PUNTOS IMPORTANTES:
- Un fallo en la comunicación entre blockchains permitió que un hacker robe millones de dólares en segundos.
- El hacker usó esos fondos como colateral en AAVE, generando deuda sin respaldo dentro del sistema.
- El incidente no es menor, ya que reabre dudas sobre la seguridad real de DeFi y la supuesta descentralización de sus infraestructuras.
El ecosistema cripto volvió a vivir uno de esos episodios que dejan huella. En cuestión de segundos, un fallo en la infraestructura de comunicación entre blockchains desencadenó uno de los mayores incidentes de DeFi en lo que va de 2026. Protocolos relevantes como AAVE, Lido o Ethena activaron medidas de emergencia, y el mercado reaccionó con caídas inmediatas.
Detrás del ruido, lo que ocurrió fue más técnico que espectacular. Pero precisamente por eso, más preocupante.
Un “puente” que falló donde nadie miraba
Todo empezó con Kelp DAO, un protocolo de “liquid restaking”. En términos simples, los usuarios depositan ETH y reciben a cambio un token llamado rsETH, que pueden usar en otras plataformas mientras su inversión sigue generando rendimiento.
El problema aparece cuando ese sistema necesita moverse entre distintas redes. Para eso utiliza LayerZero, una tecnología que actúa como mensajero entre blockchains.
Según reconstruyeron varios analistas del sector, el atacante logró engañar ese sistema de mensajería. Hizo creer al protocolo que un depósito era legítimo cuando en realidad no lo era. Resultado: el sistema liberó 16500 rsETH, equivalentes a unos 292 millones de dólares, directamente a la wallet del hacker.
El efecto dominó: cuando el problema salta de un protocolo a otro
El ataque no terminó ahí. De hecho, lo más delicado vino después.
El hacker utilizó esos rsETH como garantía dentro de AAVE. Con ese colateral pidió préstamos en WETH, que sí tienen valor real y liquidez inmediata. Y retiró el dinero.
El problema es que ese rsETH, en realidad, ya no tenía respaldo. Era, en la práctica, “dinero fantasma”.
Ahí aparece un concepto clave en DeFi: el bad debt. Es deuda que nadie va a pagar porque el colateral que la respalda perdió valor o directamente no existe.
Tal como explicó el analista conocido como sh3inix en X:
“Ese rsETH que usó como colateral en AAVE ahora NO tiene respaldo. O sea: hay una deuda que nadie va a pagar”.
Reacción de emergencia y daño contenido (por ahora)
Apenas detectado el ataque, Kelp DAO activó un mecanismo de pausa de emergencia. Eso evitó que el atacante pudiera drenar otros 40.000 rsETH adicionales, lo que habría elevado el impacto en unos 100 millones más.
AAVE también reaccionó rápido. Congeló mercados específicos para evitar que el problema se expandiera dentro de su protocolo.
Aun así, el golpe ya estaba hecho. El token de AAVE acumula una caída de más del 17% en las últimas 24 horas, y el episodio generó un efecto contagio en varios proyectos vinculados al ecosistema.
¿Fallo técnico o problema estructural?
Todavía no hay una respuesta definitiva. Kelp DAO aseguró que está investigando junto a LayerZero y firmas de auditoría. Pero el foco ya está puesto en un punto incómodo para el sector: La supuesta descentralización.
Algunas voces, como la del analista Zach Rynes, venían advirtiendo que ciertas capas de estos sistemas dependen de validaciones relativamente centralizadas. En este caso, el sistema de verificación de mensajes podría haber sido el eslabón débil.
Y eso abre una discusión más profunda: si los “puentes” entre blockchains no son completamente seguros, todo el ecosistema DeFi queda expuesto.
Por qué este hack importa más de lo que parece
No es solo el dinero. Es el precedente.
Este tipo de ataques muestra cómo un fallo en un protocolo puede escalar rápidamente a otros. DeFi funciona como un sistema interconectado. Cuando una pieza falla, el impacto no se queda aislado.
Además, pone en duda uno de los pilares del sector: la confianza en contratos automatizados sin intermediarios. Si esa confianza se resquebraja, el efecto puede ser mucho más amplio que una caída puntual de precios.
Por ahora, el mercado sigue en alerta. Y los desarrolladores, bajo presión.
