Quem deve pagar pela «Configuração padrão»? Meio mês após o roubo do rsETH, o CEO da LayerZero «assumiu a responsabilidade de forma proativa»

Artigo: Yangz, Techub News

No mundo Web3 que nunca dorme, 18 de abril parecia ser apenas um dia comum.
No entanto, para o setor de reempréstimo de liquidez e para todo o ecossistema DeFi, uma “terremoto” que poderia entrar para a história ocorreu silenciosamente na cadeia.
Em menos de uma hora, hackers (supostamente do Lazarus Group) usaram a ponte cross-chain do Kelp DAO para cunhar 116.500 rsETH do nada, avaliado em cerca de 292 milhões de dólares.
Considerando que o rsETH é amplamente usado como garantia, os hackers não venderam imediatamente, mas transferiram esses “certificados de ar” sem valor de suporte para protocolos de empréstimo tradicionais como Aave, obtendo aproximadamente 236 milhões de dólares em ETH, levando protocolos líderes como Aave a uma crise de inadimplência.

Não é a primeira vez que uma ponte cross-chain sofre um ataque, mas desta vez abriu uma ferida antiga na indústria Web3:
Quando a infraestrutura básica (camada de protocolo) e a camada de aplicação (camada superior) entram em vácuo na transição, quem deve pagar pelos bilhões de ativos desaparecidos?

Nas mais de seis semanas seguintes, essa crise evoluiu para um confronto aberto sobre tecnologia, responsabilidade e poder.
Desde a fase inicial de “culpa mútua” até o atual discurso do CEO da LayerZero, Bryan Pellegrino, assumindo a responsabilidade, essa disputa pelo limite de responsabilidade chega a um ponto de inflexão.

O fatal “1/1 DVN”

Para entender essa disputa, é preciso analisar as táticas de ataque do hacker.
Curiosamente, o ataque não se originou de uma vulnerabilidade complexa em contratos inteligentes, mas de um parâmetro de configuração: o “1-of-1 DVN”.

Esse chamado DVN, ou rede de validadores descentralizados, é um componente responsável por validar mensagens cross-chain na arquitetura LayerZero V2.
A configuração 1-of-1 significa que, com uma assinatura de um validador, a mensagem cross-chain é considerada legítima e executada.
Pior ainda, a operação dessa “chave” não está totalmente sob controle do Kelp, mas depende do nó RPC subjacente.
O hacker, por meio de envenenamento do nó RPC e ataque DDoS, sequestrou o único nó validador, enviando registros falsos de “destruição na cadeia de origem”.
O validador acreditou, assinou, e assim uma grande quantidade de ativos surgiu do nada.

Então, quem deve assumir a culpa por esse “1/1 DVN”?

Culpa mútua: o choque de duas lógicas

Nos primeiros momentos após o ataque, a opinião pública inicialmente apoiava a LayerZero.
Nas redes sociais, havia zombarias contra o Kelp DAO: como uma das principais plataformas gerenciando bilhões de dólares, usar uma “chave de validador único” tão frágil era quase imperdoável.

No entanto, quando, em 21 de abril, o Kelp publicou uma “declaração oficial”, uma reviravolta dramática na opinião pública ocorreu.
O núcleo do argumento do Kelp foi uma frase: se a documentação oficial e a configuração padrão são perigosas, a responsabilidade recai sobre quem escreveu a documentação e definiu os valores padrão.
Não foi um erro de configuração do usuário, mas uma “falha orientadora” do produto.
Embora o CEO da LayerZero, Bryan Pellegrino, tenha reiterado várias vezes que essa foi uma escolha da camada de aplicação, não uma vulnerabilidade do protocolo, a acusação mudou de foco: de uma “ineficiência” do Kelp para uma “arrogância sistêmica” da LayerZero — ciente dos riscos na configuração padrão, mas ainda assim a adotando como exemplo de entrada rápida.

Além disso, vozes de desenvolvedores terceiros ampliaram a controvérsia.
Banteg, desenvolvedor principal do Yearn, descobriu que o guia de entrada rápida do LayerZero V2 usava essa configuração de validação única perigosa na Ethereum, BNB Chain, Polygon, Arbitrum e Optimism.
Zach Rynes, responsável pela comunidade Chainlink, criticou ainda mais duramente: acusou a LayerZero de transformar usuários que seguem suas diretrizes oficiais em “bodes expiatórios” para esconder a vulnerabilidade de sua infraestrutura diante de ataques de hackers de elite.

