Análise completa do incidente do KelpDAO: Por que a Aave, que não sofreu nenhum ataque, acabou entrando em crise?

Título original: A vulnerabilidade do Kelp DAO na rsETH colocou a Aave diante de seu “momento da verdade”
Autor original: Gianmarco Marzotto
Tradução: Peggy, BlockBeats

Nota do editor: Em 18 de abril, uma transação envolvendo aproximadamente 116.500 tokens rsETH causou um grande impacto em todo o ecossistema DeFi, representando um teste de estresse inesperado. Os ativos roubados foram rapidamente transferidos para o Aave V3, onde foram usados como garantia para obter um empréstimo de uma quantia significativa de WETH. Esse influxo repentino perturbou o sistema de empréstimos, que até então se mantinha estável, elevando a utilização do pool de ETH a 100% e elevando o valor potencial de inadimplência para cerca de US$ 200 milhões. Em poucas horas, houve uma retirada maciça de fundos, o que levou a uma crise de liquidez.

À primeira vista, isso pode parecer mais um ataque a uma ponte entre cadeias; no entanto, o problema mais grave reside no fato de que o ataque não ocorreu dentro do próprio código da Aave, mas sim se infiltrou por meio de um ativo de garantia externo “aparentemente seguro”. A falha do rsETH nos processos de ponte, recolateralização e governança tornou-o economicamente não resgatável; no entanto, essa mudança não foi devidamente refletida no sistema de empréstimos, o que acabou por causar um impacto direto na solvência do protocolo.

Na perspectiva deste artigo, a estrutura de risco da DeFi está passando por uma transformação. A questão da segurança do protocolo não se resume mais apenas à “vulnerabilidade do contrato”, mas sim à “confiabilidade de toda a cadeia técnica e de governança por trás das garantias aceitas”. À medida que o fornecimento de liquidez, a recolateralização e a infraestrutura entre cadeias se sobrepõem, a falha de qualquer elo pode se transformar em um choque sistêmico ao longo da cadeia de garantias.

Em retrospecto, este foi um caso típico de “rendimento contraproducente”: o que antes era considerado um rendimento de recolateralização praticamente isento de risco transformou-se, da noite para o dia, em esgotamento de liquidez e exposição ao risco de inadimplência. Para a Aave, este foi um verdadeiro teste à governança e à gestão de riscos; para todo o ecossistema DeFi, pode servir como um lembrete mais claro de que, num sistema altamente modular, o risco nunca desapareceu, mas sim foi redistribuído e adiado.

Segue abaixo o artigo original:

Introdução: O dia em que o rsETH deixou de ser “livre de risco”

Em 18 de abril de 2026, o DeFi passou por um momento que distanciou completamente a “teoria” da “realidade”: a ponte entre cadeias rsETH da Kelp DAO foi explorada, com aproximadamente 116.500 tokens rsETH (cerca de US$ 2,92 bilhões a US$ 2,93 bilhões) sendo roubados, marcando o maior ataque hacker ao DeFi do ano até o momento.

Esses tokens roubados não ficaram parados, mas foram rapidamente transferidos para o Aave v3 como garantia e utilizados para obter WETH emprestado. Essa ação provocou diretamente uma crise de liquidez, resultando em uma dívida incobrável de mais de US$ 170 milhões a US$ 200 milhões no protocolo.

Ao contrário de muitos ataques ocorridos no passado, este não se deveu a uma vulnerabilidade no próprio código do Aave. O problema teve origem numa fonte “externa” — um feed de preços de ativos colaterais que, inicialmente, era considerado confiável, mas que perdeu credibilidade em pouco tempo.

Este artigo irá descrever a evolução específica desse evento, explicar por que ele se assemelhou mais a uma crise de liquidez do que a uma vulnerabilidade de segurança no âmbito da Aave e, ainda, discutir o que esse evento significa para a gestão de riscos em um ecossistema DeFi cada vez mais interconectado.

O que são Kelp DAO e rsETH (e por que chamaram a atenção da Aave)

O Kelp DAO é um protocolo de restaking de liquidez que permite aos usuários converter ETH e vários tokens de liquidez em staking (como stETH, cbETH, etc.) em um token de liquidez chamado rsETH, que está atrelado ao ativo subjacente restaked na EigenLayer.

Assim, o valor do rsETH deriva de uma cesta de ativos subjacentes bloqueados no sistema de restaking. Embora esses ativos subjacentes tenham liquidez limitada, o rsETH, enquanto token, ainda pode circular livremente pelo ecossistema DeFi, sendo utilizado como garantia ou participando de várias estratégias de yield farming.

