#KelpDAO跨链桥遭攻击

Quase levou a AAVE à falência! - Análise completa do ataque rsETH

Uma notícia no fim de semana começou a se espalhar silenciosamente no mercado de criptomoedas, um protocolo chamado Kelp DAO foi alvo de um ataque hacker, que roubou 290 milhões de dólares, afetando a AAVE. Justin Sun, ao retirar mais de 100 milhões de dólares em ativos da AAVE imediatamente após o incidente, desencadeou uma reação em cadeia. Até esta manhã, o fluxo de saída de fundos da Aave devido ao evento rsETH atingiu 10,1 bilhões de dólares, e, como consequência, o preço da AAVE caiu quase 30 dólares. Este foi o maior ataque na história do DeFi em 2026, maior até que o caso Drift. Então, qual é o alcance desse impacto no mercado de criptomoedas? Será que se tornará o “evento LUNA” que derrubou o mercado nesta baixa? Vamos conversar sobre isso.

O protocolo Kelp DAO lançou um token chamado rsETH, cuja função é fornecer liquidez para ativos não líquidos depositados em plataformas de recompra (como EigenLayer), facilitando a emissão de um único token de reinicialização líquida para LSTs aceitos, que você pode entender como um “certificado de recompra de LRT”.

Este token depende da ponte cross-chain LayerZero, que permite a transferência entre diferentes blockchains.

Como resultado, ontem, um hacker descobriu uma vulnerabilidade no LayerZero — basicamente:

Ele falsificou uma mensagem “enviada do Chain A”, dizendo à ponte do Kelp: “Ei, alguém depositou ETH em uma determinada chain, por favor, emita 116.500 rsETH para ele.”

O contrato do Kelp acreditou nisso.

Assim, de repente, foram criadas 116.500 rsETH, representando 18% do total em circulação, avaliado em 292 milhões de dólares.

Depois de obter esses rsETH, o hacker fez duas coisas:

1. Depositou-os como garantia na Aave, Compound, Euler, e tomou emprestado ETH

2. Vendeu parte deles imediatamente

No final, liquidou 74.000 ETH, cerca de 280 milhões de dólares.

Devido a esse colateral rsETH, a Aave registrou uma inadimplência de 236 milhões de dólares.

O que isso significa?

O hacker usou uma moeda falsa como garantia para pegar ETH real. Agora, a moeda falsa não vale nada, e a garantia na Aave virou ar. Esses 236 milhões de dólares, a Aave teve que suportar sozinha.

O token AAVE caiu 10% imediatamente.

Depois, a Kelp pausou o contrato por 46 minutos, mas não conseguiu salvar a inadimplência de 236 milhões de dólares da Aave.

Qual é o risco sistêmico do sistema DeFi, afinal?

Ninguém se atreve a responder seriamente a essa pergunta.

Todos os dias falamos de “composabilidade” e promovemos a “lego monetária” — mas ninguém te conta:

Quando você coloca o rsETH emitido pelo protocolo A como garantia em um protocolo B, toma emprestado ETH de um protocolo C, e por fim faz LP em um protocolo D —

Você nem imagina que uma vulnerabilidade no protocolo A pode fazer com que B, C e D explodam juntos.

📉 Então, esse evento pode acabar derrubando o mercado de criptomoedas, tornando-se mais um “evento LUNA”?

Primeiro, pelo impacto direto, o Bitcoin, como um ativo relativamente independente e com menor correlação com DeFi, não foi muito afetado. Dados recentes mostram que o fluxo líquido semanal de ETFs de Bitcoin à vista nos EUA ainda chega a quase 1 bilhão de dólares, indicando que o sentimento dos investidores tradicionais em relação ao Bitcoin permanece firme, sem impacto significativo do incidente.

Segundo, pelo impacto indireto, o evento LUNA também não causou uma grande queda no Bitcoin na época, mas foi o prelúdio para a última onda de baixa do mercado. A queda drástica de LUNA, que acabou zerada, espalhou o sentimento de desespero na comunidade cripto. Anos depois, o preço da AAVE já caiu 30%, e ainda não há uma solução definitiva para lidar com esses 236 milhões de inadimplência — o que explica a contínua saída de fundos do protocolo.

👀 Agora, o foco principal: como lidar com essa inadimplência de 236 milhões de dólares na AAVE? Se o problema continuar se agravando, o preço da AAVE pode cair ainda mais. Mas, considerando que a replicabilidade do evento é baixa, é improvável que desencadeie uma espiral de queda semelhante à de LUNA.

Por fim, a questão: quem deve pagar esses 236 milhões de dólares de inadimplência?

A. Aave assume (pois recebeu juros)

B. Kelp DAO paga (pelas moedas que enviou)

C. LayerZero paga (pois há uma vulnerabilidade no código)

D. Os usuários assumem (pois não é a primeira vez)

Deixe sua resposta nos comentários!