KelpDAO DeFi Bridge Exploit Campaign (Lazarus Group / TraderTraitor)
KelpDAO Bridge Exploit Campaign es un ataque de criptomonedas altamente sofisticado ocurrido el 18 de abril de 2026, que resultó en el robo de aproximadamente $290 millones (116,500 rsETH) del protocolo de finanzas descentralizadas (DeFi) KelpDAO, siendo el mayor exploit de DeFi de 2026 hasta la fecha . El ataque, atribuido con alta confianza preliminar al Grupo Lazarus de Corea del Norte (específicamente a su subunidad TraderTraitor), no explotó vulnerabilidades en contratos inteligentes, sino que atacó la capa de verificación de infraestructura de LayerZero, el protocolo de mensajería entre cadenas que KelpDAO utilizaba para su token rsETH . Los atacantes llevaron a cabo una operación meticulosamente planificada que incluyó el compromiso de dos nodos RPC independientes utilizados por el verificador de LayerZero, el reemplazo de los binarios que ejecutaban los nodos op-geth, y un ataque de denegación de servicio distribuido (DDoS) contra los nodos RPC no comprometidos para forzar al sistema a depender de los nodos envenenados . Una vez que el verificador aceptó un mensaje falso entre cadenas, el puente liberó $290 millones en rsETH a una dirección controlada por el atacante. El malware utilizado en el ataque se autodestruyó después de la ejecución, eliminando binarios y logs para frustrar la investigación forense . El atacante utilizó inmediatamente los fondos robados como garantía en protocolos de préstamos como Aave, Compound y Euler, tomando prestado ETH real, dejando a estos protocolos con una deuda incobrable estimada de aproximadamente $280 millones o más . Un segundo intento de robar $95 millones adicionales (40,000 rsETH) fue bloqueado cuando KelpDAO pausó los contratos 46 minutos después del drenaje inicial y blacklisteó las wallets del atacante .
Nombres Alternativos / Aliases
- KelpDAO Bridge Exploit (Por el protocolo objetivo)
- LayerZero DVN RPC Poisoning Attack (Por la técnica de ataque)
- TraderTraitor DeFi Heist (Por el subgrupo de Lazarus responsable)
- $290M rsETH Exploit (Por el monto y token robado)
- April 2026 DeFi Mega-Hack (Por el contexto de ataques sucesivos)
Fecha de Detección / Actividad
- Fecha del Ataque: 18 de abril de 2026, 17:35 UTC
- Detección y Pausa: KelpDAO detectó "actividad sospechosa entre cadenas" y pausó contratos 46 minutos después
- Segundo Intento Bloqueado: Se intentó robar $95M adicionales, mitigado por la pausa de contratos y blacklisting
- Congelamiento de Fondos en Arbitrum: 21 de abril de 2026, 11:26 p.m. ET (30,766 ETH congelados ~$71M)
- Fecha del Atribución Pública: 20-21 de abril de 2026
- Impacto en TVL: $13B+ evaporados en 48 horas
- Estado: Activo. El atacante está lavando fondos; investigaciones en curso; protocolos afectados gestionando deuda incobrable.
Actor de Amenaza (Atribución)
- Nombre del Actor: Lazarus Group (también conocido como APT38, Hidden Cobra), específicamente la subunidad TraderTraitor [citation:1, 3, 7]
- Tipo de Actor: Grupo de ciberdelincuencia patrocinado por el estado, perteneciente a la República Popular Democrática de Corea (RPDC / Corea del Norte)
- Sofisticación: Extremadamente alta. El Grupo Lazarus es considerado uno de los actores de amenazas más sofisticados a nivel global. Este ataque en particular demuestra: (a) capacidades avanzadas de ingeniería inversa y análisis de infraestructura para identificar la configuración de verificación de LayerZero, (b) la capacidad de comprometer múltiples nodos RPC independientes sin conexión directa entre sí, (c) el reemplazo de binarios
op-gethpara ejecutar RPC-spoofing con payloads personalizados diseñados para minimizar alertas, (d) la coordinación de ataques DDoS contra nodos RPC saludables para forzar failover, (e) el autoborrado de artefactos maliciosos post-explotación, (f) un enfoque de "paciencia y precisión" que implicó posiblemente un reconocimiento de seis meses, similar al exploit de Drift Protocol [citation:3, 4]. Además, el grupo ha sido vinculado al robo de $1.5 mil millones de Bybit en febrero de 2025 y al exploit de $285 millones de Drift Protocol el 1 de abril de 2026, sumando más de $575 millones robados de DeFi en 18 días [citation:4, 6].
