2026 Ano maior incidente de segurança DeFi: vulnerabilidade na ponte cross-chain do KelpDAO, má dívida na Aave quase 200 milhões de dólares

Em abril de 2026, a indústria de criptomoedas enfrentou um severo teste de risco sistêmico no setor DeFi. A ponte cross-chain da KelpDAO foi alvo de ataque devido a uma vulnerabilidade na configuração do LayerZero, levando a uma emissão anormal de rsETH, que posteriormente se propagou para o protocolo Aave, formando uma dívida ruim de quase 200 milhões de dólares. Em 72 horas, o valor total bloqueado (TVL) de toda a rede DeFi evaporou mais de 130 bilhões de dólares. Este evento não apenas expôs a exposição ao risco entre pontes cross-chain e protocolos de empréstimo, mas também provocou um debate profundo sobre os limites de segurança da composabilidade.

Como o ataque à KelpDAO provocou uma dívida ruim de quase 200 milhões de dólares na Aave?

A propagação do ataque ocorreu em três fases. Na primeira, o atacante explorou uma vulnerabilidade na configuração da LayerZero na ponte cross-chain da KelpDAO, burlando o mecanismo de verificação de permissões e emitindo ilegalmente uma grande quantidade de rsETH na cadeia de origem. Na segunda fase, o atacante transferiu o rsETH emitido para a rede principal do Ethereum e trocou rapidamente por outros ativos em várias DEXs, causando uma breve descolagem do preço do rsETH. Na terceira fase, como a Aave integrou o rsETH como ativo de garantia, o atacante usou o rsETH emitido em excesso para emprestar ETH e USDC e, após isso, retirou a liquidez, deixando uma dívida incalculável. Até 20 de abril de 2026, a Aave divulgou uma dívida ruim de aproximadamente 177 milhões a 200 milhões de dólares, dependendo do progresso das liquidações e recuperações subsequentes.

Como as vulnerabilidades na ponte cross-chain do rsETH e a configuração incorreta do LayerZero expuseram o problema?

A origem técnica do ataque reside na falha na gestão de permissões da ponte cross-chain. A solução adotada pela KelpDAO baseava-se no protocolo de mensagens genérico do LayerZero, mas a configuração não verificava rigorosamente o endereço do contrato remetente das mensagens. O atacante falsificou a identidade de um remetente legítimo e enviou uma instrução de “emissão adicional”. O relé e o contrato de endpoint do LayerZero executaram a mensagem normalmente, pois o mecanismo de validação verificava apenas a assinatura, sem uma checagem adicional da legalidade do conteúdo. Essa vulnerabilidade é um típico problema de “configuração e lógica de negócio desalinhadas”, que já apareceu várias vezes em ataques a pontes cross-chain entre 2025 e 2026. Como o rsETH é um token de recompra de liquidez da KelpDAO, sua emissão deveria estar restrita a contratos específicos, mas a interface de emissão foi exposta incorretamente a chamadas externas.

Por que a Aave não conseguiu evitar uma dívida ruim de 177 milhões de dólares?

Aave, como protocolo de empréstimo descentralizado, depende de oráculos de preços on-chain e de mecanismos de liquidação. No evento, o preço do rsETH descolou-se por um período muito curto, e o atacante já havia realizado operações de empréstimo antes da queda do preço. Quando o preço do rsETH começou a cair, a posição do atacante já estava “water under the bridge”, mas o robô de liquidação da Aave não acionou a liquidação a tempo, por duas razões. Primeiro, o fator de garantia do rsETH na Aave é relativamente alto, oferecendo uma margem de segurança contra variações de preço, o que foi explorado pelo atacante. Segundo, o atacante utilizou múltis endereços para diversificar os empréstimos, fazendo parecer que as posições estavam saudáveis, embora o risco agregado fosse elevado. Além disso, o oráculo da Aave não conseguiu captar rapidamente o preço real do rsETH nas DEXs, pois o mecanismo de preço médio ponderado no tempo (TWAP) apresentou atraso, fazendo com que a liquidação fosse acionada após a retirada do ativo.

Como a composabilidade do DeFi amplifica o risco de um único protocolo?

A composabilidade é uma vantagem central do DeFi, mas também atua como acelerador na propagação de riscos. No ataque à KelpDAO, o risco se espalhou rapidamente ao longo da cadeia “ponte cross-chain — token de recompra — protocolo de empréstimo”. A vulnerabilidade na ponte levou à emissão de rsETH, que, como garantia na Aave, criou capacidade de empréstimo baseada em um ativo falso, convertendo esse valor fictício em liquidez real. Essa transmissão tem uma característica não linear: um custo de ataque de 5 milhões de dólares acabou gerando uma dívida ruim de quase 200 milhões de dólares e uma retirada de mais de 130 bilhões de dólares em TVL. Os participantes do mercado, após o evento, retiraram rapidamente liquidez da Aave e de outros protocolos de empréstimo, agravando a fuga de fundos. Até 20 de abril de 2026, o TVL total do DeFi caiu de aproximadamente 1,15 trilhão de dólares para menos de 1,02 trilhão, evaporando mais de 130 bilhões de dólares.

