad de los operadores de infraestructura financiera. SWIFT, por ejemplo, proporciona la infraestructura de mensajería para bancos globales. Si la validación de mensajes de SWIFT fuera comprometida y se ejecutaran instrucciones de transferencia falsas, SWIFT no podría simplemente alegar que «el protocolo en sí no tiene vulnerabilidades» y quedar exento de responsabilidad; opera la infraestructura de validación y esa operación conlleva un deber de cuidado proporcional al valor protegido. LayerZero en el ecosistema DeFi es muy similar: no es solo un proveedor de software, sino que opera la infraestructura de validación de mensajes cross-chain.

El aviso constructivo (constructive notice) en el caso de Drift Protocol también debe considerarse. El 1 de abril de 2026, Drift sufrió un ataque cross-chain por 285 millones de dólares, solo 17 días antes del ataque a KelpDAO. Aunque los vectores específicos pueden diferir (esto requiere mayor análisis), envió una señal clara a toda la industria de infraestructura cross-chain: la infraestructura de puentes está siendo objeto de ataques avanzados persistentes (APT). En este contexto, LayerZero, como uno de los protocolos de mensajes cross-chain más grandes, debería haber estado en alerta máxima. La falta de reforzar la seguridad de la infraestructura RPC tras el ataque a Drift refuerza la negligencia.

El argumento más fuerte de LayerZero para defenderse es la complejidad del atacante estatal. La combinación del ataque —reemplazo de binarios, engaño selectivo basado en IP, DDoS, autodestrucción— representa un nivel de sofisticación cercano a un ataque de cadena de suministro como SolarWinds. Según la «Restatement [12]Second( of Torts», los riesgos asociados a intervenciones altamente anómalas están fuera del alcance de una prevención razonable. Si los tribunales consideran que la complejidad del ataque excede los estándares de cuidado razonables para proveedores de infraestructura privada, la responsabilidad por negligencia de LayerZero podría reducirse o incluso eximirse.

Pero también hay argumentos en contra: como señala Cos, cada componente individual del ataque es conocido y documentado. La envenenamiento RPC, el DDoS, el reemplazo de binarios son técnicas conocidas. Un operador razonable de infraestructura debería haber implementado defensas contra estos riesgos conocidos, incluso si no pudo prever la combinación específica.

) © Causalidad concurrente y distribución del 60/40 de culpa

Este es un caso típico de causalidad concurrente. La configuración DVN 1-de-1 de KelpDAO y la falla en la infraestructura RPC de LayerZero son condiciones necesarias para que el ataque tenga éxito. Quitar cualquiera de ellas habría evitado el ataque:

• Si KelpDAO hubiera usado una configuración 2-de-3 con infraestructura RPC independiente, el atacante habría tenido que hackear múltiples caminos de validación independientes, aumentando mucho el costo y la dificultad del ataque.

• Si LayerZero no hubiera sido engañado por la manipulación de RPC, la configuración 1-de-1 en sí misma habría funcionado correctamente, sin permitir mensajes no autorizados.

Según la «Restatement [13]Second[14] of Torts», cuando dos o más causas contribuyen a un daño indivisible, cada una se considera una «factor sustancial» (substantial factor) y cada responsable debe responder por la totalidad del daño. [15] La conducta del atacante no interrumpe la cadena causal, ya que el ataque a un punto único de fallo en el puente es precisamente un riesgo previsible que la recomendación de múltiples DVN busca prevenir. [16]

Los estados de Nueva York y California, en la jurisdicción más probable para este tipo de demandas, aplican un sistema de culpa comparativa pura (pure comparative fault). [17] Esto significa que la responsabilidad de cada demandado se reduce en proporción a su culpa, pero no se exime completamente.

¿Cómo se distribuye la culpa? Estimo aproximadamente un 60% para KelpDAO y un 40% para LayerZero, por tres razones:

• Primera, KelpDAO tomó una decisión activa, eligiendo la configuración 1-de-1 a pesar de la recomendación clara de LayerZero de usar al menos 2-de-3. Esto es una decisión de gobernanza, no una restricción técnica impuesta por LayerZero. La capacidad de optar por una configuración más segura existía y no se usó. Esta elección activa tiene peso importante en cualquier análisis de culpa comparativa.

