Ver el código de «KelpDAO DeFi Bridge Exploit Campaign (Lazarus Group / TraderTraitor)»

KelpDAO Bridge Exploit Campaign es un ataque de criptomonedas altamente sofisticado ocurrido el 18 de abril de 2026, que resultó en el robo de aproximadamente $290 millones (116,500 rsETH) del protocolo de finanzas descentralizadas (DeFi) KelpDAO, siendo el mayor exploit de DeFi de 2026 hasta la fecha . El ataque, atribuido con alta confianza preliminar al Grupo Lazarus de Corea del Norte (específicamente a su subunidad TraderTraitor), no explotó vulnerabilidades en contratos inteligentes, sino que atacó la capa de verificación de infraestructura de LayerZero, el protocolo de mensajería entre cadenas que KelpDAO utilizaba para su token <code>rsETH</code> . Los atacantes llevaron a cabo una operación meticulosamente planificada que incluyó el compromiso de dos nodos RPC independientes utilizados por el verificador de LayerZero, el reemplazo de los binarios que ejecutaban los nodos <code>op-geth</code>, y un ataque de denegación de servicio distribuido (DDoS) contra los nodos RPC no comprometidos para forzar al sistema a depender de los nodos envenenados . Una vez que el verificador aceptó un mensaje falso entre cadenas, el puente liberó $290 millones en <code>rsETH</code> a una dirección controlada por el atacante. El malware utilizado en el ataque se autodestruyó después de la ejecución, eliminando binarios y logs para frustrar la investigación forense . El atacante utilizó inmediatamente los fondos robados como garantía en protocolos de préstamos como Aave, Compound y Euler, tomando prestado ETH real, dejando a estos protocolos con una deuda incobrable estimada de aproximadamente $280 millones o más . Un segundo intento de robar $95 millones adicionales (40,000 rsETH) fue bloqueado cuando KelpDAO pausó los contratos 46 minutos después del drenaje inicial y blacklisteó las wallets del atacante .

== Nombres Alternativos / Aliases ==

* KelpDAO Bridge Exploit (Por el protocolo objetivo)
* LayerZero DVN RPC Poisoning Attack (Por la técnica de ataque)
* TraderTraitor DeFi Heist (Por el subgrupo de Lazarus responsable)
* $290M rsETH Exploit (Por el monto y token robado)
* April 2026 DeFi Mega-Hack (Por el contexto de ataques sucesivos)

== Fecha de Detección / Actividad ==

* Fecha del Ataque: 18 de abril de 2026, 17:35 UTC 
* Detección y Pausa: KelpDAO detectó "actividad sospechosa entre cadenas" y pausó contratos 46 minutos después 
* Segundo Intento Bloqueado: Se intentó robar $95M adicionales, mitigado por la pausa de contratos y blacklisting 
* Congelamiento de Fondos en Arbitrum: 21 de abril de 2026, 11:26 p.m. ET (30,766 ETH congelados ~$71M) 
* Fecha del Atribución Pública: 20-21 de abril de 2026
* Impacto en TVL: $13B+ evaporados en 48 horas 
* Estado: Activo. El atacante está lavando fondos; investigaciones en curso; protocolos afectados gestionando deuda incobrable.

== Actor de Amenaza (Atribución) ==

* Nombre del Actor: Lazarus Group (también conocido como APT38, Hidden Cobra), específicamente la subunidad TraderTraitor [citation:1, 3, 7]
* Tipo de Actor: Grupo de ciberdelincuencia patrocinado por el estado, perteneciente a la República Popular Democrática de Corea (RPDC / Corea del Norte)
* Sofisticación: Extremadamente alta. El Grupo Lazarus es considerado uno de los actores de amenazas más sofisticados a nivel global. Este ataque en particular demuestra: (a) capacidades avanzadas de ingeniería inversa y análisis de infraestructura para identificar la configuración de verificación de LayerZero, (b) la capacidad de comprometer múltiples nodos RPC independientes sin conexión directa entre sí, (c) el reemplazo de binarios <code>op-geth</code> para ejecutar RPC-spoofing con payloads personalizados diseñados para minimizar alertas, (d) la coordinación de ataques DDoS contra nodos RPC saludables para forzar failover, (e) el autoborrado de artefactos maliciosos post-explotación, (f) un enfoque de "paciencia y precisión" que implicó posiblemente un reconocimiento de seis meses, similar al exploit de Drift Protocol [citation:3, 4]. Además, el grupo ha sido vinculado al robo de $1.5 mil millones de Bybit en febrero de 2025 y al exploit de $285 millones de Drift Protocol el 1 de abril de 2026, sumando más de $575 millones robados de DeFi en 18 días [citation:4, 6].

