#KelpDAO跨链桥遭攻击 Kelp DAO 2,9 mil milhões de dólares em perdas: o “círculo vicioso da morte” do empréstimo não isolado e a capela do DeFi

Na madrugada de abril de 2026, o bloco da blockchain ainda tinha um tempo de bloco inflexível de dezenas de segundos, mas em poucos blocos alternados, os 2,9 mil milhões de dólares em dinheiro real desapareceram como estrelas caindo num buraco negro, sem deixar sequer um som de impacto. Isto não é uma transferência estratégica de fundos de um fundo soberano de um país, mas sim o roubo mais absurdo e frio da história do DeFi — o Exploit rsETH do Kelp DAO.
Quando todos estão a admirar a habilidade do hacker em cortar código com maestria, veteranos de quantificação de Wall Street e jogadores hardcore do criptopunk sentem apenas uma sensação de frio na espinha. Porque isto não é apenas um roubo técnico, mas um golpe de redução de dimensão na lógica subjacente do DeFi. O hacker não arrombou um cofre, apenas provou que um papel sem valor tinha um valor infinito para um sistema de empréstimo não isolado, e depois, com toda a legitimidade, esvaziou toda a arca.

O fim do boneco russo, com um retrato do mainnet pendurado

Para entender esta tragédia de 2,9 mil milhões de dólares, é preciso primeiro compreender a alquimia Ponzi mais viciante e contra a lógica do mundo Web3: tokens de recolocação de liquidez (LRT).
No mundo financeiro tradicional, a garantia é garantia, você pega uma casa emprestada ao banco, e a propriedade fica bloqueada. Mas no casino do DeFi, que secreta uma quantidade excessiva de hormonas, a eficiência do capital deve ser explorada ao máximo. Você tem um Ethereum. Você deposita-o na Lido, troca por stETH, e recebe os rendimentos de staking básicos. Ainda não é suficiente, então deposita o stETH na EigenLayer, um protocolo de re-staking, tentando ganhar taxas de segurança de outros redes. Chegado a este ponto, a liquidez deveria estar esgotada, mas o Kelp DAO surge e diz: irmão, entrega-me o teu certificado, eu dou-te um novo, chamado rsETH. Isto é o token de re-staking de liquidez. Com este rsETH, não só podes obter tripla rentabilidade, como também podes levá-lo a um protocolo de empréstimo, usá-lo como ativo de alta qualidade, e emprestar um Ethereum. Com o pé esquerdo no chão, estás no céu, e até queres construir uma mansão na estratosfera.
Mas as leis da física financeira são extremamente frias: cada derivado de ativos aumenta exponencialmente o risco sistémico subjacente (Risco de Contágio do DeFi). Pensas que o rsETH que possuis é um bilhete de ouro, mas na realidade é uma bomba-relógio com cinco camadas de contratos aninhados. Desde que qualquer linha de código na Ethereum, na camada de staking do Lido, na EigenLayer ou na camada de empacotamento do Kelp DAO tenha uma falha lógica, toda a grande estrutura financeira desmorona num instante. E desta vez, o Kelp DAO é a base que foi retirada.

O hacker, usando uma vulnerabilidade lógica no contrato inteligente, através de ataques de flash loan extremamente discretos e manipulação de oráculos, criou do nada uma quantidade massiva de “rsETH de ar” sem qualquer suporte de ativos subjacentes. Se a história terminasse aqui, seria apenas um problema interno do Kelp DAO, uma moeda de ar que se esvazia, e os únicos a pagar seriam os aventureiros seduzidos por altas taxas de juro. Mas o que transformou esta mina em uma bomba nuclear foi o modelo de empréstimo “não isolado”, venerado no mundo do DeFi.

Empréstimo não isolado: colocar a conta de todos numa gaveta sem fechadura

O hacker agora tem uma pilha de rsETH recém-impressos, sem custo algum. Não foi tolo ao ponto de vender esses tokens numa exchange descentralizada (DEX), pois a liquidez disponível não suportaria a pressão de 2,9 mil milhões de dólares, e a slippage consumiria quase toda a margem de lucro. Com elegância, virou-se e entrou na gigante do empréstimo DeFi, Aave. Aqui reside a falha fatal do modelo de empréstimo não isolado. Para aumentar a “utilização de fundos”, os grandes protocolos preferem misturar o dinheiro de todos numa grande piscina. Neste caldeirão, não importa se você deposita USDC sólido como uma rocha ou uma altcoin que pode explodir a qualquer momento, desde que os detentores do token de governança do protocolo votem a favor, podem usar esses ativos como garantia para emprestar qualquer ativo real na piscina.
O hacker, sem cerimónia, depositou uma enorme quantidade de rsETH de ar na Aave. Na visão do oráculo da Aave, como o preço no DEX ainda não tinha colapsado, esses rsETH ainda brilhavam com um brilho nobre, valendo uma fortuna. Assim, o contrato inteligente, esse cego sem emoções, abriu o cofre de toda a comunidade de acordo com a taxa de garantia, e o hacker emprestou loucamente USDC, USDT, WBTC e ETH reais da piscina.
Durante este processo, ninguém impediu, todas as operações seguiram a lógica do código, e até na hora de agrupar a transação, o sistema calculou os juros para o hacker. Quando o hacker retirou os ativos reais por cross-chain e desapareceu, deixou para trás um buraco negro sem fundo na Aave e no ecossistema DeFi. Isto é o temido “dívida má” da Aave.
Os investidores que apenas queriam ganhar 4% ao ano com USDC de forma segura, de repente descobriram que não podiam retirar o dinheiro. A piscina foi esvaziada, e o cofre ficou com rsETH cujo valor se aproxima do zero. O modelo de empréstimo não isolado é como uma corda de ferro grossa, que liga navios que deveriam estar a lutar isoladamente, e se um deles pega fogo, toda a frota não consegue escapar.