• Segunda, la configuración 1-de-1 fue la condición fundamental para que el ataque fuera posible. Sin ella, el atacante enfrentaría un desafío mucho mayor (y más difícil). La envenenamiento RPC solo fue exitoso porque solo había una ruta de validación que hackear. La configuración con múltiples infraestructuras independientes crea una defensa en profundidad que este ataque no puede superar.

• Tercero, la responsabilidad de LayerZero no puede ser cero. LayerZero opera la infraestructura comprometida, eligió los proveedores de RPC, configuró el failover y firma las validaciones. Cuando lee datos falsificados y firma validaciones para transacciones inexistentes, la responsabilidad recae en la infraestructura operada por LayerZero.

La asignación del 40% refleja una realidad: operó infraestructura fallida, utilizó arquitecturas con vulnerabilidades conocidas y no implementó contramedidas estándar contra ataques documentados. La responsabilidad de los proveedores de RPC, en la práctica, puede quedar en segundo plano, en un proceso de contribución entre LayerZero y los afectados, pero no como la principal vía de recuperación para las víctimas.

¿Pueden los términos de servicio salvarlos?

Tanto KelpDAO como LayerZero mantienen términos de servicio (ToS) con límites de responsabilidad extremadamente agresivos. KelpDAO establece un límite máximo de responsabilidad equivalente a la suma pagada en los últimos doce meses o 200 dólares, lo que sea mayor. [18] LayerZero fija un límite de 50 dólares. [19] Ambos incluyen cláusulas estándar de «tal cual» (as is) y amplias exenciones de responsabilidad y riesgos asumidos.

Si estos límites fueran válidos, toda la discusión civil anterior sería irrelevante. Un límite de 200 dólares frente a una pérdida de 292 millones de dólares hace que KelpDAO sea prácticamente inmunizable frente a cualquier reclamación significativa.

Pero estos límites no serán respaldados por los tribunales. Las razones son las siguientes.

(a) Principio de manifiesta desequidad (unconscionability)

La ley contractual reconoce que algunas cláusulas son tan profundamente injustas que los tribunales se niegan a hacerlas cumplir. El principio de manifiesta desequidad (unconscionability) está claramente establecido en la «Restatement ###Second[20] of Contracts», que permite a los tribunales anular cláusulas contractuales que sean tanto procedimental como sustancialmente injustas. [21]

La injusticia procedimental (procedural unconscionability) evalúa si hubo una negociación significativa o una oportunidad de rechazo. Los términos de servicio en DeFi son típicamente contratos de adhesión (adhesion contracts): se presentan en un formato en el que el usuario o acepta o abandona, sin oportunidad de negociar, y suelen estar enterrados en páginas profundas del sitio web. La mayoría de los usuarios de DeFi interactúan directamente con contratos inteligentes a través de carteras como MetaMask, sin haber revisado ni siquiera el sitio web del protocolo, mucho menos los términos de servicio.

La distinción legal entre «clickwrap» (clic de aceptación) y «browsewrap» (navegación y aceptación implícita) está bien establecida. $200 En el caso «Specht v. Netscape», el juez Sotomayor (ahora juez de la Corte Suprema) dictaminó que un enlace a los términos en un contrato de aceptación mediante clic no es suficiente si no es destacado. En «Nguyen v. Barnes & Noble», la novena corte también dictaminó que los términos deben ser claramente notificados y revisables; simplemente estar en el sitio web no basta.

Las interacciones en DeFi se asemejan más a la situación en «Specht» que a la de «Meyer v. Uber» (en la que un aviso destacado con enlace claro fue considerado válido). La interacción con contratos inteligentes en cadena no ha sido aún claramente decidida por los tribunales, pero la jurisprudencia existente favorece que los términos de servicio no sean considerados aceptados sin una conducta afirmativa del usuario.