Do ponto de vista de um protocolo de empréstimos como o Aave (um mercado monetário), o rsETH é, “teoricamente”, quase uma garantia ideal: conta com um forte suporte de garantias, fontes de receita adicionais e está integrado a um ecossistema de “primeira linha” como o EigenLayer. É por esse motivo que o rsETH foi listado nos mercados Aave v3 e v4, permitindo que os usuários o utilizem como garantia para tomar emprestado ativos mais líquidos (como o WETH).

No entanto, essa integração também provocou uma mudança no paradigma do risco: A capacidade da Aave de efetuar pagamentos no lado da ETH depende agora não apenas do design e da segurança de seu próprio protocolo, mas também de componentes externos — incluindo o funcionamento seguro das pontes entre cadeias e toda a pilha tecnológica de restaking que sustenta o rsETH.

Caminho do ataque: Da ponte entre cadeias da Kelp ao Aave v3

De acordo com análises preliminares na cadeia de blocos e relatos de vários meios de comunicação especializados em criptomoedas, o incidente teve origem na ponte entre cadeias rsETH da Kelp DAO, baseada na LayerZero.

O invasor explorou uma vulnerabilidade no mecanismo de mensagens entre cadeias da ponte (lzReceive no EndpointV2) para retirar aproximadamente 116.500 rsETH do adaptador/ponte, o que correspondia a um valor entre US$ 2,92 bilhões e US$ 2,93 bilhões no momento do ataque.

Depois de obter esses tokens, a estratégia de ataque foi altamente “racional” em termos econômicos:

· Deposite rsETH no Aave v3 como garantia

· Tomar emprestado o máximo possível de WETH com base nessa posição (aproveitando o fato de que, naquele momento, o rsETH ainda era totalmente reconhecido pelo protocolo como um ativo de garantia válido)

· Transferir ou resgatar o WETH emprestado para obter liquidez real

· Manter o risco dentro do ecossistema Aave, aguardando que o valor da garantia desça posteriormente

Ao detectar a anomalia, a Kelp DAO anunciou imediatamente a suspensão dos contratos rsETH na mainnet e em várias L2s para investigar o ataque, congelando, na prática, os fluxos normais de circulação e resgate do rsETH.

Ao mesmo tempo, a Aave também suspendeu urgentemente os mercados de rsETH e wrsETH nas versões v3 e v4, ressaltando que seus contratos inteligentes não foram violados e que o problema se limitava a esse ativo específico.

No entanto, a questão central é a seguinte: o rsETH que serve como garantia agora "falhou" do ponto de vista econômico.

A ponte foi esvaziada, o caminho para o resgate é incerto e o mecanismo de determinação de preços está em desordem — embora o WETH emprestado anteriormente com base na garantia ainda exista fisicamente.

Crise de liquidez na Aave: Pico de utilização e uma inadimplência de “nove dígitos”

O congelamento do rsETH pela Kelp DAO impediu que as posições garantidas por esse token fossem liquidadas de forma ordenada. Mais especificamente, os empréstimos em WETH associados a essas garantias não podem mais ser recuperados com valor suficiente por meio da alienação de rsETH, fazendo com que o mecanismo do protocolo como “credor de última instância” falhe nessas posições.

Estimativas preliminares indicam:

· Aproximadamente 116.500 rsETH foram roubados e depositados na Aave v3

· Estima-se que o valor dos empréstimos em WETH diretamente relacionados a essas posições esteja entre US$ 177 milhões e US$ 236 milhões

· Considerando as exposições em cascata a outros protocolos, a magnitude potencial do calote poderia chegar a cerca de US$ 200 milhões

·A taxa de utilização do pool de ETH da Aave atingiu brevemente 100%, ficando praticamente sem liquidez disponível para os usuários retirarem (a menos que fizessem front-running)

Isso provocou um pânico, com mais de US$ 5,4 bilhões sendo rapidamente retirados da Aave em questão de horas, incluindo mais de US$ 150 milhões de Justin Sun, um dos principais grandes investidores do protocolo.

O tvl-7532">Valor Total Bloqueado (TVL) da Aave despencou de cerca de US$ 45,8 bilhões para US$ 35,7 bilhões em um período muito curto, enquanto seu token AAVE caiu aproximadamente 17% a quase 20% em um único dia.

Um resultado irônico foi que, para os usuários que emprestavam stablecoins ou outros ativos, o rendimento disparou — devido à escassez de fundos disponíveis para empréstimo, a taxa de rendimento anual (APY) dos depósitos em stablecoins subiu para cerca de 13% a 14%, um sinal típico de que o mercado estava entrando em “modo de crise”.

Perspectivas sobre a gestão de riscos na cadeia de blocos apresentadas neste evento

O incidente envolvendo o rsETH, o Kelp DAO e o Aave não foi apenas um ataque comum, mas sim um excelente exemplo que revelou como o risco se propaga de um protocolo para outro em um sistema financeiro DeFi altamente modular.