Resumen Ejecutivo
KelpDAO Bridge Exploit Campaign representa un hito en la evolución de los ataques a DeFi, demostrando que las vulnerabilidades ya no se limitan a bugs en contratos inteligentes, sino que se extienden a la infraestructura off-chain y a las configuraciones de verificación entre cadenas . El ataque, atribuido al Grupo Lazarus de Corea del Norte, aprovechó la configuración insegura de KelpDAO de un verificador 1-of-1 DVN (un único punto de fallo) en su puente basado en LayerZero, a pesar de que LayerZero había recomendado explícitamente configuraciones multi-DVN como estándar de la industria [citation:1, 5]. Los atacantes comprometieron dos nodos RPC que el verificador de LayerZero utilizaba para confirmar transacciones entre cadenas, reemplazaron sus binarios op-geth y lanzaron un ataque DDoS contra los nodos restantes, forzando al sistema a depender de los nodos envenenados . Una vez que el verificador firmó un mensaje falso que aparentaba originarse de Unichain, el adaptador OFT de rsETH liberó 116,500 rsETH (valorados en $293M) a una dirección controlada por el atacante . El malware se autodestruyó post-explotación, borrando logs y binarios para evadir análisis forense . Inmediatamente, el atacante depositó los rsETH robados como garantía en Aave, Compound y Euler, tomando prestado ETH real (WETH y wstETH) y generando una deuda incobrable estimada de $236 millones a $280 millones para estos protocolos [citation:4, 7]. El robo desencadenó una corrida bancaria en DeFi, con usuarios retirando $8.45 mil millones de Aave y una caída total de $13-15 mil millones en el valor total bloqueado (TVL) en solo 48 horas [citation:4, 8]. Aave congeló los mercados de rsETH, wrsETH y WETH, mientras que los pools de USDT y USDC alcanzaron 100% de utilización, dejando sin liquidez para retiros . El 21 de abril, el Consejo de Seguridad de Arbitrum ejecutó una intervención sin precedentes, congelando 30,766 ETH ($71M) de los fondos robados en Arbitrum [citation:4, 5]. Jefferies advirtió que este exploit podría frenar temporalmente los esfuerzos de tokenización de Wall Street, ya que las instituciones financieras re-evalúan los riesgos de seguridad en infraestructuras DeFi .
Vectores de Ataque / Métodos de Explotación
- Reconocimiento de Infraestructura: Lazarus identificó la lista de RPCs que el DVN de LayerZero utilizaba para verificar transacciones de
rsETH, incluyendo la configuración 1-of-1 DVN de KelpDAO (un único verificador como punto único de fallo) [citation:1, 7]. - Compromiso de Nodos RPC: Los atacantes comprometieron dos nodos RPC independientes que ejecutaban
op-geth, que estaban en clústeres separados sin conexión directa entre sí, y reemplazaron sus binarios con versiones maliciosas [citation:1, 5]. - Ataque DDoS y Failover: Lanzaron un ataque de denegación de servicio distribuido (DDoS) contra los nodos RPC no comprometidos, forzando al sistema a hacer failover hacia los nodos envenenados [citation:3, 7].
- RPC-Spoofing y Forja de Mensajes: Los nodos comprometidos utilizaron un payload personalizado diseñado explícitamente para forjar un mensaje al DVN que aparentaba ser válido, reportando datos falsos de la cadena de bloques mientras continuaban reportando datos precisos a otros sistemas, manteniendo el ataque invisible .
- Firma y Liberación de Fondos: El DVN aceptó el mensaje falso (aparentando originarse de Unichain) como válido y el adaptador OFT de
rsETHliberó 116,500rsETHdesde el escrow de Ethereum mainnet a la dirección del atacante en una sola transacción . - Autodestrucción del Malware: El malware se autodestruyó inmediatamente después, eliminando binarios y logs para frustrar el análisis forense y la atribución .
