La semana más oscura de DeFi en 2026 $292M DESAPARECE EN 46 MINUTOS

19-20 de abril de 2026 | Confirmado en la cadena

╔══════════════════════════════════════════════════════════╗
║ 💀 FONDOS DRENADOS → $292–293 millones ║
║ 🔗 PROTOCOLO AFECTADO → Kelp DAO — Puente LayerZero ║
║ 📉 rsETH EN CIRCULACIÓN → 18% del suministro circulante ║
║ ⏱️ TIEMPO DE DRENADO → 46 minutos ║
║ 🌐 cadenas afectadas → 20+ redes ║
║ 🏦 TVL de AAVE PERDIDO → $6.6 mil millones en 24 horas ║
╚══════════════════════════════════════════════════════════╝

◈ 01 — RESUMEN DEL INCIDENTE: QUÉ SUCEDIÓ EXACTAMENTE
El sábado 18 de abril de 2026, aproximadamente a las 17:35 UTC, se ejecutó uno de los exploits más sofisticados y dañinos en la historia de DeFi contra Kelp DAO, un protocolo de restaking líquido construido en Ethereum. Ahora es el mayor hackeo confirmado de 2026.
¿Qué es Kelp DAO?

Kelp DAO es un protocolo de restaking líquido que toma ETH depositado por usuarios, lo enruta a través de EigenLayer para obtener rendimiento adicional de restaking, y emite rsETH, un token de recibo negociable a cambio. Los usuarios que poseen rsETH en más de 20 redes blockchain tenían ese token respaldado por reservas en el puente cross-chain de Kelp.

¿Qué es LayerZero?
LayerZero es una capa de infraestructura de mensajería cross-chain, la tecnología que permite que diferentes blockchains envíen instrucciones verificadas entre sí. Kelp utilizó LayerZero como la columna vertebral de su puente.
El paso del ataque, paso a paso:

⚡ PASO 1 → El atacante falsificó un mensaje cross-chain
Engañó al sistema de verificación de LayerZero
Hizo parecer que era una instrucción válida de
otra red

⚡ PASO 2 → El puente de Kelp aceptó el mensaje falsificado
Liberó 116,500 rsETH a la cartera del atacante
Valor en el momento del ataque: ~$292 millones

⚡ PASO 3 → Se activó la multisig de emergencia de Kelp
Contratos principales CONGELADOS a las 18:21 UTC
46 minutos después del drenado inicial

⚡ PASO 4 → Dos intentos de seguimiento a las 18:26 y 18:28 UTC
Cada uno intentó drenar 40,000 rsETH adicionales
(~$100M por intento) — ambos REVERTIDOS

⚡ PASO 5 → El atacante depositó rsETH robado en Aave V3
Usó los tokens robados como GARANTÍA
Tomó prestado ETH envuelto (WETH) contra ello
Posición de deuda incobrable: ~$196 millón en Aave solo

Este no fue un ataque de fuerza bruta. Fue un exploit de precisión dirigido a la lógica de verificación de la infraestructura de mensajería cross-chain, demostrando que los puentes siguen siendo el punto más vulnerable en todo el ecosistema DeFi.

◈ 02 — FLUJO DE FONDOS Y ESCALA DEL DAÑO

┌─────────────────────────────────────────────────────────┐
│ DESGLOSE DEL DAÑO │
├─────────────────────────────────────────────────────────┤
│ rsETH DRENADO → 116,500 rsETH │
│ VALOR EN USD → $292–293 millones │
│ % DEL SUMINISTRO CIRCULANTE→ 18% ELIMINADO │
│ DEUDA INCObable EN AAVE V3 → ~$196 millones │
│ TVL DE AAVE PERDIDO → $26.4B → $19.8B (−$6.6B) │
│ PROTOCOLOS CONGELADOS → 9 plataformas principales │
│ cadenas afectadas → 20+ L2 y redes EVM │
│ PÉRDIDA DEL TOKEN ZRO → $750K ballena perdida (−22%) │
│ CAÍDA DEL PRECIO DE rsETH → −23% evento de depeg ( │
└─────────────────────────────────────────────────────────┘

