Kelp DAO vulnerabilidade desencadeia aviso de segurança na ponte cross-chain: DeFi United arrecada 300 milhões de dólares para compensar detentores de rsETH

18 de abril de 2026 às 17:35 UTC, os atacantes exploraram a vulnerabilidade de ponte rsETH baseada na infraestrutura de cross-chain LayerZero do Kelp DAO, disfarçando pacotes de entrada e liberando 116.500 rsETH, na altura avaliada em aproximadamente 292 milhões de dólares. As investigações da Chainalysis e ZachXBT apontam o grupo norte-coreano Lazarus como responsável pelo ataque, que utilizou uma combinação de ataques DDoS a nós externos e manipulação de nós RPC internos para contornar a verificação de rede de nós de validação única.

Este não foi um ataque comum a contratos inteligentes — sem reentradas, sem falta de permissões, sem manipulação de oráculos de preço. A verdadeira brecha dos atacantes residiu no fato de que o Kelp DAO adotou uma configuração de ponto único de falha, 1-de-1 DVN, dependente de um único nó de validação operado pela LayerZero Labs. Quando os dados lidos pelo RPC desse nó foram bem-sucedidamente enganados, o contrato de ponte na Ethereum liberou rsETH falsificado, sem que qualquer nó de validação secundário pudesse intervir na verificação.

Os atacantes não venderam diretamente o rsETH roubado no mercado, mas depositaram cerca de 90.000 rsETH na Aave V3 como garantia, e tomaram emprestado aproximadamente 190 milhões de dólares em ETH e outros ativos. Essa operação colocou a Aave em uma dívida incobrável massiva. O TVL da Aave caiu rapidamente de 26,4 bilhões para 17,9 bilhões de dólares, e a rede DeFi viu uma saída de mais de 13 bilhões de dólares em curto prazo.

Até 29 de abril de 2026, os dados de mercado da Gate indicam que o preço do ETH oscila em torno de 2.300 USD. Após o ataque, o preço do rsETH caiu para 1.723 USD, criando uma diferença de aproximadamente 500 USD em relação ao ETH, refletindo o pânico do mercado quanto à precificação do rsETH sem lastro.

Mais preocupante ainda, esse evento não foi um caso isolado. No primeiro trimestre de 2026, protocolos DeFi sofreram perdas totais de cerca de 168,6 milhões de dólares por ataques de hackers; e, em apenas 20 dias de abril, as perdas subiram para 606,2 milhões de dólares — atingindo o maior recorde de perdas mensais desde fevereiro de 2025.

Por que um nó de validação único se tornou uma brecha fatal na infraestrutura DeFi?

O ataque ao Kelp DAO revelou uma questão estrutural subestimada há muito tempo: o desequilíbrio na configuração de segurança cross-chain. Na arquitetura do LayerZero, cada mensagem cross-chain deve passar por uma ou mais redes de nós de validação descentralizados para alcançar a cadeia de destino. Mas a ponte rsETH do Kelp DAO tinha apenas um nó de validação — o DVN da LayerZero Labs — formando uma falha de ponto único.

Essa configuração não é um caso isolado. Quanto mais simples a lógica da ponte cross-chain, menor costuma ser o número de nós de validação, buscando maior velocidade na confirmação de mensagens e menores custos de Gas. Contudo, quando apenas um nó de validação executa a função de “testemunha”, o atacante precisa apenas comprometer essa única ligação — seja o nó RPC, o servidor do nó de validação ou as permissões operacionais dos funcionários — para contornar toda a lógica de verificação cross-chain.

Ainda mais preocupante, a técnica do atacante é quase invisível às ferramentas tradicionais de monitoramento on-chain. Cada transação na cadeia parece completamente legítima: a mensagem foi relayada, a assinatura validada, o contrato na cadeia de destino executou a resposta correta ao pedido cross-chain. O que realmente foi manipulado não é o código do contrato inteligente, mas a camada de validação off-chain que decide se “essa transação cross-chain deve ser aprovada”.

Esse tipo de ataque evidencia uma mudança significativa na fronteira de segurança do DeFi: vulnerabilidades em contratos inteligentes não são mais a única fonte de risco sistêmico. A infraestrutura periférica dos cross-chains — nós RPC, redes de nós de validação, serviços de assinatura off-chain — está se tornando uma superfície de ataque cada vez maior. Em 2026, essa mudança de padrão de ataque está acelerando. Os ataques ao Kelp DAO e ao Drift Protocol representam 95% das perdas totais de abril, indicando que os atacantes estão sistematicamente expandindo seu alvo do contrato inteligente único para toda a camada de infraestrutura do DeFi.

Vale notar que, nos 4,5 meses anteriores, o setor de criptomoedas sofreu 47 ataques de hackers, contra 28 no mesmo período de 2025 — um aumento de aproximadamente 68%.