== Resumen Ejecutivo ==
KelpDAO Bridge Exploit Campaign representa un hito en la evolución de los ataques a DeFi, demostrando que las vulnerabilidades ya no se limitan a bugs en contratos inteligentes, sino que se extienden a la infraestructura off-chain y a las configuraciones de verificación entre cadenas . El ataque, atribuido al Grupo Lazarus de Corea del Norte, aprovechó la configuración insegura de KelpDAO de un verificador 1-of-1 DVN (un único punto de fallo) en su puente basado en LayerZero, a pesar de que LayerZero había recomendado explícitamente configuraciones multi-DVN como estándar de la industria [citation:1, 5]. Los atacantes comprometieron dos nodos RPC que el verificador de LayerZero utilizaba para confirmar transacciones entre cadenas, reemplazaron sus binarios <code>op-geth</code> y lanzaron un ataque DDoS contra los nodos restantes, forzando al sistema a depender de los nodos envenenados . Una vez que el verificador firmó un mensaje falso que aparentaba originarse de Unichain, el adaptador OFT de rsETH liberó 116,500 <code>rsETH</code> (valorados en $293M) a una dirección controlada por el atacante . El malware se autodestruyó post-explotación, borrando logs y binarios para evadir análisis forense . Inmediatamente, el atacante depositó los <code>rsETH</code> robados como garantía en Aave, Compound y Euler, tomando prestado ETH real (WETH y wstETH) y generando una deuda incobrable estimada de $236 millones a $280 millones para estos protocolos [citation:4, 7]. El robo desencadenó una corrida bancaria en DeFi, con usuarios retirando $8.45 mil millones de Aave y una caída total de $13-15 mil millones en el valor total bloqueado (TVL) en solo 48 horas [citation:4, 8]. Aave congeló los mercados de <code>rsETH</code>, <code>wrsETH</code> y WETH, mientras que los pools de USDT y USDC alcanzaron 100% de utilización, dejando sin liquidez para retiros . El 21 de abril, el Consejo de Seguridad de Arbitrum ejecutó una intervención sin precedentes, congelando 30,766 ETH ($71M) de los fondos robados en Arbitrum [citation:4, 5]. Jefferies advirtió que este exploit podría frenar temporalmente los esfuerzos de tokenización de Wall Street, ya que las instituciones financieras re-evalúan los riesgos de seguridad en infraestructuras DeFi .

== Vectores de Ataque / Métodos de Explotación ==

# Reconocimiento de Infraestructura: Lazarus identificó la lista de RPCs que el DVN de LayerZero utilizaba para verificar transacciones de <code>rsETH</code>, incluyendo la configuración 1-of-1 DVN de KelpDAO (un único verificador como punto único de fallo) [citation:1, 7].
# Compromiso de Nodos RPC: Los atacantes comprometieron dos nodos RPC independientes que ejecutaban <code>op-geth</code>, que estaban en clústeres separados sin conexión directa entre sí, y reemplazaron sus binarios con versiones maliciosas [citation:1, 5].
# Ataque DDoS y Failover: Lanzaron un ataque de denegación de servicio distribuido (DDoS) contra los nodos RPC no comprometidos, forzando al sistema a hacer failover hacia los nodos envenenados [citation:3, 7].
# RPC-Spoofing y Forja de Mensajes: Los nodos comprometidos utilizaron un payload personalizado diseñado explícitamente para forjar un mensaje al DVN que aparentaba ser válido, reportando datos falsos de la cadena de bloques mientras continuaban reportando datos precisos a otros sistemas, manteniendo el ataque invisible .
# Firma y Liberación de Fondos: El DVN aceptó el mensaje falso (aparentando originarse de Unichain) como válido y el adaptador OFT de <code>rsETH</code> liberó 116,500 <code>rsETH</code> desde el escrow de Ethereum mainnet a la dirección del atacante en una sola transacción .
# Autodestrucción del Malware: El malware se autodestruyó inmediatamente después, eliminando binarios y logs para frustrar el análisis forense y la atribución .
# Uso de <code>rsETH</code> como Garantía: El atacante depositó los <code>rsETH</code> robados como garantía en Aave V3, Compound y Euler (principalmente en Ethereum L1 y Arbitrum), y tomó prestado ETH real (WETH y wstETH) .
# Lavado de Activos: El atacante utilizó Tornado Cash para ocultar el rastro inicial, y posteriormente movió fondos a través de Arbitrum y stablecoins basadas en Tron [citation:2, 3].

== Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK ==
{| class="wikitable"
!Táctica (MITRE ATT&CK)
!Técnica / Subtécnica
!Descripción / Implementación
|-
|Reconnaissance (TA0043)
|Active Scanning (T1595)
|Escaneo de infraestructura DVN de LayerZero, identificación de la lista de RPCs utilizados y la configuración 1-of-1 [citation:4, 7].
|-
|Resource Development (TA0042)
|Compromise Infrastructure (T1584)
|Compromiso de dos nodos RPC independientes utilizados por LayerZero; reemplazo de binarios <code>op-geth</code> [citation:1, 5].
|-
|Resource Development (TA0042)
|Develop Capabilities: Malware (T1587.001)
|Desarrollo de payloads personalizados para RPC-spoofing y mecanismo de autodestrucción [citation:2, 4].
|-
|Initial Access (TA0001)
|Valid Accounts (T1078) / External Remote Services (T1133)
|Acceso inicial a los nodos RPC (método exacto no especificado; potencialmente credenciales comprometidas o explotación) .
|-
|Execution (TA0002)
|Command and Scripting Interpreter (T1059)
|Ejecución de comandos en los nodos RPC comprometidos para reemplazar binarios y ejecutar payloads maliciosos .
|-
|Persistence (TA0003)
|Create or Modify System Process (T1543)
|Modificación de binarios <code>op-geth</code> para mantener la capacidad de forjar mensajes .
|-
|Defense Evasion (TA0005)
|Indicator Removal (T1070)
|Autodestrucción del malware post-explotación, eliminación de binarios y logs para frustrar análisis forense .
|-
|Defense Evasion (TA0005)
|Masquerading (T1036)
|Los payloads maliciosos se diseñaron para minimizar alertas, reportando datos precisos a sistemas de monitoreo mientras forjaban datos al DVN .
|-
|Credential Access (TA0006)
|Steal Application Access Token (T1528)
|Captura de tokens de autenticación/verificación del DVN para firmar mensajes falsos .
|-
|Collection (TA0009)
|Data from Information Repositories (T1213)
|Recopilación de datos sobre transacciones y la lógica de verificación del puente .
|-
|Command and Control (TA0011)
|Application Layer Protocol: Web Protocols (T1071.001)
|Comunicación entre nodos comprometidos y la infraestructura del atacante .
|-
|Exfiltration (TA0010)
|Exfiltration Over Web Service (T1567)
|Transferencia de <code>rsETH</code> robado a wallets controladas por el atacante [citation:3, 4].
|-
|Impact (TA0040)
|Data Manipulation: Transmitted Data Manipulation (T1565.002)
|Forja de mensajes entre cadenas que reportaban transacciones que nunca ocurrieron on-chain [citation:3, 7].
|-
|Impact (TA0040)
|Financial Theft (sin código ATT&CK específico)
|Robo de $290M en <code>rsETH</code> y préstamo de ETH real contra garantía sin respaldo, creando deuda incobrable .
|}

== Flujo de Ataque (Cyber Kill Chain) ==

# Reconocimiento (Meses previos): Lazarus realiza un reconocimiento extenso de la infraestructura de LayerZero, identificando que KelpDAO utiliza una configuración insegura 1-de-1 DVN (un solo verificador) para su token <code>rsETH</code>, creando un único punto de fallo [citation:1, 4]. Posiblemente asisten a conferencias y hacen depósitos iniciales en el proyecto (similar al patrón del exploit de Drift Protocol) .
# Armamento: Los atacantes desarrollan payloads personalizados para RPC-spoofing, binaries maliciosos de <code>op-geth</code>, y mecanismos de autodestrucción. Identifican los RPCs específicos que el DVN de LayerZero utiliza para verificar transacciones de <code>rsETH</code> .
# Entrega y Explotación (18 de abril): Los atacantes comprometen dos nodos RPC independientes, reemplazan sus binarios <code>op-geth</code> con versiones maliciosas, y lanzan un ataque DDoS contra los nodos RPC restantes . El sistema failover a los nodos envenenados, que reportan datos falsos al DVN mientras continúan reportando datos precisos al resto de la red .
# Instalación y Ejecución: El DVN, creyendo que los datos son válidos, firma un mensaje falso que aparenta originarse de Unichain. El adaptador OFT de <code>rsETH</code> libera 116,500 <code>rsETH</code> a la dirección del atacante .
# Autodestrucción: El malware se autodestruye, eliminando binarios y logs para evadir la investigación forense .
# Comando y Control (C2): Los fondos robados son movidos a través de Tornado Cash y múltiples wallets .
# Acción sobre Objetivos:
#* Explotación de Garantía: El atacante deposita los <code>rsETH</code> robados como garantía en Aave, Compound y Euler, y toma prestado ETH real (WETH, wstETH) .
#* Lavado de Activos: Los fondos son consolidados (74,000 ETH aproximadamente) y movidos a través de Arbitrum y stablecoins en Tron [citation:2, 4].

