Você tem dinheiro na Aave, quase perdeu tudo.

Não é brincadeira.

Na noite passada, um ataque causou uma inadimplência de 236 milhões de dólares na Aave.

Se o Kelp DAO não tivesse pressionado o botão de pausa em 46 minutos, se o hacker tivesse continuado por mais um tempo — você ao abrir a Aave, talvez não visse taxas de juros, mas sim “o projeto quebrou”.

Isso não é para te assustar.

Este é o maior ataque na história do DeFi até 2026, maior que o Drift.

O que aconteceu?

Existe um protocolo chamado Kelp DAO, que emitiu um token chamado rsETH, que você pode entender como um “certificado de recompra de LRT”.

Este token usa a ponte cross-chain LayerZero para saltar entre diferentes blockchains.

E ontem, o hacker descobriu uma vulnerabilidade na LayerZero — basicamente:

Ele falsificou uma “mensagem enviada da cadeia A”, dizendo à ponte do Kelp: “Ei, alguém depositou ETH em uma cadeia, rápido, faça a cunhagem de 116.500 rsETH para ele.”

O contrato do Kelp acreditou nisso.

Assim, de repente, surgiram 116.500 rsETH, representando 18% do total em circulação, avaliado em 292 milhões de dólares.

Depois de obter esses rsETH, o hacker fez duas coisas:

1. Depositou na Aave, Compound, Euler como garantia, e tomou emprestado ETH

2. Vendeu parte deles imediatamente

No final, sacou 74.000 ETH, cerca de 280 milhões de dólares.

Por causa dessa garantia de rsETH, a Aave gerou uma inadimplência de 236 milhões de dólares.

O que isso significa?

O hacker usou uma moeda falsa como garantia, pegou ETH verdadeiro emprestado. Agora, a moeda falsa não vale nada, e a garantia na Aave virou ar. Esses 236 milhões, a Aave teve que suportar.

O token AAVE caiu 10% imediatamente.

E o mais assustador é:

Cinco horas antes do ataque, Justin Sun resgatou 53.665 ETH, avaliado em 126 milhões de dólares, da Aave.

O dinheiro ainda está na carteira dele, sem movimentação.

Sem provas de ligação, mas se você vir alguém sair da mesa exatamente cinco minutos antes de uma explosão — o que você pensaria?

Refletindo.

O momento em que Sun fez o saque é mais preciso que meu despertador.

A pausa de 46 minutos salvou a Kelp, mas não conseguiu evitar a inadimplência de 236 milhões na Aave.

Como se deve precificar o risco sistêmico do sistema DeFi?

Ninguém se atreve a responder de forma séria.

Todo dia falamos de “composabilidade”, promovemos “lego monetário” — mas ninguém te conta:

Quando você coloca o rsETH emitido pelo protocolo A como garantia em B, empresta ETH de C, e por fim faz LP em D —

Você nem sabe que uma vulnerabilidade no protocolo A pode fazer B, C e D explodirem juntos.

Esse episódio de ontem é um exemplo clássico de risco de contágio:

1. Vulnerabilidade na LayerZero →

2. Kelp DAO é criado do nada →

3. rsETH desvaloriza →

4. Aave tem inadimplência →

5. Token AAVE cai 10% →

6. Outros protocolos (SparkLend, Fluid, Upshift) congelam o mercado de rsETH

Uma cadeia de falhas, toda a estrutura balança.

Hoje, a avaliação do “perfil de garantia” no DeFi é praticamente inexistente.

Derivados como o rsETH, que já têm uma estrutura de três camadas (ETH → LST → LRT → certificado cross-chain), agora estão sendo usados como garantia na Aave.

Aave fez alguma avaliação disso?

Não.

Só olha para um fator: liquidez.

Contanto que o pool tenha profundidade, o preço não quebre o limite de liquidação, tudo bem.

Mas o problema é — ataques não são variações de preço, são criações do nada.

Por mais que sua oráculo seja preciso, não consegue evitar que o “número de tokens duplique”.

Quem deve pagar por isso?

Agora, a inadimplência de 236 milhões na Aave.

- Aave assume? Então, os detentores de AAVE serão diluídos.

- Kelp DAO paga? Eles pausaram o contrato em 46 minutos, fizeram o possível, o tesouro é suficiente?

- LayerZero paga? A vulnerabilidade é dela, mas é infraestrutura.

- Usuário paga? Seu dinheiro foi roubado pelo hacker, você assume a conta?

Ninguém quer responder. Porque a resposta é dura:

O risco sistêmico do DeFi, no final, quem paga é o provedor de liquidez — ou seja, você.

Você acha que essa inadimplência de 236 milhões, quem deve pagar?

A. Aave assume (eles cobram juros de você)

B. Kelp DAO paga (com seus tokens)

C. LayerZero paga (com sua vulnerabilidade no código)

D. O usuário aceita (pois não é a primeira vez)

Deixe seu comentário com sua resposta. #山寨币强势反弹 #GatePreIPOs首发SpaceX $BTC $ETH