La injusticia sustancial (substantive unconscionability) evalúa si la cláusula es tan desproporcionada que «asombra la conciencia» (shock the conscience). Un límite de responsabilidad de 200 dólares frente a una pérdida de 292 millones de dólares, en una proporción de aproximadamente 1:1,460,000, es un ejemplo clásico de injusticia sustancial. El límite de 50 dólares de LayerZero es aún más extremo. En el caso «Williams v. Walker-Thomas Furniture», la corte estableció que cuando una parte no tiene una opción significativa, los tribunales no harán cumplir cláusulas que sean claramente injustas en su favor. La nota en la «Restatement» confirma que una disparidad grave en el intercambio es evidencia directa de injusticia sustancial. [21]

(b) Excepción de negligencia grave (gross negligence)

Incluso si los tribunales consideran que los límites de responsabilidad son generalmente ejecutables, no protegen en casos de negligencia grave o conducta intencional (willful misconduct). Esto es un principio establecido en las leyes de Nueva York y Delaware.

La «Restatement [22]Second[23] of Contracts» establece que las cláusulas que eximen de responsabilidad por conducta temeraria (reckless) o intencional son inaplicables por motivos de política pública. [24] La Corte de Apelaciones de Nueva York ha reiterado que las cláusulas de exención no cubren negligencia grave, y se aplican los estándares de «reconocimiento consciente del riesgo» (reckless disregard). (

¿Es la configuración 1-de-1 de KelpDAO una negligencia grave? La respuesta es convincente. La negligencia grave requiere una indiferencia temeraria hacia riesgos conocidos y sustanciales, más allá de una simple falta de cuidado. Elegir la configuración de menor seguridad para una puente que protege más de mil millones de dólares viola claramente las recomendaciones explícitas del proveedor. La diferencia entre 1-de-1 (sin tolerancia a fallos) y 2-de-3 (33% tolerancia) no es una diferencia marginal, sino una diferencia sustancial.

Si un tribunal calificara la decisión 1-de-1 como negligencia grave en lugar de simple negligencia, los límites de responsabilidad de 200 dólares serían inválidos, independientemente del análisis de injusticia.

La excepción de negligencia grave es importante porque evita la disputa sobre la validez de los límites de responsabilidad. Incluso si los tribunales consideran que los usuarios aceptaron los términos (por ejemplo, mediante mecanismos de clickwrap), la excepción de negligencia grave se aplica de forma independiente. Es una política pública (public policy doctrine) que no puede ser limitada por acuerdo. En la ley de Nueva York, esta doctrina ha sido reiteradamente confirmada y representa la segunda línea de ataque más sólida contra cláusulas de limitación de responsabilidad.

) © Rechazo por la ley de valores (securities law)

Existe una tercera vía para invalidar los límites de responsabilidad, y es la más poderosa.

Si rsETH fuera clasificado como un valor (security) bajo la ley federal, entonces las cláusulas de límite de responsabilidad y arbitraje serían inválidas por operación de la ley. La «Securities Act» establece que «cualquier condición, regla o acuerdo que restrinja a cualquier persona de cumplir con cualquier disposición de esta ley será nulo». ( La «Exchange Act» tiene una cláusula similar. ) Estas cláusulas no pueden ser evitadas por contrato y prevalecen sobre la «Federal Arbitration Act». No están sujetas a análisis de manifiesta desequidad (unconscionability) estatal. Son mandatos imperativos del derecho federal.

¿Cumple rsETH con la definición de valor (security)? Según el test de Howey, un contrato de inversión (investment contract) existe si se cumplen los siguientes elementos: (1) Inversión de dinero, (2) en una empresa común, [25]3[26] con expectativa de ganancias, [27]4[28] derivadas del esfuerzo de otros.

rsETH cumple con todos los requisitos. Los usuarios depositan ETH (inversión de dinero) en una estrategia de staking colectivo en EigenLayer (empresa común). rsETH genera beneficios mediante recompensas de staking (expectativa de ganancias). La estrategia de staking, la selección del operador y la infraestructura de puente son gestionadas completamente por el equipo de KelpDAO, sin control alguno por parte de los poseedores individuales (que dependen del esfuerzo de otros).

Lo complejo es la división de derechos en el caso Ripple (split holding). [29] En 2023, un tribunal del distrito sur de Nueva York distinguió entre ventas directas a instituciones (que serían valores) y ventas en mercado secundario (que no). La mayoría de las transacciones de rsETH ocurren en mercado secundario, en exchanges descentralizados, depósitos en Aave, etc., no en compras directas a KelpDAO. Bajo el marco Ripple, los compradores en mercado secundario podrían no cumplir con el elemento de «esfuerzo de otros». Pero Ripple aún está en apelación ante la segunda corte, y la aplicabilidad a tokens líquidos de staking aún no ha sido decidida.

