O ataque de US$ 292 milhões à KelpDAO que desencadeou a maior crise de liquidez da Aave

Visão geral

Em abril de 2026, o setor de finanças descentralizadas (DeFi) sofreu uma das maiores crises de segurança do ano. Um exploit na bridge cross‑chain do token rsETH da KelpDAO permitiu que um atacante criasse centenas de milhões de dólares em tokens sem lastro. Esses tokens foram então usados como garantia em plataformas de empréstimo — especialmente a Aave V3 — para tomar ativos reais como wrapped Ether (WETH).

O efeito dominó foi imediato. A Aave ficou exposta a centenas de milhões em dívida ruim, e o valor total bloqueado (TVL) do protocolo caiu cerca de 44% no mês seguinte, despencando de aproximadamente US$ 26,6 bilhões para cerca de US$ 14,8 bilhões.

Um ponto importante: os contratos da Aave nunca foram invadidos. A crise começou quando um ativo comprometido entrou no protocolo como garantia após falha em uma bridge.

---

O que aconteceu no exploit da KelpDAO

O ataque ocorreu em 18 de abril de 2026, quando um invasor explorou uma falha de configuração na bridge da KelpDAO baseada na infraestrutura da LayerZero.

• A bridge aceitou uma mensagem cross‑chain forjada, permitindo liberar ou cunhar 116.500 rsETH.
• Esse montante valia aproximadamente US$ 292–294 milhões no momento do ataque.
• A quantia representava cerca de 18% de todo o supply circulante de rsETH.
• A falha ocorreu porque a bridge estava configurada com apenas um verificador (modelo 1‑de‑1 DVN) para validar mensagens.

Como nenhum ETH foi realmente bloqueado ou queimado na cadeia de origem, o rsETH liberado não tinha lastro real — mas, inicialmente, outros protocolos não conseguiam distinguir isso.

Relatos indicam que toda a exploração aconteceu em menos de uma hora, antes que pausas emergenciais fossem ativadas.

---

Como o invasor usou rsETH para drenar liquidez da Aave

Em vez de vender imediatamente os tokens roubados, o atacante adotou uma estratégia mais sofisticada dentro do ecossistema DeFi.

1. Depósito como garantia

Grandes quantidades de rsETH foram depositadas em pools de empréstimo da Aave V3, distribuídas em várias carteiras. Estimativas indicam que cerca de 89.000 rsETH foram colocados no protocolo.

2. Empréstimo de ativos reais

Usando o valor inflado do colateral, o invasor tomou WETH e outros ativos denominados em ETH, retirando liquidez real do sistema.

3. Conversão em ETH líquido

Antes que os mercados reagissem, o atacante conseguiu emprestar mais de US$ 236 milhões em WETH e ativos semelhantes.

Isso transformou um exploit contábil em uma extração real de liquidez de vários protocolos DeFi.

Quando o mercado percebeu que o rsETH não tinha lastro suficiente, o colateral deixou de cobrir os empréstimos. O resultado foi uma dívida ruim estimada entre US$ 177 milhões e US$ 200 milhões na Aave.

---

Impacto imediato na Aave e no mercado DeFi

O episódio provocou um dos choques de liquidez mais rápidos já vistos na DeFi.

Principais efeitos:

• O pool de WETH na Aave chegou perto de 100% de utilização.
• Usuários retiraram bilhões de dólares por medo de perdas.
• Diversos protocolos DeFi registraram saídas massivas de capital.

Nas semanas seguintes, o TVL da Aave caiu drasticamente. Dados de plataformas de análise mostraram uma queda de US$ 26,6 bilhões para US$ 14,8 bilhões, cerca de 44% de retração.

Na prática, o evento se comportou como uma espécie de “corrida bancária” na DeFi, apesar de o protocolo em si continuar tecnicamente seguro.

---

Como a Aave respondeu à crise

Governança e gestores de risco do protocolo reagiram rapidamente para conter o problema.

