DeFi United: Cómo siete protocolos rivales construyeron el primer rescate de ayuda mutua de $ 300 millones en el sector cripto
Cuando el Grupo Lazarus de Corea del Norte se hizo con 292 millones de $ en rsETH el 18 de abril de 2026, casi todo el mundo esperaba el manual de estrategia habitual: Kelp DAO absorbería la pérdida, los depositantes de Aave se comerían la deuda incobrable y un solo respaldo multimillonario podría discretamente extender un cheque de la misma manera que Jump Crypto lo hizo por Wormhole en 2022. No fue eso lo que sucedió. En su lugar, siete de los protocolos más grandes de DeFi — y normalmente ferozmente competitivos — agruparon aproximadamente 100.000 ETH en un único fondo de recuperación, lo llamaron «DeFi United», y rediseñaron silenciosamente las reglas de cómo las criptomonedas manejan sus propias catástrofes.
Las cifras son grandes, la política lo es aún más, y el precedente puede ser lo más importante que la industria ha producido en años.
El hack que rompió un invariante cross-chain
El exploit del 18 de abril no fue un error de contrato inteligente. Fue un ataque a la infraestructura.
El puente rsETH de Kelp DAO estaba conectado a LayerZero con una configuración de Red de Verificadores Descentralizados (DVN) 1 de 1 — lo que significa que un único verificador tenía que firmar los mensajes cross-chain antes de que las acuñaciones pudieran compensarse. Los operadores de Lazarus (específicamente el subgrupo TraderTraitor, según el análisis post-mortem de LayerZero) comprometieron dos nodos RPC y atacaron por DDoS al resto, obligando al verificador a conmutar por error a los puntos finales controlados por el atacante. Una vez que el verificador aceptó una confirmación fraudulenta, el contrato del lado de Ethereum liberó 116.500 rsETH — aproximadamente 292 millones de $ en ese momento — a una dirección del atacante.
El ataque no solo vació a Kelp. Rompió el invariante de respaldo cross-chain que mantiene unido a rsETH. Con el rsETH envuelto (wrapped) varado en más de 20 redes y el fondo de colateral en Ethereum vaciado, cada protocolo que había aceptado rsETH como colateral se encontró de repente con un token cuya paridad se mantenía únicamente por reputación.
En menos de 48 horas, llegó el contagio:
- El TVL de Aave cayó de 26.400 millones de — un recorte de 8.900 millones de $, con 6.600 millones concentrados en el primer día.
- El TVL total de DeFi perdió 13.210 millones de $ entre Aave, SparkLend, Fluid, Morpho y una larga cola de plataformas más pequeñas que habían aceptado silenciosamente el colateral rsETH.
- El token AAVE cayó un 16 – 18 %, y la reserva de seguridad Umbrella de Aave — el respaldo de primera pérdida del protocolo — contaba con solo 80 – 100 millones de , centrada en el par rsETH/wETH.
Esta es la parte que los titulares subestimaron. El exploit fue en el puente. La crisis fue en el prestamista.
Entra DeFi United
Para el 23 de abril, los proveedores de servicios de Aave — TokenLogic, BGD Labs y Aave Chan Initiative — habían dejado de intentar solucionar esto solos. Pusieron en circulación un documento de coordinación que se convirtió en el acta fundacional de DeFi United, una coalición de múltiples protocolos con una sola misión: restaurar el respaldo de rsETH lo suficientemente rápido como para evitar una liquidación en cascada en los prestamistas blue-chip de DeFi.
Las contribuciones prometidas revelan quién tiene intereses en este juego en particular:
| Colaborador | Compromiso | Tipo |
|---|---|---|
| Consensys / Joe Lubin | 30.000 ETH | Despliegue directo |
| Mantle | 30.000 ETH | Préstamo de línea de crédito |
| Aave DAO (propuesto) | 25.000 ETH | Asignación de tesorería |
| Stani Kulechov (personal) | 5.000 ETH | Compromiso del fundador |
| EtherFi | 5.000 ETH | Contribución directa |
| Compound DAO (propuesto) | Hasta 3.000 ETH | Asignación de tesorería |
| Lido DAO (propuesto) | 2.500 ETH | Asignación de tesorería |
| Golem | 1.000 ETH | Contribución directa |
| Ethena, LayerZero, Fundación Ink | No revelado | Operativo + capital |
Los compromisos totales revelados han superado los 300 millones de ) en un único fondo de recuperación compartido — la respuesta de capital agrupado más grande en la historia de DeFi.
