El CTO de Ripple advierte que los puentes DeFi podrían replicar exploits al estilo KelpDAO

El Chief Technology Officer de Ripple, David Schwartz, ha emitido una nueva advertencia al sector de las finanzas descentralizadas (DeFi), advirtiendo que los puentes entre cadenas ampliamente utilizados pueden ser vulnerables a las mismas debilidades estructurales que permitieron el reciente exploit de KelpDAO, uno de los mayores hackeos de criptomonedas de 2026. En X, dijo que había revisado varias infraestructuras de DeFi, centrándose únicamente en la seguridad y el riesgo.

Sus comentarios llegan días después de que los atacantes drenaran aproximadamente $292 millones en activos del puente rsETH de KelpDAO, una brecha que ha reavivado las preocupaciones sobre la seguridad de la infraestructura entre cadenas.

Basado en su investigación, determinó que la mayoría de los sistemas de DeFi incluyen herramientas de seguridad de primera categoría, pero los propios mecanismos diseñados para prevenir ataques al estilo KelpDAO se tratan como opcionales. Esto, dice, se debe en gran parte a que los equipos no quieren asumir los costos adicionales de complejidad operativa.

Escribió: “Generalmente, en la práctica, recomendaron no molestarse en usar los mecanismos de seguridad más importantes porque tienen costos de conveniencia y complejidad operativa.”

Schwartz dijo que sus preocupaciones surgieron durante las evaluaciones de sistemas de puente para el stablecoin RLUSD planificado de Ripple. Aunque muchos protocolos parecen robustos en su diseño, argumentó que los despliegues en el mundo real a menudo se quedan cortos porque los equipos priorizan la conveniencia y la expansión rápida sobre las prácticas estrictas de seguridad.

Schwartz dice que las plataformas DeFi priorizan la expansión entre cadenas sobre la seguridad

En su publicación, Schwartz también destacado que la prisa por escalar entre cadenas ha creado una cultura de crecimiento primero, seguridad después, en la que los salvaguardas más importantes están siendo abandonadas. Afirmó que los puntos de venta de la mayoría de las plataformas enfatizan la fácil integración, con la expectativa tácita de que las herramientas de seguridad más robustas no se usarían realmente.

Además, dijo que el ataque a KelpDAO refleja un patrón peligroso en el que los equipos optan por la conveniencia sobre la seguridad de primera clase ya disponible para ellos, similar a lo que observó durante sus evaluaciones de DeFi.

Afirmó: “Tengo la extraña sensación de que parte del problema va a ser algo como KelpDAO eligiendo no usar las características de seguridad clave de LayerZero por conveniencia.”

Más recientemente, algunos analistas también lanzaron la alarma de que Wrapped XRP (wXRP) en Solana podría ser el siguiente dominó en caer, ya que depende de emisores de terceros y conlleva los mismos riesgos de contraparte que costaron recientemente $292 millones a KelpDAO. El validador del XRP Ledger, VET en X, escribió: «wXRP es un activo emitido; no se acerca ni remotamente a mantener XRP nativo mediante autotutela desde el punto de vista del riesgo».

Sin embargo, algunos protocolos cross-chain ya han comenzado a erigir defensas. Flare, por ejemplo, suspendió temporalmente la actividad de puenteo de FXRP, posponiendo cualquier canje de tokens.

¿Cómo perdió KelpDAO $292 millones?

Se perdieron $292 millones en la explotación de KelpDAO y los hallazgos iniciales mostró que el vinculado a Corea del Norte Grupo Lazarus, y en particular TraderTraitor, fue cómplice. En una única transacción dirigida al puente LayerZero de Kelp, un atacante robó 116.500 rsETH, o aproximadamente el 18% de la oferta circulante del token.

La explotación tenía como objetivo envenenar la infraestructura RPC al obtener acceso a suficientes puntos finales RPC utilizados por la DVN de LayerZero Labs para validar transacciones. Sin embargo, esta brecha afectó únicamente la configuración rsETH de KelpDAO, sin derrames a otros activos o aplicaciones cross-chain.

El investigador de blockchain ZachXBT fue el primero en lanzar la alarma en su canal de Telegram, y posteriormente las empresas de seguridad Cyvers y PeckShield corroboraron rápidamente el robo. Cyvers también mostró que el hacker recargó su billetera con Tornado Cash solo 10 horas antes del ataque, un truco anticuado para encubrir sus huellas antes del robo.

Tras la explotación, los tokens se depositaron en Aave V3 para tomar préstamos en ETH y WETH, y los datos de blockchain revelaron posteriormente un lavado a través de Tornado Cash. El atacante había contraído préstamos por aproximadamente 74.000 ETH y WETH, acumulando más de $236 millones en pasivos en tres plataformas de préstamos, con una billetera que contenía aproximadamente $120 millones en ETH de Aave.

Schwartz también se pronunció poco después de la explotación de KelpDAO. Describió el ataque como sofisticado y señaló que explotó la falta de supervisión de KelpDAO. El ex CTO de Ripple, Joel Katz, también culpó la frágil configuración de seguridad de KelpDAO para la explotación y sostuvo que, a diferencia de la firma, RLUSD adopta un enfoque de seguridad primero para el puenteo.