#KelpDAOBridgeHacked

O ecossistema de finanças descentralizadas foi atingido por uma de suas violações de segurança mais graves até hoje, pois a Kelp DAO sofreu um grande exploit que resultou em aproximadamente $292 milhões em perdas. O ataque, que ocorreu em 18 de abril, teve como alvo a ponte cross-chain alimentada pelo LayerZero da Kelp DAO e levou ao roubo de 116.500 tokens rsETH, causando ondas de choque em vários protocolos DeFi.

O que torna esse incidente particularmente alarmante não é apenas a escala da perda, mas o impacto em cascata que ele desencadeou em todo o ecossistema, incluindo o gigante de empréstimos Aave, e a crescente disputa entre provedores de infraestrutura sobre quem é responsável.

Como Aconteceu o Ataque
Investigações relatam que o atacante financiou sua carteira usando Tornado Cash cerca de 10 horas antes de lançar o exploit, um método comum usado para obscurecer a origem das transações. Análises iniciais, incluindo insights compartilhados pelo investigador de blockchain ZachXBT, sugerem possível envolvimento do Lazarus Group, um coletivo de hackers ligado à Coreia do Norte conhecido por exploits sofisticados em DeFi.

A raiz técnica do ataque parece ser uma comprometimento dos nós RPC usados na Rede Verificada Descentralizada do LayerZero (DVN). O atacante supostamente envenenou dois nós validadores enquanto lançava um ataque DDoS contra os demais. Essa interrupção permitiu que uma mensagem fraudulenta cross-chain fosse validada.

Como resultado, o contrato da ponte da Kelp DAO foi enganado a liberar 116.500 rsETH na rede principal do Ethereum, mesmo que os ativos nunca tenham sido desbloqueados de forma legítima.
Conflito Crescente: Quem é o Responsável?
Após o exploit, um acalorado jogo de culpabilização surgiu entre a Kelp DAO e a LayerZero.

A LayerZero argumenta que a Kelp DAO usou uma “configuração DVN 1-de-1”, que criou um ponto único de falha. Segundo a LayerZero, as melhores práticas do setor recomendam múltiplos validadores independentes para evitar exatamente esse tipo de ataque. Eles afirmam que a Kelp DAO ignorou as orientações de diversificação.

Por sua vez, a Kelp DAO rejeita fortemente essa alegação. A equipe insiste que a configuração 1-de-1 foi a configuração padrão fornecida na documentação do LayerZero para implantações iniciais de OFT. Eles também argumentam que representantes do LayerZero haviam aprovado anteriormente a arquitetura, o que significa que a responsabilidade não pode ser transferida retroativamente.

Contágio se Espalha para Aave
As consequências rapidamente se estenderam além da Kelp DAO. O atacante depositou 89.567 rsETH na Aave como garantia e tomou emprestado aproximadamente $190 milhões em WETH e wstETH, expondo a Aave a um risco significativo de dívida ruim.

A Aave Labs estima perdas potenciais entre $124 milhões e $230 milhões, dependendo de se as perdas serão socializadas entre os detentores ou isoladas a redes específicas.

Em resposta, a Aave imediatamente congelou os mercados de rsETH em várias versões, reduziu os parâmetros de garantia a zero e acionou controles de risco de emergência. O token de governança do protocolo, AAVE, caiu 10%, enquanto mais de $10 bilhões em TVL supostamente saíram da plataforma em meio a saques de pânico.

Ações de Governança de Emergência
No Arbitrum, os validadores tomaram ações rápidas ao congelar aproximadamente US$ 71,1 milhões em ETH ligados ao exploit. Os fundos foram transferidos para uma carteira segura aguardando decisões de governança, com possível reembolso aos usuários em discussão.
Autoridades e pesquisadores de segurança também estão envolvidos na rastreabilidade da identidade do atacante e no movimento dos fundos.

O Que Acontece Agora?
A Kelp DAO pausou todos os contratos de rsETH em várias cadeias, mas o problema central permanece sem solução: o protocolo provavelmente não possui reservas suficientes no tesouro para cobrir a perda de $292 milhões.
Cenários de resgate possíveis incluem a LayerZero intervindo para proteger sua reputação no ecossistema, a DAO da Aave usando fundos do tesouro para cobrir dívidas ruins, ou uma perda socializada mais ampla entre os detentores de rsETH. No entanto, nenhuma dessas soluções foi confirmada.

Por enquanto, o incidente permanece como um dos exploits DeFi mais prejudiciais de 2026, expondo fraquezas críticas na infraestrutura cross-chain e reacendendo debates sobre descentralização versus segurança nos sistemas cripto modernos.
📌 Detalhe:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年