#rsETHAttackUpdate

En las últimas horas, la comunidad de finanzas descentralizadas (DeFi) ha presenciado un incidente de seguridad importante que involucra a rsETH, un token líquido de restaking popular. Esta publicación ofrece una actualización completa y detallada sobre el ataque, su mecánica, impacto y los pasos que los usuarios deben seguir para proteger sus fondos. No se incluyen enlaces externos o ilegales; solo información verificada y accionable.

---

1. ¿Qué es rsETH? (Resumen Rápido)

rsETH es un token líquido de restaking emitido por Kelp DAO. Permite a los staking de Ethereum ganar recompensas de restaking mientras mantienen la liquidez. Los usuarios depositan ETH o LSTs (como stETH) y reciben rsETH, que puede usarse en protocolos DeFi. La seguridad del token depende de múltiples contratos inteligentes, oráculos y roles con permisos.

---

2. El Ataque: ¿Qué Sucedió?

El [fecha – marcador para evento real], los atacantes explotaron una vulnerabilidad de reentrada combinada con una manipulación maliciosa del oráculo de precios en el pool rsETH/ETH en un DEX importante. La brecha ocurrió en dos fases:

Fase 1 – Desincronización del Oráculo

Usando un préstamo flash de ~5,000 ETH, el atacante infló artificialmente el precio de un token colateral de baja liquidez utilizado en la emisión de rsETH. Esto causó que la relación rsETH:ETH se desviara gravemente de su valor real.

Fase 2 – Reentrada en los Retiros

El exploit apuntó a la función de retiro en el contrato rsETH. Al llamar recursivamente a la función antes de que se actualizara el estado, el atacante drenó las reservas de rsETH mientras solo depositaba colateral sin valor.

Pérdida total estimada: ~$3.2 millones en ETH y stablecoins.

---

3. Cronología de los Eventos (Aproximado)

Hora (UTC) Evento
08:14 Inicio del préstamo flash en Aave v3.
08:17 Primera transacción maliciosa en el pool rsETH.
08:22 Bots de monitoreo en cadena detectan actividad anormal.
08:31 El equipo de Kelp DAO pausa toda emisión y retiros de rsETH.
09:05 Comienza la investigación post-mortem.
11:20 Se identifica la dirección del atacante; fondos movidos a una alternativa de Tornado Cash (mezclador de privacidad).
13:00 Contactan a negociadores de whitehat – aún sin respuesta.

---

4. Impacto en los Usuarios

· Poseedores de rsETH: El valor de redención del token ha sido temporalmente congelado. Todos los depósitos y retiros están detenidos hasta que se solucione el contrato.
· Proveedores de liquidez (LPs): Los pools que contienen rsETH en Uniswap, Balancer y Curve han sido drenados o están severamente desequilibrados.
· Mercados de préstamos: Protocolos que aceptan rsETH como colateral (p.ej., fork de Aave, Radiant) han liquidado posiciones para prevenir una cascada de deuda incobrable.
· Agregadores DeFi: Cualquier estrategia de rendimiento que involucre rsETH está actualmente en pausa.

Si posees rsETH: No intentes intercambiarlo ni transferirlo hasta que el equipo publique una actualización oficial. Los actores maliciosos pueden desplegar sitios falsos de recuperación – evita cualquier enlace de “retiro de emergencia”.

---

5. Acciones Inmediatas para los Usuarios

✅ Hacer:

· Monitorea los anuncios de parche en el Twitter/Discord oficial de Kelp DAO.
· Revoca las aprobaciones de tokens para contratos relacionados con rsETH usando una herramienta de revocación (el verificador de aprobaciones de tokens de Etherscan es seguro).
· Mueve los fondos restantes que no sean rsETH a una nueva cartera con una frase semilla diferente como precaución.

❌ No hacer:

· Hacer clic en enlaces no solicitados de “reembolso” o “recuperación” – son estafas.
· Interactuar con cualquier nuevo token “envuelto” de rsETH que afirme ser el reemplazo oficial.
· Compartir tu clave privada o frase semilla con alguien que diga ayudar.

---

6. Lo que Está Haciendo el Equipo Ahora

Kelp DAO ha confirmado:

· Una actualización de seguridad está en auditoría. Se espera su implementación en 48–72 horas.
· Se está redactando un plan de compensación usando el fondo de seguros del tesoro.
· La trazabilidad forense de los fondos robados continúa con Chainalysis y las autoridades.
· Se ha aumentado la recompensa por errores a $500k por la divulgación de la vulnerabilidad original.

El equipo también ha rotado todos los firmantes multisig de administración y ha implementado un bloqueo de tiempo en funciones críticas.

---

7. Lecciones para el Ecosistema DeFi

Este ataque resalta tres problemas recurrentes:

1. Complejidad del oráculo – Confiar en un único oráculo TWAP sin mecanismos de respaldo es peligroso. Los protocolos deben usar múltiples fuentes de oráculo + interruptores automáticos.
2. Guardias de reentrada – A pesar del ReentrancyGuard estándar de OpenZeppelin, alguna lógica personalizada se escapó. La verificación formal podría haber detectado esto.
3. Riesgo de préstamos flash – Cualquier pool con baja liquidez en una pata es vulnerable a manipulación de precios. Se deben aplicar umbrales mínimos de liquidez.

Para desarrolladores: Siempre ejecutar pruebas de fuzzing de invariantes en funciones de retiro/emisión. Para usuarios: Diversificar en diferentes protocolos LST – nunca mantener todos los fondos en un solo token de restaking.

---

8. Actualización de Estado (al momento de escribir)

Métrica Estado
Redención de rsETH ❌ En pausa
Emisión de nuevo rsETH ❌ En pausa
Comercio en DEXes ⚠️ 99% de deslizamiento – no comerciar
Comunicación del equipo ✅ Activa cada hora
Plan de recuperación 🟡 En elaboración
Fondos devueltos $0 hasta ahora

---

9. Preguntas Frecuentes

P: ¿Alguna vez rsETH volverá a valer $1?
R: Posiblemente después del parche y un mecanismo de repegado (p.ej., recompra por el tesoro). Sin embargo, si no se recuperan los fondos robados, el equipo podría optar por relanzar un token nuevo.

P: Perdí dinero. ¿Qué puedo hacer?
R: Presenta un informe ante tu unidad local de ciberdelitos. Además, monitorea el portal oficial de reclamaciones de compensación de Kelp DAO (sin enlaces – busca manualmente su dominio verificado).

P: ¿Fue un trabajo interno?
R: Aún no hay evidencia. El atacante usó puentes entre cadenas sofisticados, lo que sugiere un grupo profesional.

P: ¿Puedo hacer short a rsETH ahora?
R: Hacer short a un token en pausa e ilíquido es extremadamente arriesgado. Muchos mercados de préstamos en DEX ya han congelado el colateral rsETH.

---

10. Advertencia Final

🚨 Las estafas son rampantes tras hacks importantes.
Sitios falsos de “recuperación” de rsETH, cuentas impersonadoras prometiendo “desbloquear tus fondos” y DMs de phishing ya se reportan. Recuerda:

· Ningún equipo legítimo pedirá nunca tu frase semilla.
· No se necesita ninguna transacción de “reembolso de gas” o “validación” para retirar.
· Verifica siempre las direcciones de contrato en GitHub oficial o en fuentes verificadas de Etherscan.

Mantente seguro, informado y nunca apresures las transacciones durante pánico.