El código no tenía problemas, pero aún así fue robado: ¿Qué pasó con la «vulnerabilidad de configuración DVN», responsable del mayor caso de hacking de 2026?
Resumen del ataque a Kelp DAO (18 de abril de 2026):
Se robaron 116.500 rsETH (≈293M USD) debido a una configuración vulnerable en el protocolo LayerZero V2. El problema no estuvo en el código de los contratos inteligentes, sino en un parámetro de configuración: Kelp DAO usaba solo 1 validador (DVN) para autorizar mensajes cross-chain, lo que permitió a atacantes falsificar transacciones al comprometer un único nodo.
Los fondos robados se utilizaron como garantía en protocolos de préstamo (Aave, Compound, Euler), generando pérdidas de 236M USD. Aave enfrenta una deuda impaga significativa, afectando a sus usuarios.
Este caso expone un vacío en las auditorías de seguridad tradicionales, que se centran en código y no en configuraciones o riesgos operativos. Incidentes previos como Nomad (192M USD) también fueron causados por errores de configuración. La industria necesita estándares más estrictos para parámetros críticos y validación descentralizada.
LayerZero y Kelp DAO investigan el incidente junto a SEAL Org.
marsbit04/19 23:59
