#KelpDAOBridgeHacked

O ecossistema de finanças descentralizadas foi atingido por uma das suas violações de segurança mais graves até à data, pois a Kelp DAO sofreu um grande exploit que resultou em perdas de aproximadamente $292 milhões. O ataque, que ocorreu a 18 de abril, visou a ponte cross-chain alimentada pelo LayerZero da Kelp DAO e levou ao roubo de 116.500 tokens rsETH, causando ondas de choque em múltiplos protocolos DeFi.

O que torna este incidente particularmente alarmante não é apenas a escala da perda, mas o impacto em cascata que desencadeou em todo o ecossistema, incluindo o gigante de empréstimos Aave, e a crescente disputa entre fornecedores de infraestrutura sobre quem é responsável.

Como Aconteceu o Ataque
Investigadores relatam que o atacante financiou a sua carteira usando Tornado Cash cerca de 10 horas antes de lançar o exploit, um método comum usado para obscurecer as origens das transações. Análises iniciais, incluindo insights partilhados pelo investigador de blockchain ZachXBT, sugerem possível envolvimento do Lazarus Group, um coletivo de hackers ligado à Coreia do Norte conhecido por exploits sofisticados em DeFi.

A raiz técnica do ataque parece ter sido uma compromissão dos nós RPC utilizados na Rede Verificada Descentralizada do LayerZero (DVN). O atacante alegadamente envenenou dois nós validadores enquanto lançava simultaneamente um ataque DDoS contra os restantes. Esta perturbação permitiu que uma mensagem fraudulenta cross-chain fosse validada.

Como resultado, o contrato da ponte da Kelp DAO foi enganado a liberar 116.500 rsETH na rede principal do Ethereum, embora os ativos nunca tenham sido desbloqueados de forma legítima.
Conflito Crescente: Quem é o Responsável?
Após o exploit, um acalorado jogo de culpas eclodiu entre a Kelp DAO e a LayerZero.

A LayerZero argumenta que a Kelp DAO usou uma “configuração DVN 1-de-1”, que criou um ponto único de falha. Segundo a LayerZero, as melhores práticas da indústria recomendam múltiplos validadores independentes para prevenir exatamente este tipo de ataque. Eles afirmam que a Kelp DAO ignorou as orientações de diversificação.

No entanto, a Kelp DAO rejeita veementemente esta afirmação. A equipa insiste que a configuração 1-de-1 foi a configuração padrão fornecida na documentação do LayerZero para as primeiras implementações de OFT. Também argumentam que representantes do LayerZero tinham previamente aprovado a arquitetura, o que significa que a responsabilidade não pode ser atribuída retroativamente.

Contágio Espalha-se para a Aave
As consequências espalharam-se rapidamente além da Kelp DAO. O atacante depositou 89.567 rsETH na Aave como garantia e emprestou aproximadamente $190 milhões em WETH e wstETH, expondo a Aave a um risco significativo de dívida má.

A Aave Labs estima perdas potenciais entre $124 milhões e $230 milhões, dependendo de se as perdas são socializadas entre os detentores ou isoladas a redes específicas.

Em resposta, a Aave congelou imediatamente os mercados de rsETH em várias versões, reduziu os parâmetros de garantia a zero e ativou controles de risco de emergência. O token de governação do protocolo, AAVE, caiu 10%, enquanto mais de $10 bilhões em TVL supostamente saiu da plataforma em meio a retiradas de pânico.

Ações de Governação de Emergência
No Arbitrum, os validadores tomaram ações rápidas ao congelar aproximadamente 71,1 milhões de dólares em ETH ligados ao exploit. Os fundos foram transferidos para uma carteira segura à espera de decisões de governação, com possível reembolso aos utilizadores em discussão.
Autoridades e investigadores de segurança também estão envolvidos na rastreabilidade da identidade do atacante e no movimento dos fundos.

O Que Acontece a Seguir?
A Kelp DAO pausou todos os contratos de rsETH em várias cadeias, mas o problema principal permanece sem resolução: o protocolo provavelmente não possui reservas suficientes no tesouro para cobrir a perda de $292 milhões.
Cenários de resgate possíveis incluem a intervenção do LayerZero para proteger a reputação do seu ecossistema, a utilização de fundos do tesouro da Aave DAO para cobrir dívidas más, ou uma perda socializada mais ampla entre os detentores de rsETH. No entanto, nenhuma dessas soluções foi confirmada.

Por agora, o incidente permanece como um dos exploits DeFi mais prejudiciais de 2026, expondo fraquezas críticas na infraestrutura cross-chain e reacendendo debates sobre descentralização versus segurança nos sistemas cripto modernos.
📌 Detalhe:
https://www.gate.com/announcements/article/50593
‍#GateSquare #CreatorCarnival #ContentMining #Gate13周年