El hackeo del puente de Kelp DAO desencadenó la peor corrida bancaria descentralizada del año, con u$s13.000 millones evaporados del sistema en 48 horas. El CEO de Buenbit, Federico Ogue, reveló que la plataforma retiró sus fondos a tiempo, pero la crisis desnuda un riesgo que el ecosistema local no puede ignorar: cuando DeFi se rompe, no distingue geografías.
Recapitulando, el sábado 18 de abril a la tarde, seis billeteras financiadas previamente a través de Tornado Cash comenzaron a operar en sincronía. En menos de una hora, 116.500 rsETH (equivalentes a u$s292 millones) habían desaparecido del puente de Kelp DAO.
El atacante no los volcó en un exchange ni intentó liquidarlos. Hizo algo más inteligente y más destructivo: los depositó como colateral en Aave, el protocolo de préstamos más grande del ecosistema DeFi, y tomó prestado ETH real contra activos que ya no tenían respaldo.
El TVL de Aave cayó de u$s26.400 millones el 18 de abril a casi u$s20.000 millones en las primeras horas del domingo, cuando los depositantes, en pánico, comenzaron a retirar fondos de todos los mercados, incluso de los pools sin exposición a rsETH. La tasa de utilización del pool de ETH llegó al 100% y quienes habían depositado no podían retirar. Era, en los términos más precisos, una corrida bancaria descentralizada.
En las siguientes 48 horas, la salida de capital de Aave acumuló u$s8.450 millones, impulsando una caída más amplia de u$s13.210 millones en el valor total bloqueado de todo el ecosistema DeFi.
Buenbit retiró a tiempo: la historia detrás de la salvada argentina
La conexión local con este desastre no es solo indirecta. Buenbit, uno de los exchanges más importantes de Argentina, tenía exposición directa a Aave: la plataforma utilizaba el protocolo como infraestructura de backend para ofrecer rendimientos en stablecoins a sus usuarios.
El propio Federico Ogue lo había formalizado en declaraciones públicas: "La profunda liquidez de Aave, las tasas estables y los retiros confiables lo convierten en una base de confianza para el producto de rendimiento de Buenbit", señalaba el CEO en una publicación del blog oficial de Aave.
Con la crisis desatada, Ogue da a iProUP su propia lectura sin filtros: "La verdad que está siendo grave la situación en DeFi. Nunca vi que haya quedado en 0 la liquidez. Todos los que depositaron están atrapados. Buenbit retiró todo a tiempo."
La frase condensa todo el drama del episodio. Una plataforma que conocía el protocolo por dentro y que logró escapar del colapso por márgenes que todavía no están del todo claros. El exchange no dio más detalles, pero el mensaje fue suficientemente explícito para los miles de usuarios argentinos que tienen fondos en plataformas con exposición a DeFi.
El mecanismo del ataque: cómo se hackea sin romper nada
Lo que hace a este exploit especialmente perturbador es que ningún contrato inteligente fue vulnerado. El atacante habría engañado a la capa de mensajería cross-chain de LayerZero para hacer creer al sistema que había llegado una instrucción válida desde otra red. Esa señal falsa activó la liberación de 116.500 rsETH hacia una dirección bajo control del atacante.
"En términos simples, el puente funcionó exactamente como estaba programado", precisa a iProUP el experto en ciberseguridad Segundo Carranza. Para el especialista, el problema era la configuración. LayerZero, recordemos, señaló que Kelp había decidido usar una configuración de verificador único, a pesar de las advertencias previas para adoptar una configuración de múltiples verificadores.
"Una sola firma habilitó la materialización de u$s292 millones de la nada", resume Carranza.
Aave acumuló aproximadamente u$s196 millones en deuda incobrable concentrada en el par rsETH-WETH en Ethereum. Su reserva Umbrella, diseñada como respaldo automatizado para casos de bad debt, tenía entre u$s80 y u$s100 millones a mediados de abril.
El déficit resultante (entre u$s96 y u$s116 millones) deberá cubrirse mediante votación de gobernanza.
El contagio llegó a donde nadie lo esperaba
La dimensión del pánico superó la lógica técnica del incidente. Se reportaron retiros en todos los protocolos de préstamos, incluso en Solana y en protocolos sin ninguna exposición a rsETH, con salidas netas de u$s6.200 millones solo en Aave. Morpho, Sky y JupLend registraron caídas adicionales. Pero no terminó ahí, ya que el Guardián del Protocolo también congeló WETH en redes como Arbitrum, Base, Mantle y Linea para prevenir nuevos préstamos.
El contagio llegó también a los grandes nombres del ecosistema. Justin Sun retiró 65.584 ETH de Aave en una sola operación (más de u$s154 millones) antes de intentar negociar públicamente con el atacante: "¿Cuánto querés? Simplemente no vale la pena sacrificar tanto a Aave como a KelpDAO... De todos modos, no podés gastar u$s300 millones." El hacker, hasta el momento, no respondió.
Para el ecosistema cripto argentino, el impacto fue más de confianza que de pérdidas directas. No hay registros de usuarios locales con fondos atrapados de manera masiva, pero el episodio instaló una pregunta clave: ¿cuánta de la infraestructura DeFi que usan los exchanges locales tiene este mismo tipo de riesgo sistémico?
El abril más oscuro de DeFi: más de u$s600 millones robados en 20 días
Este hack no ocurrió en el vacío. En menos de 20 días, las plataformas de activos digitales perdieron más de u$s605 millones en ciberataques. Los principales incidentes incluyen:
- El 1° de abril, el protocolo Drift en Solana perdió u$s285 millones en un ataque vinculado a actores infiltrados durante meses
- CoW Swap sufrió una explotación en las semanas siguientes
- Zerion fue comprometido
- Silo Finance también cayó víctima de un exploit
El de Kelp DAO se convirtió en el mayor hack DeFi de 2026. La acumulación de incidentes subraya los riesgos sistémicos en la verificación de los puentes cross-chain y las estrechas interconexiones de DeFi. El token de LayerZero (ZRO) cayó casi un 30%.
Hay una frase que resume lo que pasó con más precisión que cualquier análisis técnico. El fundador de Aave, Stani Kulechov, lo dijo sin vueltas: "El protocolo Aave funcionó tal como fue diseñado." Tenía razón. El contrato inteligente no falló, el sistema hizo exactamente lo que estaba configurado para hacer.
Eso es, paradójicamente, lo más perturbador de todo. En DeFi, la composabilidad (la capacidad de construir sobre otros protocolos como si fueran bloques de Lego) es el activo más valioso y también su punto de mayor fragilidad. Cuando una pieza se quiebra en la base de la cadena, todos los protocolos que construyeron sobre ella heredan el problema.
Para los usuarios argentinos, la lección de este fin de semana es que el sistema puede funcionar según lo diseñado y, aun así, permitir que u$s292 millones desaparezcan y u$s13.000 millones salgan corriendo del sistema. En cripto, "funciona según lo diseñado" no siempre es sinónimo de seguridad.
