Por qué los puentes entre cadenas son el eslabón más débil de DeFi tras el hackeo de $293m a Kelp DAO

Los puentes de criptomonedas están de vuelta en el centro de atención, y no por las razones correctas.

La explotación de $293 millones de Kelp DAO el sábado ha llevado la seguridad de los puentes a la cima del foco de atención de la industria cripto, dice Ari Redbord, director global de política y asuntos gubernamentales en TRM Labs.

"Cuando el modelo de seguridad de un emisor de $300 millones se reduce a la clave de firma de un validador, la superficie de ataque deja de ser técnica y se vuelve estructural," escribió el domingo.

El análisis sigue a un atacante que drenó 116,500 rsETH — aproximadamente el 18% del suministro circulante del token — al activar una función en el sistema de mensajería entre cadenas de LayerZero. En términos simples, el atacante envió un mensaje falso que le dijo al puente de Kelp que había llegado dinero desde otra blockchain. El puente creyó la señal y liberó los tokens.

Kelp DAO es un protocolo de restaking líquido construido en Ethereum que permite a los usuarios obtener tanto recompensas de staking estándar como rendimiento adicional de restaking a través de EigenLayer.

Cuando los usuarios depositan tokens elegibles, reciben rsETH, un activo negociable que puede usarse en plataformas DeFi mientras los fondos subyacentes continúan asegurando múltiples redes. En efecto, la estructura permite a los inversores mantener su capital productivo sin bloquearlo, preservando la liquidez mientras generan rendimientos en capas.

El ataque se suma a la pérdida de $286 millones que sufrió Drift el 1 de abril, llevando las pérdidas de DeFi de este mes a más de $550 millones.

¿Cómo funcionan los puentes?

Un puente entre cadenas es un software que conecta diferentes blockchains, como Ethereum y Arbitrum.

Cuando los usuarios mueven tokens a través de cadenas, el puente bloquea los tokens originales y crea tokens equivalentes en la nueva cadena. Ese proceso depende de validadores, computadoras confiables que confirman si una transacción de blockchain es genuina.

El puente fue engañado para creer que un mensaje falso de otra blockchain era real, por lo que liberó tokens que nunca debió haber liberado. Debido a que solo un validador estaba configurado para aprobar esos mensajes, un único punto de falla permitió al atacante desbloquear cientos de millones de dólares.

La configuración de Kelp supuestamente se basó en una Red de Verificadores Descentralizados 1/1, o DVN. Eso significa que un único validador tenía la autoridad para aprobar mensajes entre cadenas. Una vez que ese validador fue comprometido o engañado, todo el sistema confió en una señal falsa.

El "radio de explosión" se extendió más allá de Kelp. Aave, SparkLend, Fluid y Upshift pausaron los mercados vinculados a rsETH, dijo Redbord.

Solo Aave vio más de $5.4 mil millones en retiros de ether mientras los usuarios se movían para limitar la exposición, agregó.

Dos intentos adicionales de drenar otros $100 millones fueron bloqueados después de que la billetera multifirma de emergencia de Kelp congelara los contratos en 46 minutos.

"La respuesta es inclinarse hacia la defensa: conjuntos diversos de validadores en capas de mensajería, monitoreo en tiempo real de flujos de acuñación y quema, multifirmas de pausa de acción rápida y manuales entre protocolos que asumen contagio," escribió Redbord.

"Abril ha sido un mes difícil para los constructores de DeFi."

Lance Datskoluo es corresponsal de mercados de DL News con sede en Europa. ¿Tienes un dato? Envíale un correo electrónico a lance@dlnews.com