Aumentan los peligros de contagio DeFi en Layer 2 ya que el hackeo de $300M de KelpDAO expone profundos vínculos con rsETH

La explotación de $300 millones de KelpDAO ahora parece más un fallo de Layer 2 que una ruptura directa en la mainnet de Ethereum, ya que en la comunidad aumentan los temores de contagio DeFi por interacciones entre cadenas.

Fuentes que han recibido anonimato contactaron a Cryptopolitan y dijeron que tenían “confianza en que Core L1 ETH no está afectado” y que el problema “se encuentra en las L2s.”

El ataque comenzó después de que una billetera financiada a través del pool de 1 ETH de Tornado Cash esperó unas diez horas y luego llamó a lzReceive en el contrato EndpointV2 de LayerZero. Eso activó la lógica de puente de KelpDAO y liberó 116.500 rsETH a la billetera de un atacante.

Los tokens valían unos 292 millones de dólares y representaban aproximadamente el 18% del suministro circulante de rsETH, de alrededor de 630.000. Dos paquetes más dirigidos a 40.000 rsETH cada uno, o aproximadamente otros 100 millones de dólares combinados, pero ambos revertidos después de que el multisig de emergencia de KelpDAO ejecutara pauseAll.

Si ambos intentos adicionales hubieran tenido éxito, la pérdida total habría alcanzado unos 391 millones de dólares, según las fuentes.

Los atacantes vierten rsETH en Aave y sacuden a ZRO

El rsETH robado fue depositado en Aave V3 como garantía, luego se utilizó para pedir prestadas grandes cantidades de ETH y WETH, con fondos enrutados de nuevo a través de Tornado Cash. Eso aumentó el riesgo de deuda incobrable en Aave, con estimaciones que sitúan la exposición en hasta 177 millones de dólares.

Aave luego congeló todos los mercados de rsETH tanto en V3 como en V4 y dijo que el defecto estaba en rsETH, no en sus propios contratos. SparkLend cerró su mercado de rsETH. Fluid congeló la actividad. Upshift pausó tanto los depósitos de High Growth ETH como Kelp Gain. La exposición también se extendía a productos vinculados a Pendle, Compound, Euler, Beefy y Yearn.

Las reuniones privadas revisadas por Cryptopolitan apuntan en una dirección más estrecha que el pánico inicial del mercado.

Nuestras fuentes dijeron que el rsETH de L1 sigue estando totalmente respaldado y que el mercado relevante de Aave está “completamente solvente”. Un mensaje dijo que weETH no está afectado, la gestión de depósitos líquidos está operando con normalidad, y los usuarios de LiquidETH y LiquidUSD no enfrentarán disminuciones porque los costos excesivos de préstamo del pico de Aave serán cubiertos.

“Por abundar en cautela, rsETH permanece congelado en Aave V3 y V4 y la exposición al incidente está limitada. Las reservas de WETH también permanecen congeladas en los mercados afectados, incluyendo Ethereum, Arbitrum, Base, Mantle y Linea. Aave está validando activamente la información y evaluando posibles resoluciones.”

– Aave

Las investigaciones iniciales dijeron que el problema fue habilitado por una configuración DVN 1-de-1 en la ruta Kelp rsETH Unichain a Ethereum, lo que permitió que se liberaran tokens sin respaldo en Ethereum sin un quema legítima en el lado de origen.

Otra fuente nos dijo que los propios puentes OFT de LayerZero de otra plataforma utilizan una configuración DVN mínima de 2/2, escalan a 3 en rutas más concurridas e incluyen límites de velocidad de entrada y salida. Esa plataforma aún pausó todos los puentes LZ OFT como precaución, pero también congeló su contrato Teller, el módulo que maneja depósitos, retiros y emisión de acciones.

Los protocolos detienen los retiros y esperan liquidez

Según las fuentes, “las tasas de préstamo en Aave se han disparado y la cola de salida de Ethereum se ha llenado, lo que hace que la desapalancamiento sea más difícil/más caro”. Otro dijo que Kelp aún no había decidido cómo cubrir o socializar las pérdidas y que el mejor caso sería que las pérdidas cayeran solo en las L2s donde ocurrió la explotación.

Los depósitos se congelaron porque los informes retrasados de los oráculos podrían crear una emisión injusta de acciones. Los retiros se describieron como “técnicamente no pausados”, pero no se pudieron procesar sin más claridad de Kelp y Aave.

Mellow ahora busca ventanas para salir, pero no ha podido hacerlo porque las primas para intercambiar de stETH a ETH eran demasiado altas y la cola de salida de Ethereum estaba congestionada. Los equipos retrasaron las actualizaciones de los oráculos porque no sabían cómo valorar rsETH después de las pérdidas.

Una fuente dijo: “Simplemente no sabemos cómo valorar rsETH”. Otra dijo: “0 noticias hasta ahora”, cuando se le preguntó sobre el progreso de Kelp o Aave. En un peor caso, las pérdidas se estimaron en alrededor de 9.000 ETH. 

Otra estimación puso un posible golpe del 6,2% en los depositantes de nivel superior si las pérdidas alcanzaran L1 y no se utilizaran respaldos más amplios. Mensajes separados dijeron que la liquidez del protocolo entrante podría llegar el martes o miércoles para ayudar a procesar retiros más grandes.

EtherFi ha dicho a sus usuarios en X que:

“Los depósitos líquidos de EtherFi no se ven afectados por el reciente incidente de rsETH de Kelp. Los usuarios de depósitos líquidos no experimentarán ninguna disminución.”

Mientras tanto, mientras todo esto sucede, también recibimos conocimiento de que Vercel ha sido vulnerado y que el atacante ha puesto a la venta los datos de sus clientes, código fuente, bases de datos y claves.

Vercel ya ha anunciado públicamente en Telegram que “identificaron un incidente de seguridad que involucra acceso no autorizado a sus sistemas internos.”