Evercrest Technologies, matriz de KelpDAO, ha demandado a LayerZero Labs y a un cofundador por la explotación del 18 de abril que drenó 116.500 rsETH, aproximadamente 292 millones de dólares, alegando que la configuración de verificador único del puente había sido revisada y aprobada por escrito. Es la primera vez que un protocolo DeFi lleva a juicio a su propio proveedor de infraestructura, y pone en juicio el eslogan más antiguo del sector.
La demanda por responsabilidad del puente DeFi de 292 millones de dólares mató a "El código es la ley"
Puntos clave
- La empresa matriz de KelpDAO, Evercrest Technologies, demandó a LayerZero Labs y a su cofundador Bryan Pellegrino por el exploit del 18 de abril que drenó 116,500 rsETH, aproximadamente $292 millones, el mayor exploit de DeFi de 2026.
- La reclamación se basa en una configuración de verificador 1-de-1 que LayerZero supuestamente "revisó y endosó por escrito", y luego atribuyó públicamente a la propia configuración de Kelp.
- Es la primera vez que un protocolo DeFi lleva a juicio a su propio proveedor de infraestructura, un desafío directo al principio de "el código es ley".
- El atacante está vinculado al Grupo Lazarus de Corea del Norte, pero la disputa legal es entre dos empresas de criptomonedas solventes sobre quién poseía el eslabón débil.
Un mensaje falsificado, $292 millones, un bloque
El 18 de abril de 2026, un único mensaje falsificado convenció a un puente entre cadenas de liberar 116,500 rsETH, aproximadamente $292 millones, en un solo bloque. No se robó ninguna clave privada ni hubo un mal funcionamiento del contrato inteligente. El código hizo exactamente lo que se le ordenó; solo se le dijo una mentira. El saldo del puente de Kelp cayó de 116,723 rsETH a 223 rsETH en ese bloque, lo que significa que aproximadamente el 18 por ciento del suministro circulante de rsETH salió del puente.
El 24 de septiembre, Evercrest Technologies, la empresa matriz de KelpDAO, presentó una demanda civil contra LayerZero Labs y el copropietario Bryan Pellegrino en la Corte Suprema de Columbia Británica. En un único escrito, el eslogan más antiguo de DeFi recibió una fecha para comparecer ante el tribunal.
¿Qué significa "el código es la ley" cuando el código es incorrecto?
«El código es la ley» ha sido la premisa fundacional de las criptomonedas durante una década: sin contrapartes, sin tribunales, sin errores humanos, solo matemáticas. Un puente entre cadenas se supone que es la expresión más pura de esa idea. Bloquear un token en una cadena, acuñar uno equivalente en otra y dejar que los verificadores, en lugar de personas, hagan cumplir las reglas. «Sin confianza» siempre fue una media verdad, porque alguien tiene que operar el verificador que comprueba si los tokens fueron realmente quemados antes de que se libere una cantidad equivalente en otro lugar.
En el caso de Kelp, ese alguien era LayerZero, específicamente una red de verificadores descentralizada (DVN) de 1 de 1. En términos prácticos, un único verificador se interponía entre un mensaje entrante y la liberación de 292 millones de dólares. No había una segunda opinión ni ninguna verificación cruzada. Ese único punto de confianza es toda la historia: el ataque no rompió el puente, envenenó el único sensor del que dependía el puente.
¿Quién gana y quién pierde cuando un puente falla?
Los ganadores son fáciles de nombrar. Los tribunales y los asesores externos, primero. El CCIP de Chainlink, al que Kelp migró en mayo, ganó visibilidad que los presupuestos publicitarios rara vez compran: Solv Protocol movió aproximadamente $700 millones de SolvBTC fuera de LayerZero, y Lombard, con $2.1 mil millones en valor total bloqueado, lo siguió. Las compañías de seguros y auditoría obtienen nuevos negocios después de cada pérdida destacada en las noticias. Cada protocolo que ya ejecutaba redundancia con múltiples verificadores se volvió más atractivo en comparación.
Los perdedores son igualmente claros. La reputación de LayerZero absorbió el golpe directo, y Aave tiene una deuda mala estimada de $123.7 millones a $230.1 millones después de que el atacante depositó rsETH falsificado y tomó prestados activos reales contra ello. La víctima más silenciosa es la posición estricta sin recurso, el argumento de que en DeFi las pérdidas son definitivas y nadie le debe a nadie. Una empresa de criptomonedas ha demostrado ahora que incluso los propios constructores de la industria no aceptan ese marco.
El efecto de segundo orden puede ser más importante que todo esto. La frase "revisado y aprobado por escrito" es ahora un instrumento legal. La documentación, los registros de chat interno y los mensajes directos de los proveedores de infraestructura son pruebas potenciales de descubrimiento. Una ola de términos de servicio reescritos en toda la industria de cadenas cruzadas dentro de los doce meses sería un resultado poco notable.
¿Ha pasado esto antes?
No de esta forma. En 2022, Wormhole perdió $325 millones y Jump Crypto compensó a los usuarios en cuestión de días, sin tribunales ni búsqueda de culpables. En 2023, Multichain perdió aproximadamente $1.5 mil millones, su director ejecutivo fue arrestado en China y los fondos permanecieron congelados sin contraparte alguna a la cual demandar. En 2022, Ronin perdió $625 millones y se resolvió mediante respaldos coordinados. El manual de DeFi era binario: un rescate silencioso o un colapso estruendoso. No había tercera opción.