Lo que resulta sorprendente es quién está en la mesa. EtherFi es un competidor directo de Kelp en el mercado de re-staking líquido. Compound y Aave son archirrivales en préstamos. Lido y Mantle compiten por el dominio del ETH en staking. Ninguno de ellos se beneficia individualmente al rescatar a Kelp — están señalando que el riesgo de configuración de los puentes es ahora un problema de categoría, no el problema de un competidor.
El plan de recuperación de dos vías
La propuesta técnica de DeFi United, publicada el 27 de abril, divide la recuperación en dos vías coordinadas.
Vía 1 — Restaurar la paridad de rsETH. Un mecanismo de depósito de ETH por tramos escalonados alimenta el contrato de caja fuerte (lockbox) del puente de Kelp DAO en incrementos medidos, restaurando la relación 1,07 ETH / rsETH y reanudando las operaciones del puente solo después de que se liquide cada tramo. El enfoque escalonado es el diferenciador clave: limita el riesgo de seguridad residual si la configuración del puente aún está parcialmente comprometida, en lugar de volcar los 100.000 ETH de golpe en un contrato que acaba de ser vaciado.
Vía 2 — Recuperar lo que sea reclamable. Aproximadamente 107.000 de los 116.500 rsETH robados aún se encuentran en siete direcciones del atacante, depositados en posiciones activas en Aave V3 (Ethereum, Arbitrum, Mantle) y Compound. DeFi United propone liquidaciones aprobadas por la gobernanza que recuperarían un estimado de 71 millones de $ / ~ 13.000 ETH solo de Aave, además de recuperaciones adicionales de Compound. El Consejo de Seguridad de Arbitrum, en colaboración con las fuerzas del orden, ya ha congelado más de 30.000 ETH de fondos derivados.
Aquí es donde el diseño se vuelve ingenioso. La mayoría de las criptomonedas robadas salen a través de mezcladores en cuestión de horas. Los operadores de Lazarus optaron por desplegar el rsETH robado como colateral en mercados de préstamos — probablemente para extraer liquidez prestada adicional. Esa decisión dejó ~ 92 % de los tokens robados en protocolos que pueden votar para liquidar las posiciones del atacante a través de los canales normales de gobernanza. El exploit es parcialmente autorrecuperable, si la coalición puede ejecutar la coreografía de gobernanza lo suficientemente rápido.
Los tres modelos de rescate, comparados
Para entender por qué DeFi United es genuinamente nuevo, resulta útil compararlo con los tres modelos de recuperación precedentes que DeFi ha producido durante la última década:
El hard fork de The DAO en Ethereum (2016). Cuando se drenaron aproximadamente $60 M de The DAO, los desarrolladores principales de Ethereum coordinaron un hard fork que reescribió el registro, devolviendo los fondos a los depositantes. Esto dividió la cadena (así nació ETC) y agotó una generación de capital moral; cada debate posterior sobre rescates ha estado marcado por ello. Un rollback es una solución para una sola cadena; no sirve de nada para fallos cross-chain o multiprotocolo.
Jump Crypto / Wormhole (2022). Cuando se robaron $320 M del puente Solana – Ethereum, Jump Capital depositó silenciosamente 120,000 ETH para compensar íntegramente a los depositantes. Funcionó, pero DL News lo llamó entonces y lo sigue llamando ahora: un "precedente muy peligroso" porque concentró el coste en un único respaldador adinerado sin gobernanza, sin transparencia y sin capacidad de réplica.
Mango Markets / Avraham Eisenberg (2022). Un modelo de recuperación mediante gobernanza (clawback) donde el atacante negoció un acuerdo a través de la DAO de Mango. Sentó un precedente para tratar los exploits como disputas cuasilegales, pero solo funcionó porque el atacante era identificable y localizable.