== Infraestructura Utilizada ==
{| class="wikitable"
!Tipo
!Indicador / Característica
!Propósito
|-
|Nodos RPC Comprometidos
|Nodos <code>op-geth</code> independientes en clústeres separados
|Validación falsa de transacciones, punto de pivote para RPC-spoofing [citation:1, 4]
|-
|Binarios Maliciosos
|Binarios <code>op-geth</code> personalizados reemplazados
|Forja de mensajes al DVN, reporte de datos falsos 
|-
|Capa de Verificación
|DVN (Decentralized Verifier Network) de LayerZero
|Firma de mensajes entre cadenas; objetivo principal del ataque 
|-
|Tornado Cash
|Mezclador de criptomonedas
|Ofuscación inicial del rastro de fondos robados 
|-
|Wallets del Atacante
|8+ wallets principales identificadas (ej. <code>0x5d3919...</code>, <code>0xbb6a60...</code>, <code>0x1f4c1c...</code>, etc.)
|Almacenamiento y movimiento de fondos robados [citation:3, 4]
|-
|Protocolos DeFi Afectados
|Aave V3/V4, Compound, Euler, Morpho, Pendle, Yearn
|Depósito de garantía (<code>rsETH</code>), préstamo de ETH, generación de deuda incobrable 
|-
|LayerZero
|Protocolo de mensajería entre cadenas
|Infraestructura subyacente que habilitó el puente de <code>rsETH</code> 
|}

== Objetivos y Sectores Afectados ==

* Objetivo Principal: KelpDAO (protocolo de re-staking líquido en Ethereum)
* Protocolo Subyacente: LayerZero (infraestructura de mensajería entre cadenas)
* Token Objetivo: <code>rsETH</code> (restaked ETH)
* Protocolos de Préstamos Afectados: Aave (V3 y V4), Compound, Euler (deuda incobrable de ~$236M-$280M) 
* Protocolos Adicionales Afectados: Pendle, Yearn, Beefy, Upshift, Fluid, SparkLend, Curve Finance, Lombard Finance 
* Sector: Finanzas Descentralizadas (DeFi), Criptomonedas, Blockchain
* Valor Robado: ~$290M (116,500 <code>rsETH</code>)
* Deuda Incobrable Generada: ~$236M - $280M en préstamos de ETH 
* Impacto en TVL: ~$13B - $15B evaporados de DeFi en 48 horas [citation:4, 8]
* Impacto en Aave: $8.45B en outflows, TVL reducido de $26.4B a $17.9B 

