#DeFiLossesTop600MInApril

Abril de 2026 es ahora el peor mes registrado por brechas de seguridad en DeFi. CertiK rastreó 29 incidentes que totalizaron $651 millones en pérdidas — y solo dos mega-exploits representaron el 93% del daño.

Los dos golpes catastróficos:

Drift Protocol (Solana) — $285M (1 de abril): El Grupo Lazarus pasó 6 meses ganando confianza con el equipo de Drift — reuniones en persona en varios países, más de $1M en depósitos reales — luego engañaron a los firmantes multisig para preaprobar autorizaciones ocultas y drenaron $285M en 12 minutos. Los fondos fueron transferidos a Ethereum en horas. El segundo mayor exploit en la historia de Solana.

Kelp DAO (Ethereum/LayerZero) — $293M (18 de abril): Un atacante envió un mensaje falsificado entre cadenas a la puente LayerZero de Kelp DAO a las 17:35 UTC, engañándola para liberar 116,500 rsETH (~18% de la oferta circulante total del token). El rsETH robado fue depositado como garantía en Aave v3, tomando prestadas enormes cantidades de wETH — dejando a Aave con $195M en deuda incobrable, un desplome del 18% en el token AAVE, y salidas de TVL de aproximadamente $8B .

Desglose por vector de ataque (datos de CertiK):

Vector Pérdidas

Compromisos de billetera $611M

Manipulación de precios $18.8M

Vulnerabilidades en código $16.9M

Phishing $3.5M

Contratos no verificados $8.5M

Ataques a front-end $544K

Consecuencias sistémicas:

~$14B en salidas de TVL en DeFi en todos los protocolos

El TVL de Aave cayó aproximadamente $8B en 24 horas; el token AAVE pasó de $112 a $89.5

Aave congeló los mercados rsETH en v3 y v4

El Consejo de Seguridad de Arbitrum congeló ~$71M en ETH vinculado al hackeo de Kelp DAO

Operadores norcoreanos (Grupo Lazarus) ahora representan el 76% de todos los robos de criptomonedas en 2026 (TRM Labs)

Luz de esperanza — fondo de recuperación "DeFi United": Una campaña de recuperación colaborativa organizada por Aave ha recaudado más de $302M — suficiente para cubrir completamente el exploit de Kelp DAO. Las contribuciones incluyen Aave DAO (25,000 ETH), Lido DAO (2,500 ETH), y compromisos de Kelp DAO y LayerZero.

Pero un giro nuevo: El investigador en cadena ZachXBT acusó a la firma de abogados estadounidense Gerstein Harrow LLP de presentar reclamaciones fraudulentas para confiscar los fondos de KelpDAO congelados en $71M , aprovechando un fallo judicial de 2015 contra Corea del Norte para priorizar a sus clientes por encima de las víctimas reales del hackeo de 2026. ZachXBT ha propuesto una DAO comunitaria para contrarrestar legalmente a la firma.

Conclusiones de seguridad para usuarios de DeFi:

Verificar la gobernanza multisig — las migraciones sin bloqueo de tiempo son una vulnerabilidad fatal

Auditar rigurosamente las implementaciones de puentes entre cadenas (la verificación de mensajes de LayerZero es crítica)

Diversificar las garantías — no concentrar las tenencias en tokens de restaking únicos

Monitorear las capacidades de congelación/pausa del protocolo — respuestas rápidas salvaron ~$80M en intentos posteriores de Kelp DAO

Usar carteras hardware y estrategias separadas de carteras calientes/frías para grandes posiciones

Esta publicación se comparte por primera vez — aún no tiene me gusta ni comentarios. Sé el primero en participar y ayudar a difundir la conciencia. La seguridad en DeFi es responsabilidad de todos.

@Gate_Square