El efecto dominó más peligroso: el puente mantenía las reservas de rsETH que respaldaban versiones envueltas del token desplegadas en más de 20 redes blockchain diferentes. Con esa reserva drenada, cada poseedor de rsETH en cada red Layer 2 enfrentó de repente una pregunta crítica — ¿tiene mi token algo debajo? Esta incertidumbre provocó redenciones de pánico en todas las cadenas simultáneamente, creando un ciclo de retroalimentación donde las redenciones forzadas presionaron la oferta restante de Ethereum y podrían haber obligado a Kelp a deshacer posiciones de restaking para honrar retiros.
Lista de contagio: protocolos que se congelaron:

🔴 AAVE V3 & V4 → mercados de rsETH congelados
~)deuda incobrable confirmada
TVL: $26.4B → $19.8B

🔴 SparkLend → mercados de rsETH congelados
🔴 Fluid → mercados de rsETH congelados
🔴 Upshift → mercados de rsETH congelados
🔴 Lido Finance → depósitos earnETH en pausa
$196M tiene exposición a rsETH(
🔴 Compound → congelación preventiva
🔴 3 protocolos DeFi adicionales → pausas de emergencia

◈ 03 — REACCIÓN DEL MERCADO: IMPACTO INMEDIATO EN EL PRECIO

📉 precio de rsETH → −23% )fuertemente depeg de ETH(
📉 token de AAVE → −10% a −16% en horas
📉 LayerZero ) → −22% en 24 horas
📉 ETH → −3.72% (riesgo general de mercado)
📉 BTC → $74,026 (−2.36%)
📉 CAPITALIZACIÓN TOTAL DEL MERCADO → $2.59T (−$80B+ desde el máximo reciente)
📊 Miedo y codicia → 27/100 — MIEDO (el más bajo en 3 semanas)
💥 Liquidaciones en 24H → $306.82M (81% de LONGS eliminados)
👥 cuentas afectadas → 105,374 traders liquidados

La reacción del mercado fue rápida y desproporcionada a lo que normalmente causaría un solo exploit en un protocolo. La razón: rsETH de Kelp DAO está profundamente integrado en la infraestructura de préstamos DeFi, y la contagión a Aave, el mayor protocolo de préstamos DeFi con más de (mil millones en TVL, elevó esto de un exploit localizado a un evento sistémico de DeFi.
Las ventas de pánico se propagaron en todos los tokens de restaking líquido. Los traders huyeron de rsETH, weETH y otros activos LRT simultáneamente, creando una venta coordinada que el mercado cripto en general sintió horas después de que ZachXBT confirmara en cadena el exploit inicial.

◈ 04 — CONTEXTO DE SEGURIDAD DE DEFI: POR QUÉ LOS PUENTES SIGUEN SIENDO LOS MÁS HACKeADOS

No es la primera vez que un puente cross-chain ha sido el punto de entrada para el mayor hack del año. El patrón es consistente en toda la historia de DeFi.

⚔️ 2022 — Puente Ronin → )robado
⚔️ 2022 — Puente Wormhole → $26 robado
⚔️ 2022 — Puente Nomad → $625M robado
⚔️ 2023 — Puente Multichain → $320M robado
⚔️ 2026 — Puente Kelp DAO → $190M robado ← ESTA SEMANA

Por qué los puentes son el eslabón más débil:
▸ Los puentes deben confiar en mensajes externos de otras blockchains que no pueden verificar nativamente. Esta confianza crea una superficie de ataque que los contratos inteligentes en cadena no tienen.

▸ Protocolos de mensajería cross-chain como LayerZero reducen, pero no eliminan, esta brecha de confianza. Un atacante suficientemente sofisticado que entienda la lógica de verificación puede falsificar mensajes que pasen las comprobaciones de validación.

▸ Las reservas en los puentes están concentradas en puntos únicos de fallo. Un exploit exitoso drena toda la reserva que respalda los tokens en todas las cadenas conectadas simultáneamente.

▸ El incidente de seguridad previo de Kelp DAO en abril de 2025, un bug en un contrato de tarifas que causó una emisión excesiva, fue una señal de advertencia que no se abordó en la capa del puente.

