#KelpDAO跨链桥遭攻击

Quase levou a AAVE à falência! - Análise completa do ataque ao rsETH

Uma notícia no fim de semana começou a ganhar força silenciosamente no mundo das criptomoedas, um protocolo chamado Kelp DAO foi alvo de um ataque hacker, tendo sido roubados 290 milhões de dólares, afetando a AAVE, e o CEO Justin Sun retirou mais de 100 milhões de dólares em ativos da AAVE imediatamente, causando uma reação em cadeia. Até esta manhã, os fundos saíram da Aave devido ao incidente do rsETH, totalizando 10,1 bilhões de dólares, e como consequência, o preço da AAVE caiu quase 30 dólares. Este foi o maior ataque na história do DeFi em 2026, maior até que o incidente do Drift, então qual será o alcance desse impacto no mercado de criptomoedas? Será que se tornará o “evento LUNA” que derrubou o mercado nesta baixa? Vamos conversar sobre isso.

O protocolo Kelp DAO lançou um token chamado rsETH, cuja função é fornecer liquidez para ativos não líquidos depositados em plataformas de recompra, como EigenLayer, facilitando a emissão de tokens de liquidez únicos para LSTs aceitos, que você pode entender como um “certificado de recompra de LRT”.

Este token opera através da ponte cross-chain LayerZero, que permite a transferência entre diferentes blockchains.

Ontem, os hackers descobriram uma vulnerabilidade na LayerZero — basicamente:

Eles falsificaram uma mensagem “enviada do Chain A”, dizendo à ponte do Kelp: “Ei, alguém depositou ETH em uma determinada chain, por favor, emita 116.500 rsETH para ele.”

O contrato do Kelp acreditou nisso.

Assim, de repente, foram criadas 116.500 rsETH, representando 18% do total em circulação, avaliado em 292 milhões de dólares.

Depois de obter esses rsETH, os hackers fizeram duas coisas:

1. Depositá-los como garantia na Aave, Compound, Euler, e pegar empréstimos de ETH

2. Vender uma parte deles imediatamente

No final, conseguiram sacar 74.000 ETH, aproximadamente 280 milhões de dólares.

Devido a esse colateral de rsETH, a Aave registrou uma inadimplência de 236 milhões de dólares.

O que isso significa?

Os hackers usaram uma moeda falsa como garantia para pegar ETH verdadeiro. Agora, com a moeda falsa sem valor, a garantia na Aave virou ar. Esses 236 milhões de dólares, a Aave terá que suportar sozinha.

O token AAVE caiu 10% imediatamente.

Depois, a Kelp pausou o contrato por 46 minutos, mas não conseguiu salvar a inadimplência de 236 milhões de dólares da Aave.

Qual é o risco sistêmico do sistema DeFi, afinal, como devemos avaliá-lo?

Ninguém tem uma resposta séria para essa questão.

Todos os dias falamos de “composabilidade”, promovemos a “construção de Lego financeiro” — mas ninguém te conta:

Quando você coloca o rsETH emitido pelo protocolo A como garantia em B, empresta ETH de C, e por fim faz liquidez em D —

Você não sabe que uma vulnerabilidade no protocolo A pode fazer com que B, C e D explodam juntos.

📉 Então, esse incidente pode acabar derrubando o mercado de criptomoedas e se tornar mais um “evento LUNA”?

Primeiro, pelo impacto direto, o Bitcoin, como um ativo relativamente independente e com menor correlação com DeFi, não foi muito afetado. Dados recentes mostram que o fluxo líquido semanal de ETFs de Bitcoin à vista nos EUA ainda chega a quase 1 bilhão de dólares, indicando que o sentimento dos investidores tradicionais em relação ao Bitcoin permanece firme, sem impacto significativo por esse incidente.

Segundo, pelo impacto indireto, o evento LUNA também não causou uma grande queda no Bitcoin, mas foi o prelúdio para a última onda de baixa do mercado. A queda drástica do LUNA até zerar alimentou o sentimento de desespero no mercado de criptomoedas. Anos depois, o preço da AAVE já caiu 30%, e ainda não há uma solução definitiva para a inadimplência de 236 milhões de dólares, o que explica a contínua saída de fundos do protocolo.

👀 Agora, o foco principal: como será tratado esse débito de 236 milhões de dólares na AAVE? Se o problema continuar se agravando, o preço da AAVE pode cair ainda mais. Mas, considerando que a replicabilidade do evento é baixa, é improvável que desencadeie uma espiral de queda semelhante à do LUNA.

Por fim, a questão: quem deve pagar esses 236 milhões de dólares de inadimplência?

A. A própria Aave, que assumiu o risco (pois recebeu juros)

B. Kelp DAO, que emitiu o token (a moeda que você enviou)

C. LayerZero, por ter uma vulnerabilidade no código (que você usou)

D. Os usuários, que aceitam o risco (pois não é a primeira vez)

Deixe sua resposta nos comentários!