Si la clasificación como valor prospera, cambiará radicalmente el esquema de reclamaciones. Los límites de responsabilidad en los términos de servicio desaparecerán. Los acuerdos de arbitraje también. Los compradores directos podrán ejercer derechos de rescisión (rescission rights). [30] Los compradores que basaron sus compras en declaraciones de seguridad de KelpDAO podrán presentar reclamaciones por fraude (fraud claims). [31]

Aquí es importante explicar la potencia de esta herramienta legal: en EE. UU., las cláusulas de arbitraje y las renuncias a acciones colectivas (class action waivers) gozan de protección fuerte. La Corte Suprema en «AT&T v. Concepcion» [32] y «Epic Systems v. Lewis» ### estableció que la Ley Federal de Arbitraje (FAA) prevalece sobre las leyes estatales que invalidan cláusulas de renuncia a acciones colectivas. En «American Express v. Italian Colors», la Corte limitó aún más la «doctrina de reparación efectiva» (effective vindication doctrine), estableciendo que solo cuando la cláusula de arbitraje impide la presentación de derechos legales puede ser invalidada. La alta carga de costos en litigios no es suficiente para invalidar.

Esto significa que, si la cláusula de arbitraje de LayerZero es válida, obligará a las víctimas a arbitrar individualmente, con un límite de 50 dólares por reclamación, lo que en la práctica equivale a una barrera total a la responsabilidad. Ningún demandante racional iniciaría un arbitraje por 50 dólares.

Pero la ley de valores (securities law) ofrece una vía para sortear esta barrera: si rsETH es clasificado como valor, las cláusulas de limitación y arbitraje son inválidas por ley, sin necesidad de demostrar manifiesta desequidad. La ley federal las anula directamente. Esto sería la «nuclear option» del análisis.

¿Cumple rsETH con la definición de valor? Según el test de Howey, sí. La inversión en ETH en un esquema colectivo, con expectativa de ganancias derivadas del esfuerzo de otros, cumple todos los elementos. La dificultad radica en si la venta en mercado secundario (en exchanges, en Aave) se considera una venta en la que no se cumple el elemento de esfuerzo de otros, especialmente en el caso Ripple, donde la división de derechos puede ser interpretada en contra. La apelación en curso puede cambiar esta interpretación.

Si rsETH se clasifica como valor, toda la estructura de reclamaciones cambia: los límites desaparecen, los acuerdos de arbitraje y las renuncias colectivas también. Los compradores directos tendrían derechos de rescisión y podrían presentar reclamaciones por fraude, incluso sin demostrar manifiesta desequidad.

Este análisis revela que la clasificación como valor es la «arma nuclear» en la disputa legal, y que la decisión en ese sentido puede alterar radicalmente el escenario de responsabilidad y recuperación.

¿Y qué pasa con los proveedores de infraestructura RPC? Son actores en la cadena de responsabilidad. Ellos proporcionan los datos falsificados que envenenaron la infraestructura RPC. Su responsabilidad, sin embargo, está limitada por varios factores.

Según la «Restatement ###Second[33] of Torts», en el contexto comercial, los proveedores de información que no ejercen un cuidado razonable pueden ser responsables por daños económicos derivados de una confianza razonable en sus datos, pero solo respecto a un grupo limitado de destinatarios previsibles. [34] En Nueva York, la «Credit Alliance» v. Arthur Andersen» estableció que la responsabilidad de los proveedores de información está limitada a quienes saben o deberían saber que su información será utilizada para decisiones comerciales importantes.

En este caso, la responsabilidad de los proveedores RPC puede limitarse a LayerZero, que los eligió y en dependencia de ellos. No necesariamente se extiende a los usuarios finales o a los poseedores de rsETH. La responsabilidad de los proveedores RPC sería principalmente en un reclamo de contribución (contribution claim) contra LayerZero, que a su vez asume parte de la culpa.