== Impacto y Riesgo ==

* Nivel de Riesgo: Crítico para el ecosistema DeFi y para proyectos que utilizan configuraciones inseguras de puentes entre cadenas.
* Impacto en KelpDAO:
** Pérdida directa de $290M en <code>rsETH</code>
** 112,204 <code>rsETH</code> (15% del suministro post-exploit) se convirtieron en activos sin respaldo en el adaptador del puente 
* Impacto en Aave y Otros Protocolos de Préstamos:
** Deuda incobrable estimada de $236M-$280M (ETH prestado contra <code>rsETH</code> sin respaldo)
** Aave congeló los mercados de <code>rsETH</code>, <code>wrsETH</code> y WETH en todas las deployments
** Pools de USDT y USDC alcanzaron 100% de utilización, dejando sin liquidez para retiros (aproximadamente $5.1B en stablecoins bloqueados) 
** Aave perdió su posición como el protocolo DeFi más grande por depósitos 
* Impacto en el Ecosistema DeFi:
** $13-15 mil millones en TVL evaporados en 48 horas [citation:8, 10]
** Corrida bancaria en múltiples protocolos, incluso aquellos sin exposición directa a <code>rsETH</code> 
** Protocolos como Lombard Finance pausaron sus puentes LayerZero LBTC como medida de precaución 
* Impacto en la Confianza Institucional:
** Jefferies advirtió que los bancos de Wall Street podrían ralentizar sus iniciativas de tokenización mientras re-evalúan los riesgos de seguridad en infraestructuras DeFi 
** El incidente expuso que las "marcas de confianza" de la industria (configuraciones por defecto de LayerZero) no son suficientes 
* Contexto Más Amplio:
** Es el segundo ataque masivo de DeFi vinculado a Lazarus en abril de 2026 (después de $285M de Drift Protocol el 1 de abril), totalizando más de $575 millones robados en 18 días [citation:4, 6]
** El grupo Lazarus también robó $1.5 mil millones de Bybit en febrero de 2025
** Las operaciones de ciberdelincuencia de Corea del Norte financian aproximadamente el 40% de su programa de armas según estimaciones de la ONU 

== Recomendaciones de Mitigación ==

# Configuración Multi-DVN como Estándar (M1030):
#* Nunca utilizar configuraciones 1-de-1 DVN. El estándar de la industria es una configuración multi-DVN con diversidad y redundancia, requiriendo consenso a través de múltiples verificadores independientes .
#* LayerZero ya no firmará mensajes para ninguna aplicación que ejecute una configuración 1-de-1 DVN .
# Diversificación de Proveedores de Infraestructura (M1030):
#* Los protocolos DeFi deben diversificar sus dependencias de infraestructura crítica (RPCs, verificadores, oráculos) para evitar puntos únicos de fallo .
#* Implementar sistemas de verificación cruzada entre múltiples proveedores de nodos RPC independientes.
# Monitoreo de Comportamiento Anómalo en Infraestructura (M1040):
#* Implementar detección de alteraciones en binarios de nodos RPC (<code>op-geth</code> y otros clientes de nodos).
#* Monitorear patrones de failover inusuales y ataques DDoS contra infraestructura de verificación.
#* Alertar sobre mensajes entre cadenas que no correspondan a transacciones on-chain verificables .
# Gestión de Riesgo en Protocolos de Préstamos (M1030):
#* Los protocolos de préstamos deben evaluar la calidad de la garantía aceptada, especialmente activos puenteados con configuraciones de verificación inseguras.
#* Implementar LTVs más conservadores para activos de alto riesgo (por ejemplo, SparkLend capó <code>rsETH</code> en 72% LTV vs el 93% que permitía Aave en modo E-Mode) .
#* Establecer mecanismos de respuesta a emergencias (como congelación de mercados) más ágiles.
# Preparación para Respuesta a Incidentes y Recuperación de Fondos:
#* Protocolos DeFi deben coordinar con Security Councils (como Arbitrum y Ethereum) para intervenciones rápidas (congelación de fondos, forks de emergencia) .
#* Mantener relaciones de colaboración con firmas de análisis de blockchain (Chainalysis, Elliptic) y law enforcement para rastrear y recuperar fondos robados.
#* La acción del Arbitrum Security Council sirve como precedente: congelar 30,766 ETH (~$71M) mediante una actualización temporal del contrato del puente .

== Herramientas de Detección ==

* Análisis de Blockchain: Herramientas como Chainalysis, Elliptic, y exploradores de bloques (Etherscan) para rastrear fondos robados a través de Tornado Cash y transacciones entre cadenas .
* Monitoreo de Infraestructura de Nodos: Sistemas de detección de integridad de archivos (FIM) para nodos RPC que monitoreen cambios en binarios <code>op-geth</code> y otros clientes de nodos.
* Análisis de Mensajes entre Cadenas: Herramientas de monitoreo de LayerZero y otros protocolos de mensajería para detectar mensajes que no correspondan a transacciones on-chain verificables .
* Monitoreo de TVL y Liquidez: Herramientas como DefiLlama para detectar caídas anormales en TVL y picos de utilización de pools (100% utilization) .
* SIEM / Análisis de Logs: Correlación de logs de infraestructura (RPCs, DVNs, bridges) para detectar patrones de failover y ataques DDoS .

