Depois de 300 milhões, mais 300 milhões. Ainda dá para confiar o dinheiro na esfera DeFi?

Autor: Jae, PANews

A indústria de criptomoedas de abril foi marcada por turbulências, logo após o roubo de 285 milhões de dólares do líder do ecossistema Solana, o DEX perpétuo Drift, em meio a uma onda de “festa de peões” no mercado de tokens RAVE.

E justamente quando RAVE começava a esfriar, o mercado DeFi enfrentou um golpe duro com o ataque hacker ao principal protocolo de LRT (re-pledge de liquidez) na Ethereum, KelpDAO.

Em 18 de abril, KelpDAO foi vítima de um ataque explorando uma vulnerabilidade na ponte cross-chain baseada em LayerZero, com aproximadamente 116.500 rsETH sendo roubados ilegalmente, causando uma perda de até 292 milhões de dólares, maior que o ataque ao Drift, tornando-se o maior incidente de segurança on-chain desde 2026.

Os hackers não comprometeram o contrato de staking principal, nem tiveram vazamento de chaves privadas, mas uma pequena fissura na verificação cross-chain foi suficiente para desencadear um risco sistêmico no DeFi.

Quando o re-pledge alavancado e a expansão multi-chain se combinam, após três anos de busca por “retorno” no DeFi, surge novamente a questão fundamental: “retorno acima de tudo” ou “segurança acima de tudo”.

A vulnerabilidade na verificação de ponto único desencadeou a crise do LRT, com quase 3 bilhões de dólares roubados de KelpDAO

O protagonista do roubo, KelpDAO, foi uma estrela no setor de LRT.

Sua lógica de negócios atingiu exatamente as dores do mercado, criando um modelo “um peixe, três usos”. Os usuários podem encapsular ativos como stETH, rETH e outros LSTs (tokens de staking líquido) em rsETH, mantendo os rendimentos básicos do ETH, além de ganhar recompensas de re-pledge via EigenLayer, e usar rsETH para navegar por diversos cenários de empréstimos e mineração em DeFi.

Para conquistar participação de mercado, KelpDAO expandiu agressivamente para 16 blockchains, e devido ao alto retorno e liquidez, rsETH se tornou um ativo de garantia padrão em Layer 2, Aave e outros, integrando-se profundamente ao ecossistema DeFi da Ethereum.

Essa arquitetura multi-chain depende fortemente do protocolo de comunicação cross-chain fornecido pelo LayerZero, que se tornou o epicentro do desastre.

Em 20 de abril, LayerZero publicou uma análise do incidente, afirmando que KelpDAO foi atacada, com perdas de cerca de 290 milhões de dólares. Indícios preliminares sugerem que o ataque pode ter sido realizado por um ator estatal altamente sofisticado, possivelmente o grupo Lazarus da Coreia do Norte, especificamente o TraderTraitor. Como KelpDAO usa configuração de assinatura única, o incidente afetou apenas seu rsETH, sem impactar outros ativos ou aplicações cross-chain.

Ao mesmo tempo, LayerZero admitiu que KelpDAO utilizava apenas uma configuração de DVN 1/1, apresentando “risco de ponto único”, e está entrando em contato com todas as aplicações que usam essa configuração para migrar para uma configuração multi-assinatura com redundância. Contudo, até então, LayerZero não havia pressionado KelpDAO a fazer essa mudança, o que também coloca sua responsabilidade em questão.

Os hackers direcionaram ataques específicos à infraestrutura downstream do LayerZero, infectando dois nós independentes, levando o DVN a confirmar transações que nunca ocorreram.

Segundo a LayerZero, os hackers obtiveram a lista de RPCs usados pelo DVN da LayerZero Labs, invadiram dois nós independentes e substituíram o binário op-geth, além de lançar ataques DDoS nos RPCs não infectados, acionando uma falha de failover, o que levou o DVN a confirmar transações inexistentes.

Resumindo, os hackers “ativaram do nada” a permissão de retirada de rsETH.

Mais assustador ainda, se o mecanismo de blacklist de emergência não tivesse sido acionado nos últimos 3 minutos, os hackers poderiam ter levado mais 100 milhões de dólares, fazendo a perda total ultrapassar 400 milhões de dólares.

Este incidente já tinha sinais prévios.

A rota de ataque dos hackers aponta para uma vulnerabilidade comum na indústria: a fragilidade do mecanismo de validação do protocolo.

Na busca frenética por eficiência cross-chain, KelpDAO ignorou o problema de validação de ponto único, que acabou se tornando sua brecha de entrada.

Este não foi o primeiro problema de segurança de KelpDAO. Em maio do ano passado, uma atualização de contrato com erro de escala de unidades criou 31,2 quintilhões (cinquenta milhões de bilhões) de rsETH. Embora tenham destruído esses tokens a tempo, o episódio já revelou vulnerabilidades na segurança do protocolo.

