Charles Hoskinson señala a Cardano y Midnight como la solución a los fallos entre cadenas que provocaron el hackeo de KelpDAO

• Un atacante explotó el puente entre cadenas de KelpDAO el 18 de abril, robando 116 500 ETH reinvertidos por un valor aproximado de 292 millones de dólares.
• La brecha provocó salidas de más de 13 000 millones de dólares en TVL de DeFi en 48 horas, afectando a Aave, Compound, Morpho y al menos otros nueve protocolos.
• Charles Hoskinson afirma que las pruebas de conocimiento cero y el cálculo multipartito de Midnight podrían evitar que se repita este tipo de ataque.

Hoskinson explica por qué el staking sin custodia de Cardano evita el riesgo de restaking

Charles Hoskinson, fundador de Cardano y cofundador de Ethereum, analizó el ataque en un vídeo publicado desde Wyoming, guiando a los espectadores a través de un sitio web de informes de incidentes generado por inteligencia artificial (IA) a medida.

«El modelo de amenazas estándar de DeFi asume que los errores en los contratos inteligentes son el riesgo dominante», dijo Hoskinson. «Eso ya no es cierto». Añadió:

«Los puentes pueden ser muy problemáticos. Un verificador uno a uno no es bueno. No lo hagas. Y luego el problema es que, si roban el dinero, los préstamos DeFi son la vía de salida. Así que, básicamente, puedes depositar, puedes prestar, y cuando obtienes esos tokens, estás obteniendo tokens que no están relacionados con el robo, y la garantía queda efectivamente contaminada».

El atacante envió un mensaje falsificado de Layerzero que llegó al contrato del punto final v2 conectado al adaptador de restake de Kelp, el cual liberó entonces los tokens de un depósito en garantía de Ethereum. El paquete falsificado indicaba como origen el ID de punto final 30320 de Uni-Chain. La configuración entre cadenas de Kelp se basaba en una única red de verificadores descentralizados, una configuración «uno a uno» que proporcionaba al atacante un único punto vulnerable.

Los tokens robados no se vendieron directamente en plataformas de intercambio descentralizadas (DEX), lo que habría hecho desplomarse el precio. El atacante depositó el ETH re-staked como garantía en mercados de préstamos como Aave antes de que Kelp o sus socios pudieran congelar las posiciones, pidiendo prestado ether envuelto líquido a cambio y llevándose activos ajenos al robo original. La garantía contaminada permaneció dentro de los mercados de préstamos.

El informe conjunto del incidente de Llamarisk, publicado el 20 de abril, confirmó 83 471 ETH repartidos entre siete carteras del atacante en Ethereum Core y Arbitrum. El informe esbozaba dos escenarios de resolución. El primero distribuye una quita del 15,12 % entre todos los titulares de ETH re-staked, lo que genera aproximadamente 123 millones de dólares en deuda incobrable absorbida por la reserva de Ethereum Core. El segundo aísla las pérdidas a nivel de la capa dos (L2), revalorizando los tokens a un respaldo del 26,46 % y generando unos 230 millones de dólares en deuda incobrable concentrada en Mantle, Arbitrum y Base, sin afectar a Ethereum Core.

Solo Aave registró entre 6.600 y 8.450 millones de dólares en salidas. Los fondos de ETH envueltos en Arbitrum, Base, Mantle, Linia y Plasma alcanzaron una utilización cercana al 100 %, bloqueando de hecho las retiradas. Al menos nueve protocolos DeFi fueron clasificados como directamente afectados, incluyendo Compound, Morpho, Lido, Ethena, Pendle, Euler, Beefy y Lombard Finance.

KelpDAO, Layerzero y Llamarisk han publicado tres análisis retrospectivos independientes. Ninguno coincide en quién es el responsable. Layerzero anunció el 20 de abril que ya no firmaría ni certificaría mensajes para ninguna aplicación que ejecutara una configuración DVN de un solo verificador, impulsando una migración a nivel de protocolo hacia configuraciones con múltiples verificadores. Kelp sostiene que la configuración predeterminada de Layerzero incluía la verificación de una sola fuente en Ethereum, BNB Chain, Polygon, Arbitrum y Optimism, y que, supuestamente, entre el 40 % y el 50 % de todas las aplicaciones OFT de Layerzero utilizan actualmente la misma configuración «uno a uno».

Los análisis forenses en cadena sugieren conexiones con el Grupo Lazarus, un colectivo de hackers patrocinado por el Estado vinculado a Corea del Norte. Ninguna empresa forense independiente ha emitido una atribución formal, y el FBI no ha hecho comentarios públicos.

Hoskinson: «Si estás en Cardano Land, solo tienes que hacer clic en Delegar… Somos líquidos y sin custodia»

Hoskinson señaló el ataque como prueba de que los fallos en la verificación de puentes han sustituido a los errores de los contratos inteligentes como principal vector de amenaza para las DeFi. Citó el intervalo de 46 minutos entre la fuga inicial y la pausa de emergencia de Kelp como señal de que la respuesta ante incidentes es importante, pero no puede superar la velocidad a la que los activos robados pueden desplegarse en los mercados de préstamos.

«Lo que hace que esto sea novedoso es el contagio», explicó Hoskinson en su vídeo. «No fue solo un hackeo de un puente. Se extendió a los préstamos, lo que a su vez provocó un contagio de deuda incobrable dentro de estos protocolos de préstamo. Provocó una retirada masiva de depósitos, y vimos cómo se retiraban 13 000 millones de dólares de TVL en un periodo de tiempo muy corto por un hackeo de 290 millones de dólares. Eso es una crisis de confianza».

Atribuyó la menor exposición de Cardano a su diseño de staking líquido y sin custodia, que elimina la necesidad de la cadena de envoltura de staking-a-staking-líquido-a-restaking que creó la superficie de ataque en Kelp. Hoskinson argumentó que Midnight, la cadena lateral de Cardano centrada en la privacidad, aborda las vulnerabilidades fundamentales implicadas.

Su protocolo Nightstream integra estados de cadena completos en pruebas que viajan junto con los mensajes entre cadenas, lo que permite verificar los mensajes falsificados antes de su aceptación. «Cuando la gente envía mensajes, puede verificar que lo que ve es correcto», afirmó. La compatibilidad con el cálculo multipartito en Midnight permitiría a Layerzero implementar configuraciones DVN «dos de tres» o «cinco de siete» listas para usar con menos fricciones operativas.

Las pruebas de conocimiento cero bloquearían los mensajes maliciosos en la capa de verificación. La anonimización de la red dificultaría la ejecución del componente DDoS de este tipo de ataques. Afirmó que las herramientas de IA, incluidos los modelos de vanguardia a los que, según se informa, el Grupo Lazarus tiene acceso a través de personas sobornadas dentro de los principales laboratorios de IA, están permitiendo a los atacantes escanear bases de código completas en busca de vulnerabilidades emergentes que ningún revisor humano detectaría por sí solo.

«Los ataques informáticos forman parte de la vida», afirmó, «y van a empeorar mucho, mucho más para todos».