La explotación de KelpDAO, que supuso un desembolso de 300 millones de dólares, ahora parece más un fallo de la capa 2 que una brecha directa en la red principal Ethereum , a medida que aumentan los temores en la comunidad sobre el contagio de DeFi a partir de interacciones entre cadenas.
Fuentes que han solicitado el anonimato se pusieron en contacto con Cryptopolitan y dijeron tener "confianza en que Core L1 ETH no se ve afectado" y que el problema "se encuentra en las capas L2"
El ataque comenzó después de que una billetera financiada a través del pool de 1 ETH de Cash trac . Eso activó la lógica del puente de KelpDAO y liberó 116.500 rsETH a la billetera de un atacante.
Los tokens tenían un valor aproximado de 292 millones de dólares y representaban cerca del 18% del suministro circulante de rsETH, que rondaba los 630.000. Posteriormente, se enviaron dos paquetes más con un objetivo de 40.000 rsETH cada uno, lo que equivaldría a otros 100 millones de dólares en total, pero ambos se revirtieron después de que la multifirma de emergencia de KelpDAO ejecutara pauseAll.
Si ambos intentos adicionales hubieran tenido éxito, la pérdida total habría ascendido a unos 391 millones de dólares, según las fuentes.
Los atacantes depositan rsETH en Aave y ponen en peligro ZRO
El rsETH robado se depositó en Aave V3 como garantía, y luego se utilizó para obtener préstamos de grandes cantidades de ETH y WETH, cuyos fondos se canalizaron de vuelta a través de Tornado Cash. Esto aumentó el riesgo de impago en Aave, con estimaciones que sitúan la exposición en hasta 177 millones de dólares.
Aave congeló entonces todos los mercados de rsETH en V3 y V4 y afirmó que la vulnerabilidad residía en rsETH, no en sus propiostrac. SparkLend cerró su mercado de rsETH. Fluid suspendió la actividad. Upshift pausó las bóvedas de High Growth ETH y Kelp Gain. La vulnerabilidad también afectó a productos vinculados a Pendle, Compound, Euler, Beefy y Yearn.
Las reuniones privadas analizadas por Cryptopolitan apuntan en una dirección más concreta de lo que sugería inicialmente el pánico del mercado.
Según nuestras fuentes, L1 rsETH sigue estando totalmente respaldado y el mercado Aave correspondiente es "completamente solvente". Un mensaje indicaba que weETH no se ve afectado, la gestión de la bóveda líquida funciona con normalidad y los usuarios de LiquidETH y LiquidUSD no sufrirán pérdidas porque se cubrirán los costes de endeudamiento adicionales derivados del repunte Aave .
Por precaución, rsETH permanece congelado en Aave V3 y V4, y la exposición aldent está limitada. Las reservas de WETH también permanecen congeladas en los mercados afectados, incluidos Ethereum, Arbitrum, Base, Mantle y Linea. Aave está validando activamente la información y evaluando posibles soluciones
– Aave
Las primeras investigaciones indicaron que el problema fue posible gracias a una configuración DVN 1 de 1 en la ruta Kelp rsETH Unichain a Ethereum , lo que permitió la liberación de tokens sin respaldo en Ethereum sin una quema legítima en la fuente.
Otra fuente nos informó que los puentes OFT de LayerZero de otra plataforma utilizan una configuración DVN mínima de 2/2, se amplían a 3 en rutas con mayor tráfico e incluyen límites de velocidad de entrada y salida. Dicha plataforma, por precaución, suspendió todos los puentes OFT de LZ, pero también congeló su contratotrac, el módulo que gestiona los depósitos, retiros y la emisión de acciones.
Los protocolos detienen los retiros y esperan liquidez
Según las fuentes, "las tasas de interés de los préstamos en Aave se han disparado y la cola de salida Ethereum se ha llenado, lo que dificulta y encarece el desapalancamiento". Otra fuente indicó que Kelp aún no había decidido cómo se cubrirían o distribuirían las pérdidas y que, en el mejor de los casos, las pérdidas recaerían únicamente en las capas 2 donde se produjo la vulnerabilidad.
Los depósitos se congelaron porque los informes del oráculo, aunque retrasados, podrían generar una emisión de acciones injusta. Si bien los retiros no se habían suspendido técnicamente, no podían procesarse sin mayor claridad por parte de Kelp y Aave.
Mellow ahora busca oportunidades para salir del mercado, pero no ha podido hacerlo porque las primas para intercambiar stETH por ETH eran demasiado altas y la cola de salida Ethereum estaba saturada. Los equipos retrasaron las actualizaciones del oráculo porque no sabían cómo fijar el precio de rsETH tras las pérdidas.
Una fuente comentó: «Simplemente no sabemos cómo fijar el precio de rsETH». Otra dijo: «Hasta ahora no hay noticias», al ser consultada sobre el progreso de Kelp o Aave. En el peor de los casos, las pérdidas se estimaron en alrededor de 9000 ETH.
Otra estimación prevé una posible pérdida del 6,2 % para los depositantes de mayor nivel si las pérdidas alcanzan el nivel L1 y no se utilizan mecanismos de respaldo más amplios. Mensajes separados indicaron que la liquidez del protocolo podría llegar el martes o el miércoles para ayudar a procesar retiros de mayor volumen.
EtherFi ha comunicado a sus usuarios en X que:
“Las bóvedas EtherFi Liquid no se ven afectadas por el recientedentde Kelp rsETH. Los usuarios de las bóvedas Liquid no experimentarán ninguna reducción de fondos.”
Mientras tanto, al mismo tiempo que todo esto sucedía, también supimos que Vercel había sufrido una brecha de seguridad y que el atacante había puesto a la venta los datos de sus clientes, el código fuente, las bases de datos y las claves.
Vercel ya ha anunciado públicamente en Telegram que "dentundent de seguridad relacionado con el acceso no autorizado a sus sistemas internos"