DeFi United es el cuarto modelo — y el primero que es multiprotocolo, con tesorería cruzada y permanente. Siete protocolos competidores agrupan capital en un fondo compartido, con propuestas de gobernanza formales en cada DAO contribuyente. Nadie está revirtiendo la cadena. Nadie depende de un solo multimillonario. La estructura se parece más a una línea de rescate sindicada que a un fork o a un cheque.
La pregunta del "FDIC de las Cripto" que nadie quería responder
Aquí es donde la situación se vuelve filosóficamente incómoda.
Si los rescates de coaliciones de toda la industria reemplazan a los programas de bug bounty y a las reservas específicas de cada protocolo como la respuesta estándar de DeFi ante fallos de puentes o de infraestructura, el ecosistema habrá creado efectivamente un fondo de seguro implícito — uno financiado de forma ad hoc por los protocolos más grandes, bajo el supuesto de que el próximo fallo recibirá el mismo trato. Eso es, estructuralmente, lo que representa el seguro de la FDIC en la banca tradicional: un respaldo mutuo que protege la confianza de los depositantes al socializar las pérdidas de riesgos de cola (tail-risk).
El argumento a favor es directo. Sin un mecanismo de rescate creíble, cada exploit cross-chain se convierte en un potencial evento sistémico. El éxodo de $13.21 mil millones en TVL de DeFi en 48 horas tras el hackeo de Kelp es la prueba de concepto: la reflexividad de los depositantes a gran escala no se detiene a pensar de quién fue la culpa del error.
El argumento en contra es el mismo que contra cualquier rescate en la historia financiera: el riesgo moral (moral hazard). Si los protocolos saben que los fallos catastróficos de infraestructura serán cubiertos parcialmente por una coalición de pares, tienen menos incentivos para invertir en configuraciones DVN robustas, verificadores redundantes, coberturas de seguros paramétricos y auditorías rigurosas de puentes. Los costes que antes asumían los protocolos individuales se externalizan hacia la coalición. El precedente de Wormhole-Jump ya planteó esta preocupación en 2022; DeFi United la multiplica por siete.
Peor aún, los productos estándar de cobertura paramétrica — Nexus Mutual, Risk Harbor — están tarificados para fallos de smart contracts específicos de un protocolo. El riesgo de configuración de puentes, el compromiso de llaves de administración y las brechas en AWS-KMS quedan todos fuera de sus pólizas. Los $606 M en pérdidas agregadas de DeFi en abril de 2026 están, según la estructura de mercado actual, casi totalmente sin asegurar. DeFi United está llenando un vacío que, posiblemente, debería ser cubierto por un fondo de seguro de la industria adecuadamente valorado y capitalizado.
Qué significa esto para la asignación institucional del Q3 2026
El público para el que esto más importa no son los depositantes nativos de cripto. Son los comités de riesgo de BlackRock BUIDL ($2.8 B), Apollo ACRED y BENJI de Franklin Templeton — los vehículos institucionales que mantienen tesorerías tokenizadas on-chain a gran escala.
Su pregunta para cada entorno DeFi que tocan es ahora mecánica: ¿cómo se audita la configuración de su puente con la cadencia requerida por un marco de riesgo institucional? La respuesta honesta, tras lo ocurrido con Kelp, es "no se hace, y por eso las cláusulas de pausa y los entornos con permisos siguen siendo nuestra opción predeterminada". La nota de investigación de Jefferies del 21 de abril señaló exactamente esta dinámica, advirtiendo que los cronogramas de los RWA institucionales podrían retrasarse entre 12 y 18 meses mientras los bancos reevalúan las "vulnerabilidades introducidas por actualizaciones" en la infraestructura DeFi.
Si DeFi United acelera o retrasa ese cronograma depende de lo que venga después. Si el precedente cristaliza en algo permanente — un fondo de seguro multiprotocolo paramétrico, financiado por la industria y con reglas de cobertura explícitas — los asignadores institucionales obtendrán el respaldo fiable que necesitan para garantizar la expansión continua on-chain. Si sigue siendo una respuesta ad-hoc única que tardó diez días en organizarse y requirió compromisos individuales de los fundadores, cada protocolo tendrá que seguir revelando compromisos de recuperación contingentes antes de que los depositantes serios asignen capital a gran escala.
