#rsETHAttackUpdate

O recente incidente de segurança envolvendo o token rsETH da Kelp DAO ocorreu em 18 de abril de 2026. Os atacantes conseguiram esvaziar aproximadamente $292 milhão (116.500 rsETH) do protocolo.

A exploração foi atribuída por analistas de segurança ao Grupo Lazarus, ligado à Coreia do Norte.

Como Aconteceu o Ataque

O incidente foi um ataque sofisticado à infraestrutura fora da cadeia, em vez de uma vulnerabilidade nos próprios contratos inteligentes.

Mensagem Transversal Falsa: Os atacantes contornaram a segurança da ponte forjando uma mensagem transchain que imitava uma transação legítima.

Comprometimento da Infraestrutura: O alvo foi o adaptador de ponte alimentado pelo LayerZero. Os atacantes comprometeram os nós RPC internos associados à Rede de Verificadores Descentralizados (DVN) e, simultaneamente, lançaram um ataque DDoS contra nós externos.

Falha na Verificação: Ao envenenar o processo de verificação, eles forçaram o sistema a confiar em dados falsificados, levando a ponte a liberar 116.500 rsETH na Ethereum sem um "queima" real ou garantia de colateral a montante.

Exploração do Colateral: Após a cunhagem não autorizada desses tokens "fantasma", os atacantes usaram-nos como colateral na Aave para emprestar outros ativos, o que causou grande estresse e saídas de liquidez em todo o ecossistema DeFi.

Impacto Imediato e Resposta

Pausas no Protocolo: A Kelp DAO pausou rapidamente seus contratos de rsETH na rede principal e em várias redes Layer-2 após identificar a atividade suspeita.

Precauções DeFi: Protocolos de empréstimo importantes, incluindo a Aave, passaram a congelar os mercados de rsETH para proteger suas plataformas e usuários. Outros protocolos com exposição, como os integrados com Lido, também suspenderam depósitos ou tomaram medidas preventivas.

Tentativa de Segundo Ataque: Após o roubo inicial, os atacantes tentaram uma segunda drenagem menor de mais 40.000 rsETH (~$95 milhão), mas isso foi frustrado após a Kelp DAO colocar na lista negra os endereços dos atacantes e pausar os contratos relevantes.

Este evento gerou discussões significativas na indústria sobre a dependência de configurações de ponto único de falha na segurança das pontes e a necessidade de monitoramento em nível de invariantes, em vez de apenas verificação de chamadas individuais.
‍$AAVE