== Referencias y Fuentes ==

* Toulas, B. (2026, 20 de abril). ''KelpDAO sufre un robo de 290 millones de dólares vinculado a los hackers de Lazarus''. (Artículo proporcionado por el usuario) .
* BleepingComputer / SecurityWeek / Infosecurity Magazine. (2026, 20-21 de abril). ''KelpDAO suffers $290 million heist tied to Lazarus hackers''. [citation:5, 7]
* LayerZero Labs. (2026, 20 de abril). ''Post-Mortem: KelpDAO Exploit''. [citation:1, 4, 7]
* Galaxy Research. (2026, 22 de abril). *KelpDAO/LayerZero Exploit Drains $290m, Freezes DeFi Markets*. 
* CoinDesk. (2026, 21 de abril). ''Jefferies warns exploit may force big banks to rethink blockchain plans''. 
* MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).

== Historial de Revisiones ==
{| class="wikitable"
!Fecha
!Versión
!Autor
!Cambios Realizados
|-
|2026-04-23
|1.0
|Fernando Vargas Hincapié
|Creación inicial de la entrada basada en el análisis del exploit de KelpDAO y atribución a Lazarus Group.
|}

== Indicadores de Compromiso (IOCs) ==
{| class="wikitable"
!Tipo
!Valor
|-
|Protocolo Afectado
|KelpDAO (protocolo de re-staking líquido en Ethereum)
|-
|Token Robado
|<code>rsETH</code> (restaked ETH)
|-
|Cantidad Robada
|116,500 <code>rsETH</code> (~$290-293M USD)
|-
|Transacción Principal
|<code>0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222</code> 
|-
|Wallets del Atacante
|<code>0x5d3919f12bcc9e5f5b5274c1a3e3c2a6f2a257ccc</code>, <code>0xbb6a6006eb71a5c3c8c2c5d1c9d9c1c1d631c787</code>, <code>0x1f4c1c2e610f3b2c7f6e5a1c9b3d4a8db3adef</code>, <code>0xeba786c9517a4b3c2d1e6f5a9b8c7d6e68129b</code>, <code>0xcbb24a6b4daf3a2b1c4d5e6f7a8b9c0dae1455cc</code>, <code>0x8d11aeac74263b2a1c4e5f6a7b8c9d0e174c2d49</code>, y más 
|-
|Mezclador Utilizado
|Tornado Cash 
|-
|Infraestructura Comprometida
|Nodos RPC <code>op-geth</code> utilizados por el DVN de LayerZero (al menos 2 nodos) [citation:1, 4]
|-
|Actor de Amenaza
|Lazarus Group (DPRK), subunidad TraderTraitor [citation:3, 7]
|-
|Fecha del Ataque
|18 de abril de 2026, 17:35 UTC 
|-
|Segundo Intento de Robo
|40,000 <code>rsETH</code> adicionales (~$95M), bloqueado 
|-
|Deuda Incobrable Estimada
|~$236M - $280M 
|-
|ETH Congelado (Arbitrum)
|30,766 ETH (~$71M USD) congelado por Arbitrum Security Council el 21 de abril [citation:4, 5]
|-
|Caída de TVL en DeFi
|~$13-15 mil millones en 48 horas [citation:4, 8]
|-
|Caída de TVL en Aave
|~$8.45 mil millones (de $26.4B a $17.9B) 
|-
|Pools al 100% de Utilización
|USDT, USDC en Aave (~$5.1B bloqueados) 
|-
|Atribución
|"Preliminary indicators suggest attribution to DPRK's Lazarus Group, specifically TraderTraitor" - LayerZero 
|-
|Técnica de Evasión
|Autodestrucción del malware post-explotación (eliminación de binarios y logs) 
|-
|TTP Clave
|RPC-spoofing, DDoS para failover, compromiso de infraestructura off-chain [citation:4, 7]
|}

== Etiquetas / Categorías ==
<code>defi</code> <code>kelpdao</code> <code>lazarus-group</code> <code>north-korea</code> <code>trader-traitor</code> <code>layerzero</code> <code>rpc-spoofing</code> <code>bridge-exploit</code> <code>crypto-heist</code> <code>rseth</code> <code>aave</code> <code>compound</code> <code>euler</code> <code>bad-debt</code> <code>defi-contagion</code> <code>tornado-cash</code> <code>arbitrum</code> <code>security-council</code> <code>jefferies</code> <code>tokenization</code> <code>ciberwiki</code> <code>bill-toulas</code> <code>korea-del-norte</code> <code>exploit-de-puente</code>

[[Categoría:CAMPAÑAS|CAMPAÑAS]]