Aave y Kelp DAO queman el rsETH del explotador; comienza el reabastecimiento de $278M

El mayor esfuerzo coordinado de recuperación DeFi de 2026 acaba de alcanzar un hito crítico. Aave y KelpDAO han quemado con éxito el rsETH del explotador en Arbitrum. Este es el primer paso técnico importante para restaurar el respaldo completo del token de restaking líquido rsETH. Kelp y Aave han iniciado un plan de reabastecimiento de dos semanas, devolviendo progresivamente 117,132 rsETH, por un valor aproximado de $278 millones, al adaptador OFT de LayerZero. Los equipos esperan reabrir los retiros dentro de las 24 horas posteriores a la primera tanda. Las noticias de Aave hoy marcan el punto de inflexión en un esfuerzo de recuperación que ha consumido a la industria DeFi durante casi cuatro semanas.

Cómo ocurrió el exploit

El 18 de abril de 2026, los atacantes explotaron una vulnerabilidad crítica en la configuración del puente LayerZero de KelpDAO. El exploit apuntó a una configuración DVN de verificador único. Es una configuración de atestador 1 de 1 que permitió a los atacantes comprometer nodos RPC y alimentar datos falsos al puente. El incidente ocurrió porque un atacante acuñó y desplegó fraudulentamente aproximadamente $292 millones en rsETH no respaldado como colateral en protocolos DeFi como Aave.

Las consecuencias inmediatas fueron severas. El rsETH se desacopló bruscamente. KelpDAO pausó todos los retiros, depósitos y operaciones de puente. El Consejo de Seguridad de Arbitrum congeló 30,766 ETH vinculados al exploit. El incidente provocó más de $7 mil millones en salidas temporales de TVL DeFi. Desencadenó una batalla legal cuando los acreedores de juicios por terrorismo en EE. UU. presentaron un aviso de restricción intentando apoderarse del ETH congelado como propiedad norcoreana. Una reclamación que Aave desafió con éxito en un tribunal federal.

El plan de recuperación en detalle

La recuperación técnica avanza en dos vías paralelas. Primero, el reabastecimiento de 117,132 rsETH proviene de dos fuentes: el multisig del Guardián de Recuperación de Aave y el Cofre de Recuperación de Kelp. Ambas entidades están enviando progresivamente estos fondos al adaptador OFT de LayerZero en la red principal de Ethereum durante las próximas dos semanas. Kelp asegura que el rsETH se mantenga completamente respaldado en todo momento durante este proceso. Los retiros se reabrirán dentro de las 24 horas posteriores a que la primera tanda llegue al adaptador.

The first set of steps in the rsETH technical recovery plan are complete, including burning the exploiter's rsETH on Arbitrum. Progressively refilling the LayerZero OFT adapter and reopening rsETH operations will follow over the coming days. https://t.co/p1tiIzp5Nr

— Aave (@aave) May 12, 2026

En segundo lugar, BailSec ya ha completado y auditado un exhaustivo endurecimiento de seguridad. La verificación ahora requiere cuatro atestadores independientes en lugar de un solo verificador. El equipo ha elevado las confirmaciones de bloque de 42 a 64. Los desarrolladores también han descontinuado todas las rutas de puente L2 a L2. KelpDAO también está migrando a CCIP de Chainlink para la futura infraestructura de puentes entre cadenas.

El fundador de Aave, Stani Kulechov, capturó el peso del momento directamente. “Las últimas semanas, incluidos los fines de semana, han sido increíblemente intensas”, dijo. “Nada de esto habría sido posible sin todo el equipo trabajando sin descanso en este esfuerzo de recuperación. Estamos construyendo un nuevo nivel de resiliencia, y se seguirá un análisis posterior con nuevos aprendizajes.”

Lo que esto significa para inversores y desarrolladores

Para los tenedores de rsETH y los usuarios de Aave, la reapertura de los retiros dentro de las 24 horas pone fin al período más disruptivo en la historia de KelpDAO. Específicamente, las operaciones completas, depósitos, redenciones, puentes y reclamaciones se reanudarán una vez que los contratos se despausen.

Para los desarrolladores DeFi y arquitectos de protocolos, el exploit y la recuperación de KelpDAO establecen en cambio una nueva base para los estándares de seguridad de puentes. En consecuencia, las configuraciones de verificador único ya no son aceptables. De hecho, la verificación de múltiples atestadores, los requisitos elevados de confirmación de bloques y la migración a infraestructura probada en batalla como CCIP representan la nueva postura de seguridad mínima viable para cualquier protocolo entre cadenas que maneje un valor significativo. En última instancia, DeFi United cumplió, y la industria está observando qué se construye a continuación.