A dança do círculo vicioso da morte e a máquina de triturar liquidez sem misericórdia
Quando a dívida má se forma, o círculo vicioso da morte no DeFi deixa de ser um termo económico e torna-se um experimento sociológico brutal. Quando o mercado percebe que o rsETH sofreu um golpe devastador, o seu preço começa a despencar livremente em direção ao centro da Terra. O mecanismo de liquidação da Aave é finalmente ativado, tentando liquidar as garantias deixadas pelo hacker para cobrir o prejuízo. Mas isto é uma armadilha ridícula. Os liquidadores não fazem caridade, precisam de comprar esses rsETH depreciados com dinheiro de verdade, e vendê-los no mercado para lucrar.
Porém, quando a verdade de que o rsETH não tem qualquer ativo real por trás se torna evidente, não há nem um tolo disposto a pagar um dólar por ele. Sem liquidez, a liquidação não consegue acontecer; sem liquidação, a dívida má permanece na conta para sempre; e com a dívida má na conta, o pânico espalha-se como uma praga. Este pânico provoca uma corrida ao banco, com todos os usuários na Aave a clicar freneticamente no botão de retirada. A utilização da piscina dispara para 100%, as taxas de empréstimo sobem a números absurdos, na tentativa de atrair novos depósitos. Mas só piora a situação — aqueles que usam ativos saudáveis como garantia e fazem empréstimos normais veem os seus juros disparar para números astronómicos, as garantias deterioram-se instantaneamente, e acabam por ser liquidados. Isto é a manifestação máxima do risco de contágio (Risco de Contágio do DeFi). A vulnerabilidade do Kelp DAO não só matou a si próprio, como também, através do sangue do modelo de empréstimo não isolado, enviou veneno ao coração de todo o DeFi. Aqueles que não sabem o que é LRT ou re-staking, apenas por colocarem dinheiro e ativos de alto risco no mesmo pool, acabam por pagar o preço da loucura do hacker.

O seu alto retorno, na verdade, é o prémio de Natal antecipado para o hacker

Sobre as ruínas de 2,9 mil milhões de dólares, não basta apenas analisar a fragilidade do código, é preciso também perceber a máscara de falsidade na narrativa do DeFi. Toda a indústria grita diariamente por descentralização, transparência, código como lei, mas na arena do dinheiro real, tudo se resume a extrair o máximo de retorno anual, mesmo que isso signifique abandonar princípios. O modelo de empréstimo não isolado é, na essência, uma mecânica bandida que privatiza os lucros e socializa os riscos. Para atrair fundos, os projetos continuam a aprovar propostas de governança, enchendo a lista de ativos sintéticos bizarros.
Eles enchem os olhos com a profundidade da piscina e a eficiência do capital, mas evitam falar sobre o enorme fosso de crédito entre diferentes ativos. No mercado em alta, todos estão felizes, você ganha juros, eu ganho TVL; mas na crise, essa teia complexa de contratos aninhados se vira contra todos, destruindo toda a riqueza de papel. O incidente do rsETH do Kelp DAO certamente não será o último.
Contanto que o DeFi continue obcecado em usar ativos para gerar novos ativos, e os protocolos de empréstimo não abandonem o efeito de escala do pool não isolado, essas falhas sistémicas irão se repetir como uma gripe periódica, varrendo a liquidez do mercado uma e outra vez.
Na Wall Street, quando a alavancagem atinge o limite e provoca uma crise sistémica, talvez se possa esperar pelo plano de resgate do Federal Reserve e pelo apoio dos contribuintes. Mas no Web3, que é uma floresta escura, não há banco central, nem circuit breaker, nem compaixão. O hacker, com um custo de 2,9 mil milhões de dólares, deu a todos os fanáticos do DeFi uma lição de gestão de risco financeira mais cara: quando não percebes de onde vem um rendimento anual de 20%, não duvides, esse rendimento é o teu capital, e tu és a presa que fica presa na cadeia de código mais fundo.