Un obstáculo adicional es que la identidad de los proveedores RPC no ha sido revelada públicamente. Podrían ser víctimas de ataques estatales, y la complejidad del ataque (reemplazo de binarios, engaño selectivo IP, DDoS, autodestrucción) sugiere capacidades que superan a los delincuentes comunes. Si los proveedores son en realidad víctimas de un ataque estatal, su culpa sería difícil de establecer, y el estándar de cuidado no exigiría que resistieran ataques de nivel militar.

El resultado más probable es que la responsabilidad de los proveedores RPC quede en segundo plano, y que la mayor parte de la recuperación se dirija contra LayerZero y KelpDAO, en un proceso de contribución.

¿Pueden los términos de servicio salvarlos?

Tanto KelpDAO como LayerZero mantienen términos de servicio con límites de responsabilidad extremadamente restrictivos. KelpDAO establece un límite de responsabilidad equivalente a la suma pagada en los últimos 12 meses o 200 dólares, lo que sea mayor. [35] LayerZero fija un límite de 50 dólares. [36] Ambos contienen cláusulas estándar de «tal cual» (as is) y amplias exenciones de responsabilidad y riesgos asumidos.

Si estos límites fueran válidos, toda la discusión anterior sería irrelevante. Un límite de 200 dólares frente a una pérdida de 292 millones de dólares hace que KelpDAO sea prácticamente inmunizable.

Pero estos límites no serán respaldados por los tribunales. Las razones son:

(a) Principio de manifiesta desequidad (unconscionability)

La ley contractual reconoce que algunas cláusulas son tan profundamente injustas que los tribunales se niegan a hacerlas cumplir. La manifiesta desequidad (unconscionability) está claramente establecida en la «Restatement ###Second[37] of Contracts», que permite a los tribunales anular cláusulas que sean tanto procedimental como sustancialmente injustas. [38]

La injusticia procedimental evalúa si hubo una negociación significativa o una oportunidad de rechazo. Los términos en DeFi son típicamente contratos de adhesión: se presentan en un formato en el que el usuario o acepta o abandona, sin oportunidad de negociar, y suelen estar enterrados en páginas profundas del sitio web. La mayoría de los usuarios interactúan directamente con contratos inteligentes mediante carteras como MetaMask, sin haber revisado ni siquiera el sitio web del protocolo, mucho menos los términos.

La distinción legal entre «clickwrap» (clic de aceptación) y «browsewrap» (navegación y aceptación implícita) está bien establecida. ( En «Specht v. Netscape», el juez Sotomayor dictaminó que un enlace a los términos en un contrato de aceptación mediante clic no es suficiente si no es destacado. En «Nguyen v. Barnes & Noble», la novena corte también dictaminó que los términos deben ser claramente notificados y revisables; simplemente estar en el sitio web no basta.

Las interacciones en DeFi se parecen más a «Specht» que a «Meyer v. Uber» (donde un aviso destacado con enlace claro fue considerado válido). La interacción con contratos inteligentes en cadena aún no ha sido decidida claramente por los tribunales, pero la jurisprudencia favorece que los términos no sean considerados aceptados sin una conducta afirmativa del usuario.

La injusticia sustancial (substantive unconscionability) evalúa si la cláusula es tan desproporcionada que «asombra la conciencia» (shock the conscience). Un límite de responsabilidad de 200 dólares frente a una pérdida de 292 millones de dólares, en proporción de aproximadamente 1:1,460,000, es un ejemplo clásico. El límite de 50 dólares de LayerZero es aún más extremo. En el caso «Williams v. Walker-Thomas Furniture», la corte estableció que cuando una parte no tiene una opción significativa, los tribunales no harán cumplir cláusulas que sean claramente injustas en su favor. La nota en la «Restatement» confirma que una disparidad grave en el intercambio es evidencia directa de injusticia sustancial. )

( (b) Excepción de negligencia grave (gross negligence)

Incluso si los tribunales consideran que los límites de responsabilidad son generalmente ejecutables, no protegen en casos de negligencia grave o conducta intencional (willful misconduct). Esto es un principio establecido en las leyes de Nueva York y Delaware.

