North Korea Crypto Theft Aumenta mientras Kelp DAO cae

El golpe de abril

El exploit de Kelp DAO importa mucho más que por un solo protocolo porque describe el riesgo cripto de 2026: ataques más veloces, contagio más amplio y atribución casi inmediata. Las reconstrucciones publicadas estas horas conectan el caso con un patrón ya conocido, asociado a Corea del Norte, que combina disciplina técnica con rapidez para mover fondos antes de que la defensa reaccione. No es solo un problema de seguridad. Es un problema de mercado, porque cada gran brecha obliga a revalorizar la confianza en la infraestructura que sostiene rendimiento, apalancamiento y liquidez.

La lectura incómoda es esta: el mercado sigue tratando los hacks como eventos aislados, pero la reciente oleada de robos atribuidos a la DPRK apunta a algo más estructural. Los atacantes están probando de forma sistemática los puntos débiles de los bridges, los permisos y los controles operativos. El caso Kelp DAO deja claro que DeFi ya no falla solo en el nivel del smart contract. También falla cuando depende de una cadena de supuestos frágiles, especialmente si esos supuestos cruzan sistemas, equipos y fronteras de custodia.

Qué muestran los números

Las primeras coberturas situaron los robos crypto vinculados a la DPRK en abril por encima de $578 millones, con Kelp DAO como el episodio principal. Las investigaciones del sector colocaron después el exploit individual en torno a $292 millones, lo que lo convierte en uno de los mayores ataques DeFi del año. Chainalysis también ha indicado que en 2025 los ataques asociados a Corea del Norte alcanzaron cerca de $2 mil millones, con un total acumulado conocido próximo a $6,75 mil millones. El cuadro no es el de un golpe aislado, sino el de una campaña persistente.

El detalle técnico también importa. En los análisis públicos, el ataque se vinculó con una debilidad en la validación cross-chain que permitió que mensajes fraudulentos pasaran como legítimos. Eso cambia el diagnóstico: el problema no es solo “código malo”, sino un modelo de confianza mal diseñado. Cuando un atacante puede explotar ese nivel de la arquitectura, ya no bastan los audits y los parches. Hace falta disciplina sobre los firmantes, una gobernanza más robusta y controles operativos capaces de resistir incluso cuando la capa técnica parece correcta.

Por qué este caso pesa más

La narrativa dominante en el mercado sigue viendo el riesgo DeFi como una suma de fallos separados. Hoy esa lectura se queda corta. Kelp DAO muestra que los ataques de mayor valor cada vez apuntan más a las uniones entre protocolos, no solo a los contratos mismos. Esa es la verdad incómoda que muchos prefieren evitar: las vulnerabilidades más peligrosas nacen a menudo de la composabilidad, precisamente la característica que hizo atractivo a DeFi. Más conexiones crean más utilidad, pero también más rutas de fallo.

Para los inversores, esto cambia la forma de pensar el “premio de seguridad”. Los protocolos con rendimientos altos suelen compensar al usuario por varias capas de fragilidad poco visibles: riesgo de bridge, riesgo de oracle, riesgo de firmantes y riesgo de coordinación. Cuando llega un exploit grande, ese premio puede ampliarse de golpe en todo el sector, no solo en el proyecto afectado. Los precedentes atribuidos a Corea del Norte, incluido el caso Bybit señalado por el FBI, ya habían mostrado que sofisticación y escala pueden coexistir. Kelp DAO confirma la misma lección, esta vez en formato DeFi.

Qué significa para los inversores

Los inversores deberían asumir que la pérdida visible es solo una parte del daño. El coste más profundo es la erosión de la confianza, y esa erosión afecta valoraciones, profundidad de liquidez y adopción mucho después de que salgan los fondos. La pregunta inmediata no es si habrá otro exploit —lo habrá—, sino si el sector logrará reforzar los controles más rápido de lo que evolucionan los atacantes. En la práctica, eso implica vigilar bridges más restrictivos, mejor verificación de transacciones y una seguridad tratada como parte central del producto.

Los próximos indicadores son concretos: nuevos incident reports, fondos congelados o recuperados, cambios en controles cross-chain y, sobre todo, si usuarios grandes reducen exposición a protocolos con arquitecturas complejas. También conviene seguir si exchanges, custodios y plataformas de lending empiezan a tratar la atribución DPRK como una categoría operativa real, y no como una etiqueta retrospectiva.

Focus: No fue solo un robo: fue una prueba de resistencia para el modelo de confianza de DeFi.

Antonio Quinn, Director & Lead Bitcoin Analyst, The Chain Journal