Como a cadeia de transmissão de risco de 13 bilhões de dólares na dívida descentralizada funciona?

A essência do ataque não foi apenas o roubo de tokens, mas a transmissão de risco entre protocolos via a característica de composabilidade do DeFi. O rsETH falsificado foi distribuído por sete endereços diferentes, usado como garantia em múltiplos protocolos de empréstimo como Aave e Compound. Como esses rsETH não possuem lastro real na cadeia, seu uso como garantia é, na prática, uma emissão de “cheque sem fundos” para o mercado de empréstimos.

Quando esses ativos falsificados foram usados para tomar emprestado ETH real, o risco ficou profundamente ligado às mecânicas de liquidação, reservas de liquidez e segurança dos depósitos dos usuários. Aave enfrentou duas pressões: por um lado, o valor do rsETH como garantia é instável, elevando o risco de inadimplência; por outro, o pânico do mercado levou os usuários a retirarem liquidez em massa, comprimindo ainda mais a capacidade do protocolo de absorver perdas. Após o ataque, o Conselho de Segurança do Arbitrum congelou 30.766 ETH de carteiras relacionadas aos atacantes, ajudando a conter perdas adicionais.

Mais importante, esse evento demonstra o efeito negativo da “composabilidade” do DeFi: quando os protocolos estão altamente acoplados, uma falha estrutural em um deles pode rapidamente evoluir para um risco sistêmico em todo o ecossistema, com custos compartilhados por depositantes e arbitradores entre protocolos.

Como o fundo de 303 milhões de dólares constrói uma válvula de segurança no DeFi?

Até 27 de abril de 2026, o plano de resgate coordenado pelo fundador da Aave, Stani Kulechov, chamado DeFi United, acumulou mais de 303 milhões de dólares em promessas de fundos. Os recursos vêm de diversos participantes-chave do ecossistema Ethereum, operando por doações, depósitos e linhas de crédito de forma flexível.

Especificamente, os principais participantes incluem: a Consensys e Joseph Lubin, com uma promessa de até 30.000 ETH; Mantle com 30.000 ETH em linha de crédito; proposta do Aave DAO de 25.000 ETH; EtherFi com até 5.000 ETH; Lido com uma proposta de 2.500 stETH; Compound com 3.000 ETH em financiamento; Renzo com mais de 10 milhões de dólares em fundos; Babylon Foundation com 3 milhões de USDT; Circle Ventures apoiando com compra de tokens AAVE; além de Avalanche Foundation, Solana Foundation e Sun Yuchen, cujos valores ainda não foram divulgados.

Importante notar que, após o evento, a LayerZero, protocolo cross-chain, comprometeu-se no quinto dia com 10.000 ETH, incluindo 5.000 ETH doados diretamente ao fundo DeFi United e 5.000 ETH depositados na Aave para reforçar sua liquidez. A Puffer Finance anunciou, em 29 de abril, a utilização de fundos do tesouro para participar do resgate, tornando-se um participante relevante na cadeia de reembolso.

O total do fundo de resgate já ultrapassa 100.360 ETH, sendo a maior coordenação de fundos entre protocolos na história do DeFi, marcando uma evolução no mecanismo de resposta a crises sistêmicas.

Como a substituição gradual de garantias por ETH e o resgate por etapas funcionam?

O plano do DeFi United é executado em fases, com o objetivo principal de restaurar o lastro do rsETH e cobrir as perdas deixadas pelo ataque. A estratégia central é transformar em etapas o ETH prometido em nova emissão de rsETH, reconstruindo seu valor de lastro. Antes disso, o protocolo ajusta temporariamente o valor do oráculo de preço ao usar rsETH como garantia, para iniciar uma liquidação controlada. Os tokens recuperados na liquidação serão enviados a uma multiassinatura do DeFi United, que os converterá em ETH via o procedimento padrão do Kelp, para cobrir o déficit de liquidez do mercado de empréstimos afetado.

Mais importante, o desenho do plano leva em conta as limitações da governança descentralizada: a maior parte do financiamento prometido ainda precisa ser aprovada por votação nas DAOs de cada protocolo, e a execução final dependerá da eficiência na tramitação dessas aprovações simultâneas.

A proposta não visa simplesmente pagar o atacante, mas recuperar o valor intrínseco das garantias, minimizando o impacto secundário sobre usuários e liquidez dos protocolos. A lógica é: se o DeFi deixar ativos sem lastro acumularem inadimplência, o dano final será à credibilidade do sistema como um todo, não de um único protocolo. Assim, a resposta ao risco sistêmico é uma intervenção proativa, não uma avaliação moral do comportamento individual.