La «Restatement )Second[39] of Contracts» establece que las cláusulas que eximen de responsabilidad por conducta temeraria (reckless) o intencional son inaplicables por motivos de política pública. [40] La Corte de Apelaciones de Nueva York ha reiterado que las cláusulas de exención no cubren negligencia grave, y se aplican los estándares de «reconocimiento consciente del riesgo» (reckless disregard). ###

¿Es la configuración 1-de-1 de KelpDAO una negligencia grave? La respuesta es convincente. La negligencia grave requiere una indiferencia temeraria hacia riesgos conocidos y sustanciales, más allá de una simple falta de cuidado. Elegir la configuración de menor seguridad para una puente que protege más de mil millones de dólares viola claramente las recomendaciones explícitas del proveedor. La diferencia entre 1-de-1 (sin tolerancia a fallos) y 2-de-3 (33% tolerancia) no es una diferencia marginal, sino una diferencia sustancial.

Si un tribunal calificara la decisión 1-de-1 como negligencia grave en lugar de simple negligencia, los límites de responsabilidad de 200 dólares serían inválidos, independientemente del análisis de injusticia.

La excepción de negligencia grave es importante porque evita la disputa sobre la validez de los límites de responsabilidad. Incluso si los tribunales consideran que los usuarios aceptaron los términos (por ejemplo, mediante mecanismos de clickwrap), la excepción de negligencia grave se aplica de forma independiente. Es una política pública (public policy doctrine) que no puede ser limitada por acuerdo. En la ley de Nueva York, esta doctrina ha sido reiteradamente confirmada y representa la segunda línea de ataque más sólida contra cláusulas de limitación de responsabilidad.

( © Rechazo por la ley de valores (securities law)

Existe una tercera vía para invalidar los límites de responsabilidad, y es la más poderosa.

Si rsETH fuera clasificado como un valor (security) bajo la ley federal, entonces las cláusulas de límite de responsabilidad y arbitraje serían inválidas por operación de la ley. La «Securities Act» establece que «cualquier condición, regla o acuerdo que restrinja a cualquier persona de cumplir con cualquier disposición de esta ley será nulo». ) La «Exchange Act» tiene una cláusula similar. ( Estas cláusulas no pueden ser evitadas por contrato y prevalecen sobre la «Federal Arbitration Act». No están sujetas a análisis de manifiesta desequidad (unconscionability) estatal. Son mandatos imperativos del derecho federal.

¿Cumple rsETH con la definición de valor (security)? Según el test de Howey, sí. La inversión en ETH en un esquema colectivo, con expectativa de ganancias derivadas del esfuerzo de otros, cumple todos los elementos. La dificultad radica en si la venta en mercado secundario (en exchanges, en Aave) se considera una venta en la que no se cumple el elemento de esfuerzo de otros, especialmente en el caso Ripple, donde la división de derechos puede ser interpretada en contra. La apelación en curso puede cambiar esta interpretación.

Si rsETH se clasifica como valor, toda la estructura de reclamaciones cambia: los límites desaparecen, los acuerdos de arbitraje y las renuncias colectivas también. Los compradores directos tendrían derechos de rescisión y podrían presentar reclamaciones por fraude, incluso sin demostrar manifiesta desequidad.

Este análisis revela que la clasificación como valor es la «arma nuclear» en la disputa legal, y que la decisión en ese sentido puede alterar radicalmente el escenario de responsabilidad y recuperación.

¿Y qué pasa con los proveedores de infraestructura RPC? Son actores en la cadena de responsabilidad. Ellos proporcionan los datos falsificados que envenenaron la infraestructura RPC. Su responsabilidad, sin embargo, está limitada por varios factores.

Según la «Restatement )Second[41] of Torts», en el contexto comercial, los proveedores de información que no ejercen un cuidado razonable pueden ser responsables por daños económicos derivados de una confianza razonable en sus datos, pero solo respecto a un grupo limitado de destinatarios previsibles. [42] En Nueva York, la «Credit Alliance» v. Arthur Andersen» estableció que la responsabilidad de los proveedores de información está limitada a quienes saben o deberían saber que su información será utilizada para decisiones comerciales importantes.

En este caso, la responsabilidad de los proveedores RPC puede limitarse a LayerZero, que los eligió y en dependencia de ellos. No necesariamente se extiende a los usuarios finales o a los poseedores de rsETH. La responsabilidad de los proveedores RPC sería principalmente en un reclamo de contribución (contribution claim) contra LayerZero, que a su vez as