Quem está certo ou errado?
Na verdade, ambos têm parte da razão e da culpa.
A essência da disputa é o choque entre duas lógicas:
uma é a “ética do geek”: as ferramentas são neutras, e os usuários devem assumir responsabilidade por suas escolhas;
a outra é o “princípio de segurança padrão”: o estado de fábrica do produto deve ser o mais seguro possível.
Usuários podem optar por reduzir barreiras para conveniência, mas o produto não deve guiá-los para o perigo.

Na engenharia de software tradicional, “segurança padrão” é consenso.
Sistemas operacionais vêm com firewalls ativados por padrão, navegadores bloqueiam pop-ups por padrão.
Essas escolhas não refletem a estupidez do usuário, mas a responsabilidade do projetista de prever o uso em “pior cenário”.
Porém, no mundo Web3, acredita-se em outra lógica: “Você é responsável” — suas chaves, suas configurações, suas perdas.

A “assunção de responsabilidade” de Bryan: uma retirada cuidadosamente planejada

Sob pressão da opinião pública e do mercado financeiro, o preço do token ZRO caiu de US$ 1,98 para US$ 1,32.
Em 5 de maio, o antes firme Bryan Pellegrino finalmente se retratou, admitindo: “Eu estava errado”.

Desta vez, ele não insistiu na “neutralidade técnica”, mas afirmou estar sofrendo de uma “dissonância cognitiva”, assumindo que erroneamente acreditava que os usuários tinham a consciência de identificar e evitar configurações fracas de 1/1.
Depois, propôs uma solução para recuperar a confiança do mercado: focar em serviços para emissores de ativos, reforçar a segurança obrigatoriamente e colaborar com a DeFi United na reconstrução pós-crise de rsETH.

Claro, a sutileza dessa declaração está nas “entrelinhas”.
Bryan não mencionou “indenização” nem admitiu culpa do Kelp DAO.
Com uma frase de relações públicas inteligente — “temos a oportunidade de fazer melhor” — ele transformou um incidente de US$ 292 milhões em uma “lamentação pelo processo de busca pela excelência”.

Claramente, essa foi uma postura calculada.
LayerZero provavelmente não vai, e nem deve, pagar do próprio bolso pelos quase US$ 3 bilhões em perdas, mas precisa assumir essa “responsabilidade indireta” para limitar os danos.
Percebe que, como líder no setor de cross-chain, oferecer apenas ferramentas sem assumir alguma responsabilidade tornaria sua barreira defensiva inútil.
Ao assumir essa responsabilidade, LayerZero busca, na verdade, um degrau decente para si e para o frágil preço do ZRO.

Conclusão

A perda de US$ 292 milhões não é apenas um déficit financeiro, mas um teste completo à confiança no fundamento do DeFi.
Felizmente, mesmo com a culpa sendo trocada entre protocolos, o setor demonstrou uma resiliência impressionante de “auto-cura”.

Como o protocolo de empréstimo mais afetado, Aave não ficou de braços cruzados.
Quando o escritório de advocacia Gerstein Harrow tentou congelar cerca de US$ 71 milhões de ETH recuperados do Arbitrum DAO, a equipe de governança do Aave apresentou uma moção de emergência para revogar a restrição.
Ao mesmo tempo, o plano DeFi United, liderado pelo Aave, está avançando de forma significativa.
Com múltiplas fontes de financiamento e um mecanismo de compartilhamento de lucros, já arrecadaram mais de US$ 300 milhões, lentamente absorvendo os ativos inadimplentes na plataforma Aave.

Embora as perdas tenham sido severas, se isso reforçar o respeito pela “fronteira de segurança” na infraestrutura, aumentar a cautela dos desenvolvedores com configurações padrão, e fortalecer a capacidade de autoajuda do setor diante de crises, essa “despesa” talvez não tenha sido em vão.
Quando Bryan Pellegrino afirmou “temos a oportunidade de fazer melhor” e a DeFi United começou a preencher as lacunas do ecossistema, eles não estavam apenas protegendo os ativos de rsETH inadimplentes, mas também a última esperança de confiança dos usuários neste mundo descentralizado cheio de incertezas.