- Uso de
rsETHcomo Garantía: El atacante depositó losrsETHrobados como garantía en Aave V3, Compound y Euler (principalmente en Ethereum L1 y Arbitrum), y tomó prestado ETH real (WETH y wstETH) . - Lavado de Activos: El atacante utilizó Tornado Cash para ocultar el rastro inicial, y posteriormente movió fondos a través de Arbitrum y stablecoins basadas en Tron [citation:2, 3].
Técnicas, Tácticas y Procedimientos (TTPs) - MITRE ATT&CK
| Táctica (MITRE ATT&CK) | Técnica / Subtécnica | Descripción / Implementación |
|---|---|---|
| Reconnaissance (TA0043) | Active Scanning (T1595) | Escaneo de infraestructura DVN de LayerZero, identificación de la lista de RPCs utilizados y la configuración 1-of-1 [citation:4, 7]. |
| Resource Development (TA0042) | Compromise Infrastructure (T1584) | Compromiso de dos nodos RPC independientes utilizados por LayerZero; reemplazo de binarios op-geth [citation:1, 5].
|
| Resource Development (TA0042) | Develop Capabilities: Malware (T1587.001) | Desarrollo de payloads personalizados para RPC-spoofing y mecanismo de autodestrucción [citation:2, 4]. |
| Initial Access (TA0001) | Valid Accounts (T1078) / External Remote Services (T1133) | Acceso inicial a los nodos RPC (método exacto no especificado; potencialmente credenciales comprometidas o explotación) . |
| Execution (TA0002) | Command and Scripting Interpreter (T1059) | Ejecución de comandos en los nodos RPC comprometidos para reemplazar binarios y ejecutar payloads maliciosos . |
| Persistence (TA0003) | Create or Modify System Process (T1543) | Modificación de binarios op-geth para mantener la capacidad de forjar mensajes .
|
| Defense Evasion (TA0005) | Indicator Removal (T1070) | Autodestrucción del malware post-explotación, eliminación de binarios y logs para frustrar análisis forense . |
| Defense Evasion (TA0005) | Masquerading (T1036) | Los payloads maliciosos se diseñaron para minimizar alertas, reportando datos precisos a sistemas de monitoreo mientras forjaban datos al DVN . |
| Credential Access (TA0006) | Steal Application Access Token (T1528) | Captura de tokens de autenticación/verificación del DVN para firmar mensajes falsos . |
| Collection (TA0009) | Data from Information Repositories (T1213) | Recopilación de datos sobre transacciones y la lógica de verificación del puente . |
| Command and Control (TA0011) | Application Layer Protocol: Web Protocols (T1071.001) | Comunicación entre nodos comprometidos y la infraestructura del atacante . |
| Exfiltration (TA0010) | Exfiltration Over Web Service (T1567) | Transferencia de rsETH robado a wallets controladas por el atacante [citation:3, 4].
|
| Impact (TA0040) | Data Manipulation: Transmitted Data Manipulation (T1565.002) | Forja de mensajes entre cadenas que reportaban transacciones que nunca ocurrieron on-chain [citation:3, 7]. |
| Impact (TA0040) | Financial Theft (sin código ATT&CK específico) | Robo de $290M en rsETH y préstamo de ETH real contra garantía sin respaldo, creando deuda incobrable .
|
Flujo de Ataque (Cyber Kill Chain)
- Reconocimiento (Meses previos): Lazarus realiza un reconocimiento extenso de la infraestructura de LayerZero, identificando que KelpDAO utiliza una configuración insegura 1-de-1 DVN (un solo verificador) para su token
rsETH, creando un único punto de fallo [citation:1, 4]. Posiblemente asisten a conferencias y hacen depósitos iniciales en el proyecto (similar al patrón del exploit de Drift Protocol) . - Armamento: Los atacantes desarrollan payloads personalizados para RPC-spoofing, binaries maliciosos de
op-geth, y mecanismos de autodestrucción. Identifican los RPCs específicos que el DVN de LayerZero utiliza para verificar transacciones dersETH. - Entrega y Explotación (18 de abril): Los atacantes comprometen dos nodos RPC independientes, reemplazan sus binarios
op-gethcon versiones maliciosas, y lanzan un ataque DDoS contra los nodos RPC restantes . El sistema failover a los nodos envenenados, que reportan datos falsos al DVN mientras continúan reportando datos precisos al resto de la red . - Instalación y Ejecución: El DVN, creyendo que los datos son válidos, firma un mensaje falso que aparenta originarse de Unichain. El adaptador OFT de
rsETHlibera 116,500rsETHa la dirección del atacante . - Autodestrucción: El malware se autodestruye, eliminando binarios y logs para evadir la investigación forense .
