Kelp debido a la controversia de responsabilidad por el hackeo de DeFi de 292 millones de dólares, se dirige a Chainlink

Escrito por: Murugaverl Mahasenan, CATENAA

12 de mayo de 2026, martes — KelpDAO acusa a la infraestructura de LayerZero de haber facilitado un ataque valorado en 292 millones de dólares, y afirma que migrará su sistema de tokens de staking líquidos a Chainlink durante la reconstrucción de su marco. Este incidente es uno de los mayores accidentes de seguridad en DeFi de este año.

El núcleo de la controversia es un ataque ocurrido en abril, que resultó en el robo de aproximadamente 116,500 rsETH. rsETH es un token de staking líquido basado en Ethereum, utilizado para transferencias entre cadenas.

El ataque fue dirigido a un sistema de puente que permite la transferencia de rsETH entre varias redes blockchain. Los investigadores de seguridad relacionan el incidente con el grupo de hackers norcoreano Lazarus, vinculado a múltiples robos de criptomonedas de alto valor.

Responsabilidad central

KelpDAO afirma que la infraestructura de LayerZero jugó un papel clave en la vulnerabilidad. El protocolo dice que, debido a que la configuración del sistema utilizaba un único validador, los atacantes, tras comprometer parte de la infraestructura de enrutamiento, pudieron manipular el proceso de validación de transacciones.

KelpDAO indica que esta vulnerabilidad permitió que transacciones falsas de puente fueran aprobadas sin una validación exhaustiva.

LayerZero niega esta afirmación. La compañía afirma que el ataque se limitó a la implementación específica de Kelp y que Kelp utilizaba una configuración de un solo validador, que difiere de la arquitectura de múltiples validadores recomendada por LayerZero.

Las diferencias entre ambas partes han escalado a un debate público, centrado en cómo definir la responsabilidad en sistemas de puente descentralizados.

KelpDAO señala que varias empresas de seguridad, incluyendo Chainalysis y SEAL 911, respaldan su postura, argumentando que la vulnerabilidad provino de un problema en la configuración de la infraestructura de LayerZero.

KelpDAO también afirma que el modelo de validador único explotado no es exclusivo de Kelp, sino que es ampliamente utilizado en otras aplicaciones dentro de ese ecosistema.

El protocolo indica que los atacantes lograron infiltrarse en nodos RPC (llamadas a procedimientos remotos) relacionados con la red de validadores, permitiéndoles inyectar datos de transacción falsificados.

Luego, estos datos fueron aceptados por el sistema, permitiendo a los atacantes transferir fondos entre varias redes blockchain sin autorización.

KelpDAO afirma que, tras el incidente, LayerZero actualizó sus políticas y dejó de soportar configuraciones de un solo validador. Considera que este cambio evidencia que el diseño anterior presentaba riesgos sistémicos que no fueron abordados adecuadamente antes del ataque.

LayerZero mantiene que sus documentos siempre han recomendado configuraciones seguras con múltiples validadores, y que cada protocolo debe ser responsable de su despliegue y configuración.

Hasta la fecha, LayerZero no ha publicado una explicación técnica detallada respecto a las últimas acusaciones de KelpDAO.

Congelación de activos y procedimientos legales

El impacto del ataque ha ido más allá de la disputa técnica. Aproximadamente 71 millones de dólares en activos relacionados han sido congelados en la red Arbitrum, lo que ha provocado procedimientos legales en la Corte Federal de Nueva York. El debate actual se centra en si estos activos congelados deben ser devueltos o si deben seguir retenidos en espera de una investigación adicional.

KelpDAO afirma que este incidente ha planteado cuestiones más amplias, incluyendo la responsabilidad en la infraestructura de puente y los riesgos asociados a la dependencia de validación en un solo punto. La organización dice que esta experiencia ha expuesto debilidades estructurales y que el sistema necesita migrar hacia mecanismos de validación más descentralizados.

Migración a Chainlink

Como parte de las medidas de respuesta, KelpDAO anunció que migrará su sistema rsETH a la Interoperabilidad Cross-Chain Protocol (CCIP) de Chainlink. El nuevo sistema utilizará múltiples validadores independientes para aprobar transacciones, reduciendo la dependencia de una sola entidad.

Chainlink confirmó su participación en la migración y afirmó que está colaborando con KelpDAO para mejorar la seguridad en las transferencias entre cadenas. La compañía dice que, para que las finanzas descentralizadas (DeFi) adopten a gran escala, se requiere una infraestructura más robusta para reducir riesgos sistémicos.

Johann Eid, director comercial de Chainlink, expresó que un sistema de interoperabilidad seguro es crucial para el desarrollo a largo plazo de las finanzas basadas en blockchain. Señaló que todos los protocolos deben garantizar que las actividades entre cadenas no colapsen por fallos en un solo punto.

Este movimiento marca un cambio importante para KelpDAO. Hasta ahora, sus operaciones de puente dependían de la infraestructura de LayerZero. La organización indica que, tras este incidente, está rediseñando su sistema, priorizando la seguridad y la transparencia.

Impacto en la industria

Este ataque es uno de los mayores incidentes de vulnerabilidad en DeFi revelados en 2026, y ha intensificado las preocupaciones del sector sobre la fragilidad de los puentes entre cadenas. Los puentes siguen siendo uno de los componentes más vulnerables en la infraestructura blockchain.

Expertos del sector señalan que los sistemas de puente, al requerir coordinación de validación en múltiples redes, introducen riesgos de seguridad complejos. Incluso pequeñas fallas en la configuración pueden crear superficies de ataque difíciles de detectar a tiempo.

El incidente también ha avivado el debate sobre si los sistemas descentralizados deben usar modelos de validación ligeros o arquitecturas de múltiples validadores que consumen más recursos. Los partidarios de sistemas simples valoran la eficiencia, mientras que los críticos advierten que estos modelos pueden amplificar riesgos sistémicos.

Hasta la publicación de este artículo, LayerZero no ha respondido públicamente a las últimas declaraciones de KelpDAO.

A medida que la investigación continúa y los procedimientos legales avanzan, se espera que este caso influya en cómo se diseñan los sistemas de validación en futuros protocolos de puente y en la asignación de responsabilidades en incidentes de DeFi. KelpDAO afirma que su prioridad actual es garantizar la seguridad de rsETH y recuperar la confianza de los usuarios durante la migración a la infraestructura de Chainlink.