Como a cooperação entre concorrentes está reformulando a confiança no DeFi?

A iniciativa DeFi United destaca-se pela ampla participação e alta cooperação entre diferentes atores. Mais de 14 participantes — muitos deles concorrentes diretos de diferentes setores — assumiram conjuntamente responsabilidades financeiras sob um mesmo framework. Essa coordenação não é comandada por uma entidade central, mas se apoia na transparência das promessas na blockchain, na consolidação de fundos via multiassinaturas e na execução técnica faseada.

Na narrativa tradicional do DeFi, a competição entre protocolos concentra-se em taxas de retorno, escala de liquidez e incentivos de governança. Essa dinâmica impulsionou inovação e eficiência, mas, diante de riscos sistêmicos, protocolos isolados muitas vezes não conseguem mitigar ou isolar perdas profundas. O evento Kelp DAO mostra que o acoplamento profundo de pontes cross-chain e protocolos de empréstimo torna a exposição ao risco difícil de ser fragmentada ou isolada.

A emergência de uma ação de resgate indica que o sistema financeiro descentralizado está evoluindo de uma competição de mercado livre para uma responsabilidade coletiva. Não se trata de altruísmo puro — os participantes incluem protocolos expostos ao risco de inadimplência e outros preocupados com a confiança do ecossistema. Apesar das motivações variadas, há um consenso na necessidade de “manter a credibilidade do DeFi como um todo”. Essa prática de coordenação entre entidades pode não ser a solução definitiva para risco sistêmico, mas oferece um modelo de evolução para uma maior resiliência autônoma do DeFi.

Resumo

O ataque de 292 milhões de dólares ao cross-chain do Kelp DAO é a maior crise de segurança do DeFi até 2026, cuja raiz técnica está na configuração de um único nó de validação — uma vulnerabilidade estrutural na camada de infraestrutura. A técnica do atacante saiu do escopo de vulnerabilidades tradicionais de contratos inteligentes, focando na camada de validação off-chain, revelando uma lacuna na segurança de cross-chains.

A ação de resgate coordenada pelo DeFi United, liderada pela Aave, atingiu um recorde de mais de 303 milhões de dólares em fundos, envolvendo mais de 14 protocolos por doações, depósitos e linhas de crédito, demonstrando a capacidade de cooperação do setor em crises sistêmicas. O evento confirma uma lógica: à medida que a interoperabilidade cross-chain se aprofunda, os efeitos colaterais da composabilidade aumentam, e a evolução do risco e da segurança das infraestruturas ainda apresenta um descompasso temporal. A eficácia do resgate depende, em última análise, da eficiência da governança na execução e do compromisso contínuo dos participantes.

Perguntas frequentes

Pergunta: Como ocorreu o ataque ao Kelp DAO?

Resposta: Os atacantes exploraram a vulnerabilidade de configuração de um único nó de validação na ponte cross-chain LayerZero do Kelp DAO. Ao falsificar mensagens de entrada, enganaram o nó de validação, fazendo com que o contrato na Ethereum interpretasse a transferência como concluída, liberando 116.500 rsETH, avaliado em cerca de 292 milhões de dólares.

Pergunta: De onde veio o financiamento do plano de resgate do DeFi United?

Resposta: Até 27 de abril, o plano recebeu promessas de mais de 303 milhões de dólares, com participação de Consensys, Lido, EtherFi, Mantle, Compound, Renzo, Babylon Foundation, LayerZero (10.000 ETH), Puffer Finance, entre outros.

Pergunta: Como os detentores de rsETH serão compensados?

Resposta: O DeFi United irá transformar o ETH prometido em rsETH de forma parcelada, para reconstruir seu lastro. Durante a execução, os ativos afetados serão transferidos para uma multiassinatura, convertidos em ETH via o procedimento padrão do Kelp, e usados para cobrir o déficit de liquidez. Os fundos remanescentes serão utilizados para compensar os detentores de rsETH.

Pergunta: Quais impactos esse evento terá na evolução da segurança do DeFi?

Resposta: O ataque mostra que os riscos do DeFi se expandiram de vulnerabilidades de contratos inteligentes para a camada de validação off-chain de infraestrutura cross-chain. Isso exige o desenvolvimento de sistemas de monitoramento de integridade de dados cross-chain e de validação de mensagens, além de maior coordenação entre protocolos para mitigar riscos sistêmicos.

Pergunta: Como os protocolos DeFi podem se proteger de ataques semelhantes no futuro?

Resposta: Três direções principais: (1) configurar múltiplos nós de validação independentes para eliminar pontos únicos de falha; (2) construir sistemas de monitoramento de integridade de dados cross-chain; (3) promover o compartilhamento de informações de risco e mecanismos de coordenação entre protocolos para responder rapidamente a riscos sistêmicos.