LayerZero vincula el hackeo del puente de KelpDAO por 292 millones de dólares al grupo norcoreano Lazarus

LayerZero aseguró en un informe preliminar que el ataque del fin de semana contra el puente crosschain de KelpDAO, del que se sustrajeron cerca de 292 millones de dólares, fue "probablemente" obra del grupo Lazarus de Corea del Norte, en concreto de su subunidad TraderTraitor. La evaluación se conoció el lunes. El sábado, los atacantes drenaron 116.500 rsETH —un token de liquid staking respaldado por ether en staking— desde el puente de KelpDAO, lo que provocó una oleada de retiradas en distintas plataformas. En finanzas descentralizadas, se registraron salidas por encima de 10.000 millones de dólares de fondos en protocolos de préstamos en Avail. Según LayerZero, el incidente muestra rasgos propios de un "actor estatal altamente sofisticado" y señaló de forma específica a TraderTraitor. Informes citados por medios del sector indican que las operaciones cibernéticas de Corea del Norte dependen del Reconnaissance General Bureau, que agrupa equipos como TraderTraitor, AppleJeus, APT38 y DangerousPassword. El investigador Samczsun (Paradigm) ha señalado que, dentro de ese ecosistema, TraderTraitor se considera el actor más avanzado en ataques vinculados a criptoactivos y se le ha asociado anteriormente con compromisos del Ronin Bridge de Axie Infinite y con WazirX. LayerZero también apuntó a un problema estructural: KelpDAO utilizaba un único validador para autorizar entradas y salidas de fondos del puente. La firma afirmó que había instado repetidamente a KelpDAO a desplegar múltiples validadores y adelantó que dejará de aprobar aplicaciones que mantengan este esquema. Varios observadores describieron el diseño como un "punto único de fallo". Shalev Kren, cofundador de la empresa de ciberseguridad Sodot, sostuvo que un solo checkpoint comprometido basta para permitir la salida de fondos y que ninguna auditoría o revisión de seguridad puede corregir esa debilidad sin "eliminar la confianza unilateral de la propia arquitectura". Haoze Qiu, responsable de blockchain en Grvt, coincidió en que "KelpDAO parece haber aceptado una configuración de seguridad con redundancia insuficiente para activos de esta magnitud" y añadió que LayerZero "tiene parte de responsabilidad", al tratarse de una brecha relacionada con infraestructura de su stack de validadores, aunque no se presente como una vulnerabilidad del protocolo principal. La firma de seguridad Cyvers estimó que el atacante llegó a sustraer otros 100 millones de dólares en solo tres minutos, aunque fue incluido rápidamente en listas negras, lo que frenó su operativa. Su CTO, Mel Dolev, explicó que el ataque se inició engañando un único canal de comunicación: el atacante comprometió dos vías de verificación usadas para comprobar si las retiradas se habían producido realmente en Unichain, inyectó respuestas falsas de "sí" y dejó fuera de servicio las rutas restantes, forzando al validador a apoyarse en las comprometidas. "La cámara acorazada está bien. El guardia es honesto. El mecanismo de la cerradura funciona con normalidad", dijo. "La mentira se le contó directa y silenciosamente a la persona que abrió la cámara de forma verbal". Aunque LayerZero señaló a Lazarus como principal sospechoso, Cyvers no llegó a la misma conclusión en su propio análisis. Dolev indicó que algunos patrones encajan con acciones atribuidas a la República Popular Democrática de Corea por complejidad, escala y coordinación, pero subrayó que no se han confirmado monederos asociados. Añadió que el software malicioso del nodo habría sido diseñado para autodestruirse al finalizar el ataque, borrando binarios y registros para ocultar huellas tanto en tiempo real como a posteriori. A comienzos de este mes, atacantes drenaron aproximadamente 285 millones de dólares de Drift, un protocolo de perpétuos en Solana, y la explotación posterior se atribuyó a agentes norcoreanos. Dolev señaló que el caso de Drift fue "muy distinto" en preparación y ejecución, aunque ambos ataques habrían requerido una planificación extensa, conocimientos avanzados y recursos significativos. Cyvers sospecha que los fondos robados se han movido a esta dirección de Ethereum, según otro informe. El investigador ZachXBT (Chainalysis) identificó la dirección utilizada en el ataque y la marcó junto con otras cuatro direcciones relacionadas. Según ZachXBT, los fondos de esas direcciones procedían de mezcladores de criptomonedas y Tornado Cash se encuentra actualmente en alta demanda.