La función de presión para Spark, Morpho, Euler y Fluid es ahora obvia: los depositantes van a preguntar si ellos cuentan con un respaldo de coalición, y un "sin comentarios" no será una respuesta viable.
La cuestión estructural detrás del dinero
Abril de 2026 será recordado como el peor mes para los exploits de DeFi desde la brecha de Bybit en febrero de 2025 — $ 606 millones en pérdidas agregadas, 47 incidentes de DeFi en lo que va del año frente a 28 en el mismo periodo de 2025 (un aumento del 68 % interanual). El patrón dentro de esas pérdidas es la parte que la industria necesita internalizar: los errores de lógica en los contratos inteligentes representaron menos del 15 % de las pérdidas de abril, mientras que las configuraciones de puentes, los compromisos de claves de administrador y los ataques a la infraestructura representan más del 85 % +.
La superficie de explotación ha migrado hacia arriba en el stack — de Solidity a los DVN de puentes, AWS KMS, cadenas de suministro de hardware wallets y mensajería cross-chain. DeFi United es la primera respuesta que trata esta migración como un problema de coordinación en lugar de un problema de auditoría por protocolo. Si la coalición se convierte en infraestructura permanente o permanece como algo puntual determinará si la industria ha construido para sí misma un interruptor de circuito — o simplemente ha retrasado el próximo pánico mayor.
La ventana de 48 horas entre el exploit del 18 de abril y la formación de DeFi United es, para los estándares históricos, rápida. Bear Stearns tardó 96 horas en quebrar en 2008. El debate de The DAO consumió tres semanas del ancho de banda de Ethereum en 2016. Siete protocolos, ocho procesos de gobernanza de DAO y un plan técnico coordinado en diez días es lo más parecido que el sector cripto ha producido a una respuesta ante incidentes de grado institucional.
Solo hicieron falta 13 mil millones para llegar allí.
BlockEden.xyz proporciona infraestructura de RPC e indexación de grado empresarial en Ethereum, Solana, Sui, Aptos y más de 30 redes adicionales — el tipo de base redundante y multiregión de la que dependen las configuraciones de puentes y las sedes de DeFi a escala institucional. Explore nuestro marketplace de APIs para construir sobre una infraestructura diseñada para la era cross-chain.
Fuentes
- Aave reúne a socios de DeFi para contener las secuelas del hackeo de $ 292 M a KelpDAO — CoinDesk
- DeFi United apunta a una recuperación de $ 71 M de Aave en el plan de respaldo de rsETH — CryptoTimes
- DeFi United publica un plan técnico para restaurar el respaldo de rsETH — Unchained
- ¿Quién es DeFi United? Siete protocolos coordinan el mayor rescate de DeFi — Phemex
- Aave recauda casi el 80 % de los $ 200 M necesarios para cubrir la deuda incobrable — CoinDesk
- Kelp DAO explotado por $ 292 M con wrapped ether varado en 20 cadenas — CoinDesk
- Dentro del exploit del puente de KelpDAO — Chainalysis
- LayerZero culpa a la configuración de Kelp por el exploit de $ 290 M, lo atribuye a Lazarus — CoinDesk
- Líderes de la industria invierten cientos de millones en el plan de rescate de Aave — CoinDesk
- Consensys y Joseph Lubin despliegan 30k ETH para la recuperación de rsETH — Crypto.news
- Se solicita a Aave DAO comprometer 25,000 ETH al fondo de recuperación de toda la industria — The Defiant
- Compound DAO propone hasta 3,000 ETH para el impulso de recuperación de DeFi United — CryptoTimes
- Aave registra una caída de $ 6 mil millones en TVL mientras el hackeo de Kelp expone riesgos estructurales — CoinDesk
- Abril Negro 2026: 13 B en TVL — CryptoTimes
- La aniquilación de $ 13 mil millones en DeFi en dos días — CoinDesk
- Por qué Jump Crypto rescató a Wormhole — Decrypt
- La recuperación del hackeo de Wormhole 'establece un precedente muy peligroso' — DL News