La reclamación de Kelp introduce una. Dos empresas de criptomonedas solventes están pidiendo a un tribunal que decida quién era el eslabón débil: el protocolo que implementó el puente, o el proveedor de infraestructura cuyo único verificador firmó un mensaje falsificado. LayerZero inicialmente afirmó que su protocolo "funcionó exactamente como se pretendía" y que los usuarios no deberían confiar en un único DVN, y más tarde reconoció que "cometió un error al permitir que nuestro DVN actuara como un DVN 1-de-1 para transacciones de alto valor". Kelp afirma que LayerZero advirtió a un desarrollador separado, USDT0, sobre los riesgos de los verificadores a finales de 2024 o principios de 2025, pero no transmitió la misma advertencia a Kelp. Esa asimetría es lo que la litigación existe para examinar.
¿Hacia dónde se dirige la responsabilidad de los puentes en uno a tres años?
Se espera que la "infraestructura de rendición de cuentas" se convierta en una categoría de producto: envoltorios legales, entidades legales DAO, seguros en cadena y cláusulas de responsabilidad explícitas escritas en los acuerdos de integración. "¿Quién verifica tu puente?" se une a "¿quién audita tu código?" en las listas de verificación de diligencia debida institucional. La suposición de que un operador de puente queda exento de responsabilidad en el momento en que se completa una transacción.
Una segunda fuerza corre en paralelo. La misma semana en que Kelp presentó su demanda, Nueva York demandó a Polymarket por juego, un recordatorio de que los conflictos entre el estado y la industria se están acelerando en su propia trayectoria. Los reguladores leerán la litigación cripto-contra-cripto como una hoja de ruta: donde la industria no puede ponerse de acuerdo sobre la responsabilidad, los tribunales y las agencias llenan el vacío. La era de resolver estos asuntos en privado está terminando porque las pérdidas han crecido demasiado y las contrapartes ahora son lo suficientemente sustanciales como para impugnarlas.
Qué deben extraer los participantes del mercado de esto
Esta no es una historia de precios, y no debe leerse como tal. Cambia la forma en que se debe evaluar el riesgo. En primer lugar, los puntos únicos de fallo merecen una reevaluación: el capital sigue migrando hacia configuraciones con múltiples verificadores y proveedores, y los protocolos que aún ejecutan un único DVN llevan un descuento que el mercado no ha valorado completamente. En segundo lugar, los endosos por escrito ahora se comportan como pasivos contingentes; si un proveedor de infraestructura endosó una configuración, ese endoso es una reclamación potencial contra él. En tercer lugar, la atribución en este caso, la ingeniería social de un desarrollador de LayerZero seguida del envenenamiento de su infraestructura RPC por un clúster vinculado a Lazarus conocido como TraderTraitor, describe una clase de ataque recurrente y bien financiada en lugar de un incidente aislado. La DeFi consciente de las sanciones y conforme a la normativa se está convirtiendo en un diferenciador genuino en lugar de un término de marketing.
La lección más profunda es que la vulnerabilidad no fue una compromiso de claves. Fue un envenenamiento de infraestructura, una clase de ataque que una auditoría de contratos inteligentes no revela. Una tesis de seguridad que comienza y termina con contratos auditados está examinando la capa incorrecta.
La pregunta que nadie quiere responder
El detalle más revelador no son los 292 millones de dólares. Es que dos equipos de criptomonedas que predican la confianza en el código ahora están pidiendo a un tribunal que decida quién confió en quién. Cuando los propios constructores de DeFi se niegan a aceptar que "el código es la ley" como respuesta, el resto del mercado tampoco debería hacerlo. La verdadera pregunta nunca fue si el cripto desarrollaría responsabilidad, sino quién la escribe: un tribunal, o la DAO que se suponía que reemplazaría uno.
FAQ
¿Qué ocurrió en la vulnerabilidad de KelpDAO? El 18 de abril de 2026, los atacantes alimentaron un mensaje falso al único verificador que aseguraba el puente LayerZero de Kelp, lo que provocó que liberara 116.500 rsETH, aproximadamente 292 millones de dólares, sin un quema correspondiente en la cadena de origen. El saldo del puente de Kelp cayó de 116.723 rsETH a 223 rsETH en un solo bloque.
¿Por qué KelpDAO está demandando a LayerZero? Kelp alega que LayerZero "revisó y respaldó por escrito" la configuración vulnerable de verificador 1-de-1, luego culpó públicamente a la configuración de Kelp tras la pérdida, y que LayerZero advirtió a otro desarrollador sobre los riesgos de los verificadores pero nunca advirtió a Kelp. La demanda alega representación negligente, negligencia y difamación.
¿Significa "el código es ley" que nadie es responsable? En la práctica, no. Generalmente ha significado que cuando el código falla, el usuario absorbe la pérdida. Esta demanda muestra que incluso los propios constructores de la industria ahora esperan recursos: un tribunal que decida quién era dueño del eslabón débil cuando el código hizo lo que se le ordenó, pero se le dijo una mentira.
¿Se cree que quién tomó los fondos? El informe de incidente de LayerZero, citando a Mandiant y CrowdStrike, atribuyó la intrusión a TraderTraitor, también rastreado como UNC4899, un grupo vinculado al Grupo Lazarus de Corea del Norte. El rastro de los fondos lleva a un actor estatal, mientras que la disputa en los tribunales permanece entre Kelp y LayerZero.
¿Qué significa esto para otros puentes? Se espera que el capital siga migrando hacia configuraciones de múltiples verificadores y múltiples proveedores, como Chainlink CCIP, y se espera que los proveedores de infraestructura revisen los términos de servicio y las exclusiones de responsabilidad. "¿Quién verifica tu puente?" es ahora una pregunta de debida diligencia en lugar de una reflexión posterior.