- Comando y Control (C2): Los fondos robados son movidos a través de Tornado Cash y múltiples wallets .
- Acción sobre Objetivos:
- Explotación de Garantía: El atacante deposita los
rsETHrobados como garantía en Aave, Compound y Euler, y toma prestado ETH real (WETH, wstETH) . - Lavado de Activos: Los fondos son consolidados (74,000 ETH aproximadamente) y movidos a través de Arbitrum y stablecoins en Tron [citation:2, 4].
- Explotación de Garantía: El atacante deposita los
Infraestructura Utilizada
| Tipo | Indicador / Característica | Propósito |
|---|---|---|
| Nodos RPC Comprometidos | Nodos op-geth independientes en clústeres separados
|
Validación falsa de transacciones, punto de pivote para RPC-spoofing [citation:1, 4] |
| Binarios Maliciosos | Binarios op-geth personalizados reemplazados
|
Forja de mensajes al DVN, reporte de datos falsos |
| Capa de Verificación | DVN (Decentralized Verifier Network) de LayerZero | Firma de mensajes entre cadenas; objetivo principal del ataque |
| Tornado Cash | Mezclador de criptomonedas | Ofuscación inicial del rastro de fondos robados |
| Wallets del Atacante | 8+ wallets principales identificadas (ej. 0x5d3919..., 0xbb6a60..., 0x1f4c1c..., etc.)
|
Almacenamiento y movimiento de fondos robados [citation:3, 4] |
| Protocolos DeFi Afectados | Aave V3/V4, Compound, Euler, Morpho, Pendle, Yearn | Depósito de garantía (rsETH), préstamo de ETH, generación de deuda incobrable
|
| LayerZero | Protocolo de mensajería entre cadenas | Infraestructura subyacente que habilitó el puente de rsETH
|
Objetivos y Sectores Afectados
- Objetivo Principal: KelpDAO (protocolo de re-staking líquido en Ethereum)
- Protocolo Subyacente: LayerZero (infraestructura de mensajería entre cadenas)
- Token Objetivo:
rsETH(restaked ETH) - Protocolos de Préstamos Afectados: Aave (V3 y V4), Compound, Euler (deuda incobrable de ~$236M-$280M)
- Protocolos Adicionales Afectados: Pendle, Yearn, Beefy, Upshift, Fluid, SparkLend, Curve Finance, Lombard Finance
- Sector: Finanzas Descentralizadas (DeFi), Criptomonedas, Blockchain
- Valor Robado: ~$290M (116,500
rsETH) - Deuda Incobrable Generada: ~$236M - $280M en préstamos de ETH
- Impacto en TVL: ~$13B - $15B evaporados de DeFi en 48 horas [citation:4, 8]
- Impacto en Aave: $8.45B en outflows, TVL reducido de $26.4B a $17.9B
Impacto y Riesgo
- Nivel de Riesgo: Crítico para el ecosistema DeFi y para proyectos que utilizan configuraciones inseguras de puentes entre cadenas.