Quem está saindo com os 13 bilhões de dólares de TVL evaporados?

A rápida queda do TVL reflete ações de mercado em três níveis. O primeiro é o próprio protocolo Aave, cujos usuários, para evitar o bloqueio de ativos ou liquidações, retiraram cerca de 45 bilhões de dólares de liquidez. O segundo envolve agregadores e protocolos de alavancagem que interagem com o Aave, que, diante da incerteza do mercado de empréstimos, reduziram posições ou pausaram serviços, levando à saída passiva de aproximadamente 35 bilhões de dólares. O terceiro é o pânico geral, com usuários retirando ativos de outros protocolos de empréstimo e staking não diretamente relacionados, resultando em uma saída adicional de cerca de 50 bilhões de dólares. Vale notar que a velocidade dessa fuga de fundos é uma das maiores da história do DeFi: em 72 horas, o TVL caiu 11,3%. Em termos de ativos, as maiores saídas ocorreram em ETH e stablecoins, que reduziram aproximadamente 48 bilhões e 52 bilhões de dólares, respectivamente.

A proteção de seguros DeFi pode cobrir as áreas cegas de ataques semelhantes?

A cobertura dos atuais seguros DeFi para este evento é extremamente limitada. Protocolos de seguro como o Umbrella geralmente cobrem perdas diretas por vulnerabilidades em contratos inteligentes, mas não cobrem perdas indiretas decorrentes de “propagação de risco entre protocolos”, cuja definição de indenização ainda não é clara. No ataque à KelpDAO, a dívida ruim da Aave não resultou de uma vulnerabilidade no próprio contrato, mas de entradas anômalas de protocolos externos. Ainda não há um padrão unificado na indústria para decidir se seguros devem pagar por esse tipo de “risco de entrada externa”. Além disso, a descolagem de preço e a falha na liquidação, muitas vezes, entram na categoria de “risco de mercado” ou “risco operacional”, que possuem cláusulas de isenção. Até 20 de abril de 2026, várias seguradoras estão avaliando o escopo de indenização, mas a maioria das perdas provavelmente não será coberta por seguros. Essa lacuna revela as limitações do setor de seguros DeFi frente a riscos sistêmicos.

Resumo

O ataque à ponte cross-chain da KelpDAO é um dos incidentes de maior impacto na segurança do DeFi até 2026. Com um custo de ataque de cerca de 5 milhões de dólares, provocou uma dívida ruim de quase 200 milhões de dólares na Aave e a evaporação de mais de 130 bilhões de dólares em TVL. As lições principais incluem: a configuração de permissões na ponte deve estar profundamente vinculada à lógica de negócio, os protocolos de empréstimo precisam reforçar a gestão de riscos de ativos não convencionais, e o sistema de seguros DeFi deve ser expandido para cobrir riscos de propagação sistêmica. A composabilidade, embora aumente a eficiência de capital, exige uma maior clareza na separação de riscos entre protocolos. Para a indústria, este evento não é o fim, mas um marco para a evolução dos padrões de gestão de risco no DeFi.

FAQ

Pergunta: Quem assume a dívida ruim de 200 milhões de dólares na Aave após o ataque à KelpDAO?

Resposta: Inicialmente, a dívida é coberta pelo fundo de reserva do protocolo Aave. Se o fundo for insuficiente, o protocolo compensará gradualmente com receitas de liquidação, taxas e outros mecanismos. Parte do prejuízo pode ser assumida indiretamente pelos provedores de liquidez do Aave, dependendo das decisões de governança da comunidade.

Pergunta: Este ataque afetará outras pontes cross-chain que usam LayerZero?

Resposta: O protocolo LayerZero em si não possui vulnerabilidades; o problema está na configuração incorreta na verificação de mensagens da KelpDAO. Contudo, outras pontes que adotarem mecanismos semelhantes de verificação de permissões também estarão vulneráveis a ataques. Recomenda-se que os projetos revisem imediatamente a lógica de validação de mensagens cross-chain.

Pergunta: Como os investidores podem evitar riscos de alta dependência e composição no DeFi?

Resposta: Os investidores devem monitorar as dependências entre protocolos, evitar alocar grandes ativos em estratégias altamente aninhadas, priorizar protocolos que passaram por múltiplas auditorias, tenham mecanismos de isolamento de risco e planos de liquidação bem definidos. Diversificar ativos entre diferentes contratos também é uma estratégia eficaz de gestão de risco.