Entre os principais pontos a serem destacados, destacam-se:

Os protocolos de empréstimo não existem isoladamente
Mesmo que os contratos inteligentes da Aave não tivessem sido violados diretamente, aceitar rsETH como garantia significava ficar diretamente exposto a riscos externos — incluindo a segurança das pontes entre cadeias e o sistema de re-garantia por trás delas.

Quando a "resgatabilidade" deixa de funcionar, a precificação do oráculo é insuficiente
Mesmo que os preços na cadeia continuem tecnicamente “válidos”, assim que um ativo perde a resgatabilidade ou a liquidez (por exemplo, devido a uma pausa, um ataque ou um congelamento), ele deixa de ser uma garantia economicamente viável. A gestão de riscos precisa abranger a integridade da infraestrutura e fatores de governança, e não apenas a dimensão dos preços.

Um mecanismo de pausa de emergência é uma faca de dois gumes
A Kelp DAO congelou o contrato rsETH, uma medida razoável do ponto de vista do controle do ataque, mas isso agravou a situação para a Aave: as garantias ficaram ilíquidas, tornando a liquidação mais difícil.

"Garantias distribuídas" podem evoluir para uma concentração de risco sistêmico
Cada novo LRT, LST ou ativo derivativo complexo introduz novos vetores de risco. Assim que esses ativos forem aceitos como garantia por vários protocolos (como Aave, Compound, Euler etc.), um único ataque a uma ponte entre cadeias poderia desencadear um efeito em cascata em todo o ecossistema.

Para os gestores de risco em cadeia, esse evento tornou-se, essencialmente, um “modelo”: a chamada “lista de garantias aprovadas” já não se resume apenas à avaliação das flutuações de preço, mas agora exige a medição da complexidade e da vulnerabilidade de toda a cadeia de suprimentos técnica que sustenta o ativo.

Perspectivas: Como a Aave (e a DeFi) podem mudar após o incidente com o rsETH

Poucas horas após o ataque, a equipe da Aave e a Guardian garantiram que o pool de liquidez continuava funcionando normalmente, sendo que o incidente afetou apenas os ativos relacionados ao rsETH. Eles estão colaborando com a Kelp, a LayerZero e outras partes interessadas para minimizar o impacto.

Mas o verdadeiro trabalho está apenas começando: como lidar com dívidas incobráveis, se deve-se ativar o Módulo de Segurança/mecanismo de Proteção e como atualizar as estratégias de listagem de ativos serão todos testes de resistência críticos para a governança.

Algumas das áreas em que esse evento pode impulsionar mudanças incluem:

· Adotar parâmetros de integração mais conservadores para ativos LRT/inter-cadeias: LTV mais baixo, limites mais rigorosos e requisitos de auditoria em várias camadas, com testes de estresse especializados para cenários de ataques inter-cadeias.

· Criação de um quadro de quantificação para medir o “risco de ponte” e o “risco de restaking”, semelhante à modelagem atual da volatilidade dos preços e da correlação entre ativos.

· Dar maior ênfase às questões relacionadas à concentração de garantias: estabelecer limites não apenas por ativo individual, mas também por “categoria de risco” (por exemplo, ativos derivativos do mesmo provedor de LRT ou infraestrutura de mensagens).

· Impulsionar a evolução da função do Módulo de Segurança: incluindo o staking de AAVE, um fundo de seguro e um pool de liquidez de apoio, passando de “última linha de defesa” para parte da gestão diária do risco sistêmico.

Para os usuários, esse evento também envia um sinal claro: usar tokens compostos complexos como garantia pode, de fato, aumentar os retornos, mas também significa expor-se a uma série de riscos frequentemente ignorados — incluindo vulnerabilidades nas pontes entre cadeias, questões de governança relacionadas à reaplicação de staking e mecanismos de desligamento de emergência dos protocolos de origem.

Um lembrete sobre a natureza do rendimento da DeFi

O ataque ao rsETH não comprometeu o código do Aave, mas revelou uma questão crucial: quando as garantias se baseiam em estruturas complexas de penhor de liquidez, restaking e pontes entre cadeias, a vulnerabilidade dos protocolos de empréstimo a choques externos aumenta significativamente.

O que parecia ser um retorno “sem risco” nos últimos meses transformou-se em uma crise de liquidez, com mais de US$ 10 bilhões em saídas de recursos em apenas um dia, além de possíveis inadimplências que chegam a cerca de US$ 200 milhões.

Se há uma lição fundamental a ser aprendida, é esta: na DeFi, o rendimento está sempre associado ao risco — só que esse risco costuma ser subestimado antes que ocorra o primeiro evento sistêmico.

[Artigo original]