▸ El exploit del protocolo Drift de $130M millones el 1 de abril de 2026, apenas 17 días antes de este ataque, ya había establecido abril de 2026 como el peor mes en seguridad DeFi en la memoria reciente. El hackeo de Kelp lo supera ahora.

Solo en abril de 2026 se han visto: Drift Protocol $292M $285M$285 , Kelp DAO ($292M), exchange Grinex ($13.74M), falsificación Hyperbridge ($2.5M), secuestro de dominio CoW Swap ($1.2M), oracle Silo Finance ($392K), y ataque a la puente Aethir (contenida). El daño total en brechas de seguridad DeFi en abril de 2026 supera ya los (millones en un solo mes.

◈ 05 — IMPACTO MÁS AMPLIO EN CRIPTOMONEDAS: CÓMO EL DOLOR DE DeFi LLEGA A BITCOIN

CADENA DE TRANSMISIÓN DEL MERCADO:
━━━━━━━━━━━━━━━━━━━━━━━━━━━
Hack de Kelp → depeg de rsETH → congelación de Aave →
colapso del TVL de DeFi → venta de ETH → riesgo off en BTC →
Miedo y codicia caen a 27 → cascada de liquidaciones →
sentimiento minorista colapsa → liquidez escasa en fin de semana
amplifica cada orden de venta → Doble dígito en caída del mercado total

Impacto específico en ETH:
La relación de Ethereum con DeFi hace que ETH sea el activo principal más expuesto cuando los protocolos DeFi sufren exploits a gran escala. rsETH es un derivado de ETH restakeado — cuando se depeg, los poseedores de ETH en más de 20 cadenas enfrentan incertidumbre sobre la calidad del colateral. La relación ETH/BTC cayó a 0.0308, un mínimo en lo que va de año, ya que ETH tuvo un rendimiento inferior a Bitcoin durante la venta de riesgo.

Sentimiento del sector DeFi:
La caída del TVL de $6.6 mil millones en Aave solo representa una de las destrucciones de TVL en un solo día más rápidas en la historia de DeFi que no fue causada por un mercado bajista. Cuando el mayor protocolo de préstamos en DeFi pierde un 25% de su TVL en menos de 24 horas por la contagión de un exploit, sin siquiera un ataque directo, indica que la interconexión de la infraestructura DeFi crea riesgos sistémicos que las auditorías de seguridad de protocolos individuales no pueden contener completamente.
Impacto en la confianza de los inversores:

Los tokens de restaking líquido, una de las categorías más populares de DeFi en 2025 y principios de 2026, ahora se han expuesto como portadores de riesgo concentrado en puentes que no estaban completamente reflejados en sus primas de rendimiento. Cada poseedor de LRT en cualquier protocolo está reevaluando si el rendimiento adicional justifica el riesgo de seguridad del puente debajo de sus tokens.

◈ VEREDICTO — QUÉ SIGNIFICA ESTO PARA DeFi EN EL FUTURO

━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━
DAÑO TOTAL DE DeFi EN ABRIL 2026 → $600M+
MAYOR HACKEO INDIVIDUAL DE 2026 → Kelp DAO ) PROTOCOLOS AFECTADOS → 9 plataformas principales
CADENAS ATRAPADAS → 20+ redes
DEUDA INCObable EN AAVE → ~$600 millones
━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━━

El exploit de Kelp DAO no es solo una pérdida de $292M
millones. Es una prueba de concepto de que la infraestructura de mensajería cross-chain que sustenta todo el ecosistema DeFi multichain tiene vulnerabilidades de verificación que atacantes sofisticados pueden explotar a gran escala. Hasta que los puentes desarrollen mecanismos de verificación que no puedan ser falsificados o hasta que los protocolos DeFi reduzcan su dependencia de reservas cross-chain, cada protocolo de restaking líquido, cada mercado de préstamos cross-chain y cada estrategia de rendimiento multichain llevan la misma versión del riesgo que casi le costó a Kelp DAO $196 millones.

La promesa de DeFi es finanzas abiertas. Su vulnerabilidad persistente es infraestructura abierta. Los dos son inseparables y abril de 2026 lo ha dejado más claro que cualquier mes anterior.

$292
$300
#CreatorCarvinal
#Gate13周年现场直击