- Impacto en KelpDAO:
- Pérdida directa de $290M en
rsETH - 112,204
rsETH(15% del suministro post-exploit) se convirtieron en activos sin respaldo en el adaptador del puente
- Pérdida directa de $290M en
- Impacto en Aave y Otros Protocolos de Préstamos:
- Deuda incobrable estimada de $236M-$280M (ETH prestado contra
rsETHsin respaldo) - Aave congeló los mercados de
rsETH,wrsETHy WETH en todas las deployments - Pools de USDT y USDC alcanzaron 100% de utilización, dejando sin liquidez para retiros (aproximadamente $5.1B en stablecoins bloqueados)
- Aave perdió su posición como el protocolo DeFi más grande por depósitos
- Deuda incobrable estimada de $236M-$280M (ETH prestado contra
- Impacto en el Ecosistema DeFi:
- $13-15 mil millones en TVL evaporados en 48 horas [citation:8, 10]
- Corrida bancaria en múltiples protocolos, incluso aquellos sin exposición directa a
rsETH - Protocolos como Lombard Finance pausaron sus puentes LayerZero LBTC como medida de precaución
- Impacto en la Confianza Institucional:
- Jefferies advirtió que los bancos de Wall Street podrían ralentizar sus iniciativas de tokenización mientras re-evalúan los riesgos de seguridad en infraestructuras DeFi
- El incidente expuso que las "marcas de confianza" de la industria (configuraciones por defecto de LayerZero) no son suficientes
- Contexto Más Amplio:
- Es el segundo ataque masivo de DeFi vinculado a Lazarus en abril de 2026 (después de $285M de Drift Protocol el 1 de abril), totalizando más de $575 millones robados en 18 días [citation:4, 6]
- El grupo Lazarus también robó $1.5 mil millones de Bybit en febrero de 2025
- Las operaciones de ciberdelincuencia de Corea del Norte financian aproximadamente el 40% de su programa de armas según estimaciones de la ONU
Recomendaciones de Mitigación
- Configuración Multi-DVN como Estándar (M1030):
- Nunca utilizar configuraciones 1-de-1 DVN. El estándar de la industria es una configuración multi-DVN con diversidad y redundancia, requiriendo consenso a través de múltiples verificadores independientes .
- LayerZero ya no firmará mensajes para ninguna aplicación que ejecute una configuración 1-de-1 DVN .
- Diversificación de Proveedores de Infraestructura (M1030):
- Los protocolos DeFi deben diversificar sus dependencias de infraestructura crítica (RPCs, verificadores, oráculos) para evitar puntos únicos de fallo .
- Implementar sistemas de verificación cruzada entre múltiples proveedores de nodos RPC independientes.
- Monitoreo de Comportamiento Anómalo en Infraestructura (M1040):
- Implementar detección de alteraciones en binarios de nodos RPC (
op-gethy otros clientes de nodos). - Monitorear patrones de failover inusuales y ataques DDoS contra infraestructura de verificación.
- Alertar sobre mensajes entre cadenas que no correspondan a transacciones on-chain verificables .
- Implementar detección de alteraciones en binarios de nodos RPC (
- Gestión de Riesgo en Protocolos de Préstamos (M1030):
- Los protocolos de préstamos deben evaluar la calidad de la garantía aceptada, especialmente activos puenteados con configuraciones de verificación inseguras.
- Implementar LTVs más conservadores para activos de alto riesgo (por ejemplo, SparkLend capó
rsETHen 72% LTV vs el 93% que permitía Aave en modo E-Mode) . - Establecer mecanismos de respuesta a emergencias (como congelación de mercados) más ágiles.
- Preparación para Respuesta a Incidentes y Recuperación de Fondos:
- Protocolos DeFi deben coordinar con Security Councils (como Arbitrum y Ethereum) para intervenciones rápidas (congelación de fondos, forks de emergencia) .
- Mantener relaciones de colaboración con firmas de análisis de blockchain (Chainalysis, Elliptic) y law enforcement para rastrear y recuperar fondos robados.
- La acción del Arbitrum Security Council sirve como precedente: congelar 30,766 ETH (~$71M) mediante una actualización temporal del contrato del puente .
Herramientas de Detección
- Análisis de Blockchain: Herramientas como Chainalysis, Elliptic, y exploradores de bloques (Etherscan) para rastrear fondos robados a través de Tornado Cash y transacciones entre cadenas .
- Monitoreo de Infraestructura de Nodos: Sistemas de detección de integridad de archivos (FIM) para nodos RPC que monitoreen cambios en binarios
op-gethy otros clientes de nodos. - Análisis de Mensajes entre Cadenas: Herramientas de monitoreo de LayerZero y otros protocolos de mensajería para detectar mensajes que no correspondan a transacciones on-chain verificables .
- Monitoreo de TVL y Liquidez: Herramientas como DefiLlama para detectar caídas anormales en TVL y picos de utilización de pools (100% utilization) .