Congelamento de mercados

Horas após o exploit:

• Os mercados de rsETH e wrsETH foram congelados em todas as implantações da Aave V3.
• O loan‑to‑value (LTV) desses ativos foi reduzido a zero para impedir novos empréstimos.

Posteriormente, restrições adicionais foram aplicadas ao WETH, incluindo congelamento temporário em vários deployments para evitar novas drenagens de liquidez.

Liquidação das posições do invasor

À medida que o plano de recuperação avançava, a Aave executou liquidações controladas das posições associadas ao atacante.

Essas liquidações liberaram cerca de 13.000 ETH (aproximadamente US$ 30 milhões) ligados ao exploit.

Os ativos recuperados foram enviados para um multisig chamado Recovery Guardian, administrado pelo grupo DeFi United.

Retorno gradual das operações

Depois de estabilizar os mercados e avançar no plano de recuperação, a Aave começou a restaurar a atividade normal.

Em 18 de maio de 2026, o protocolo anunciou que:

• os LTVs de WETH voltaram aos níveis anteriores ao incidente;
• o empréstimo de WETH foi reativado em redes como Ethereum Core, Ethereum Prime, Arbitrum, Base, Mantle e Linea.

Isso marcou um passo importante para restaurar a confiança na liquidez da plataforma.

---

Quanto foi recuperado — e o que ainda está congelado

O impacto financeiro do ataque ainda é complexo.

Fundos recuperados

• Cerca de 13.000 ETH (~US$ 30 milhões) recuperados via liquidações.

Fundos congelados

• O Conselho de Segurança do Arbitrum congelou cerca de 30.766 ETH (~US$ 71 milhões) ligados ao exploit.

Esses fundos foram movidos para uma carteira intermediária controlada por governança enquanto disputas legais são resolvidas.

Decisões judiciais atrasaram o acesso total a esses ativos, o que mantém parte dos recursos temporariamente indisponíveis para recuperação.

Mesmo após as liquidações, relatórios indicam que o rsETH ainda apresentava um déficit de aproximadamente 10% no lastro em ETH, evidenciando o tamanho do problema original.

---

O que esse exploit revelou sobre a infraestrutura DeFi

O caso expôs vários riscos sistêmicos no ecossistema.

Risco de configuração em bridges

A vulnerabilidade não estava na tecnologia da LayerZero em si, mas na forma como a bridge foi configurada. Um único verificador bastou para validar uma mensagem fraudulenta.

Contágio via colateral

A falha mostrou como um problema em um protocolo pode se espalhar rapidamente quando seus tokens são amplamente usados como garantia em outros sistemas.

Mesmo funcionando corretamente, a Aave sofreu perdas significativas porque aceitou um ativo cujo lastro havia falhado silenciosamente.

Dinâmica de corrida por liquidez

A retirada massiva de fundos demonstrou que choques de confiança podem desestabilizar rapidamente até grandes protocolos DeFi.

Mudanças em gestão de risco

Após o incidente, aumentaram as pressões por:

• critérios mais rigorosos para listagem de colateral
• limites menores de supply para ativos arriscados
• verificações cross‑chain mais robustas
• circuit breakers para tokens ligados a bridges ou restaking

---

Conclusão

O exploit da KelpDAO em abril de 2026 deixou uma lição clara para o setor: a segurança de um protocolo DeFi depende não apenas do seu código, mas também da confiabilidade dos ativos usados como garantia.

Os contratos da Aave permaneceram intactos. Ainda assim, a introdução de US$ 292 milhões em rsETH sem lastro nos mercados de empréstimo provocou um choque de liquidez gigantesco, gerou centenas de milhões em dívida ruim e desencadeou uma das maiores quedas de TVL já registradas na DeFi.

Desde então, o episódio virou um estudo de caso sobre riscos de bridges cross‑chain e contágio entre protocolos no ecossistema DeFi.