- SIEM / Análisis de Logs: Correlación de logs de infraestructura (RPCs, DVNs, bridges) para detectar patrones de failover y ataques DDoS .
Referencias y Fuentes
- Toulas, B. (2026, 20 de abril). KelpDAO sufre un robo de 290 millones de dólares vinculado a los hackers de Lazarus. (Artículo proporcionado por el usuario) .
- BleepingComputer / SecurityWeek / Infosecurity Magazine. (2026, 20-21 de abril). KelpDAO suffers $290 million heist tied to Lazarus hackers. [citation:5, 7]
- LayerZero Labs. (2026, 20 de abril). Post-Mortem: KelpDAO Exploit. [citation:1, 4, 7]
- Galaxy Research. (2026, 22 de abril). *KelpDAO/LayerZero Exploit Drains $290m, Freezes DeFi Markets*.
- CoinDesk. (2026, 21 de abril). Jefferies warns exploit may force big banks to rethink blockchain plans.
- MITRE ATT&CK Framework. Enterprise Matrix. (Para mapeo de TTPs).
Historial de Revisiones
| Fecha | Versión | Autor | Cambios Realizados |
|---|---|---|---|
| 2026-04-23 | 1.0 | Asistente de Seguridad | Creación inicial de la entrada basada en el análisis del exploit de KelpDAO y atribución a Lazarus Group. |
Indicadores de Compromiso (IOCs)
| Tipo | Valor |
|---|---|
| Protocolo Afectado | KelpDAO (protocolo de re-staking líquido en Ethereum) |
| Token Robado | rsETH (restaked ETH)
|
| Cantidad Robada | 116,500 rsETH (~$290-293M USD)
|
| Transacción Principal | 0x1ae232da212c45f35c1525f851e4c41d529bf18af862d9ce9fd40bf709db4222
|
| Wallets del Atacante | 0x5d3919f12bcc9e5f5b5274c1a3e3c2a6f2a257ccc, 0xbb6a6006eb71a5c3c8c2c5d1c9d9c1c1d631c787, 0x1f4c1c2e610f3b2c7f6e5a1c9b3d4a8db3adef, 0xeba786c9517a4b3c2d1e6f5a9b8c7d6e68129b, 0xcbb24a6b4daf3a2b1c4d5e6f7a8b9c0dae1455cc, 0x8d11aeac74263b2a1c4e5f6a7b8c9d0e174c2d49, y más
|
| Mezclador Utilizado | Tornado Cash |
| Infraestructura Comprometida | Nodos RPC op-geth utilizados por el DVN de LayerZero (al menos 2 nodos) [citation:1, 4]
|
| Actor de Amenaza | Lazarus Group (DPRK), subunidad TraderTraitor [citation:3, 7] |
| Fecha del Ataque | 18 de abril de 2026, 17:35 UTC |
| Segundo Intento de Robo | 40,000 rsETH adicionales (~$95M), bloqueado
|
| Deuda Incobrable Estimada | ~$236M - $280M |
| ETH Congelado (Arbitrum) | 30,766 ETH (~$71M USD) congelado por Arbitrum Security Council el 21 de abril [citation:4, 5] |
| Caída de TVL en DeFi | ~$13-15 mil millones en 48 horas [citation:4, 8] |
| Caída de TVL en Aave | ~$8.45 mil millones (de $26.4B a $17.9B) |
| Pools al 100% de Utilización | USDT, USDC en Aave (~$5.1B bloqueados) |
| Atribución | "Preliminary indicators suggest attribution to DPRK's Lazarus Group, specifically TraderTraitor" - LayerZero |
| Técnica de Evasión | Autodestrucción del malware post-explotación (eliminación de binarios y logs) |
| TTP Clave | RPC-spoofing, DDoS para failover, compromiso de infraestructura off-chain [citation:4, 7] |
Etiquetas / Categorías
defi kelpdao lazarus-group north-korea trader-traitor layerzero rpc-spoofing bridge-exploit crypto-heist rseth aave compound euler bad-debt defi-contagion tornado-cash arbitrum security-council jefferies tokenization ciberwiki bill-toulas korea-del-norte exploit-de-puente