A competição acirrada na área de re-pledge faz da segurança uma vítima. Para expandir continuamente, KelpDAO adiciona novos ativos LST e novas redes Layer 2, mas a cada nova cadeia ou ativo, a superfície de ataque se expande exponencialmente.

Especialistas experientes em DeFi apontam que o custo de captação de TVL em Layer 2 deve aumentar ainda mais, com grande parte do TVL retornando ao Layer 1.

A “espada de dois gumes” da expansão multi-chain, que no final pode perfurar tanto o protocolo quanto todo o ecossistema DeFi.

Aave sofre com rsETH envenenado, com 200 milhões de dólares em inadimplência e uma fuga de capital de 6,6 bilhões

DeFi é como blocos de LEGO: uma peça quebrada, o todo desmorona.

Após obter rsETH ilegal, os hackers não venderam imediatamente na DEX, mas adotaram uma estratégia de “envenenamento de ativos”: usaram rsETH como garantia de alta qualidade na Aave, para obter ativos líquidos de alta liquidez.

Aave V3/V4 aceita rsETH como garantia qualificada na Ethereum, Arbitrum e outras redes. Os hackers depositaram rsETH, emprestando grandes quantidades de WETH, USDC e USDT, transformando ativos ilegais em inadimplência do protocolo.

De acordo com estimativas da Chaos Labs, o valor de inadimplência enfrentado pela Aave ultrapassa em muito as expectativas de mercado, chegando perto de 200 milhões de dólares.

Após a notícia, o token AAVE caiu cerca de 18%.

Desde o fim do ano passado, a Aave parece estar em uma “maré de azar”. Depois de uma série de crises de governança e de saída de provedores de serviço, agora, por estar ligada ao mercado de rsETH, tornou-se uma das principais rotas de liquidez para hackers.

Imagens de dados on-chain reforçam essa percepção.

Sun Yuchen foi monitorado retirando de forma emergencial 53.665 ETH, avaliado em 126 milhões de dólares. Sua retirada é vista como um sinal de que grandes investidores perderam confiança na segurança do protocolo.

Logo depois, houve uma fuga de capitais no mercado. Segundo DeFiLlama, Aave registrou uma saída líquida de até 6,6 bilhões de dólares em um único dia, com uma redução de 23% no TVL.

Embora o problema principal não tenha sido causado pela Aave, o incidente representa uma forte prova de fogo para seu gerenciamento de risco.

Alguns usuários apontam que membros da comunidade já alertavam há 15 meses sobre o risco de validação de ponto único do KelpDAO na governança do Aave. Mas a equipe do Aave não tomou nenhuma medida.

Em contrapartida, a Spark removeu rsETH de sua plataforma em janeiro deste ano. O pesquisador de DeFi CM afirma: “Todo o sistema Sky é uma filosofia de controle de risco que prioriza o aperto. Embora isso possa desacelerar o desenvolvimento do protocolo, demonstra seu valor em momentos críticos.”

As 53.665 ETH de Sun Yuchen também foram depositadas na Spark. Em dois dias, o token SPARK subiu mais de 50%, em contraste com a queda de AAVE.

Todd, cofundador da Nothing Research, acredita que, diante de uma inadimplência de quase 200 milhões de dólares, a Aave pode ativar seu módulo de seguro “Umbrella”.

Embora o módulo de seguro ofereça uma primeira linha de defesa, seu fundo de reserva é insuficiente para cobrir a perda de cerca de 200 milhões de dólares.

No curto prazo, a autoajuda da Aave é apenas um adiamento da crise, não uma solução definitiva. Os recursos para recuperar a estabilidade virão principalmente do lucro do protocolo ou da emissão de tokens, que ainda será discutida pela comunidade.

Pools de isolamento + obrigatoriedade de seguro + reprecificação de risco: segurança sem “almoço grátis”

O incidente do KelpDAO marca o fim da era do hype do LRT, e o mercado DeFi enfrentará três mudanças irreversíveis na gestão de risco.

Isolamento do mercado de empréstimos: O modelo de empréstimo não isolado da Aave se torna história, com ativos restritos a “pools isolados” (Siloed Pools). Mesmo que um ativo tenha problemas, não afetará outros pools de liquidez.

Michael Egorov, fundador da Curve, afirmou que o modelo de empréstimo não isolado tem boa escalabilidade, mas apresenta riscos maiores, recomendando o uso de modelos totalmente isolados ou híbridos.

Embora a arquitetura totalmente isolada possa reduzir a eficiência de capital, ela aumenta significativamente a resiliência do sistema contra riscos.

Obrigatoriedade de módulos de seguro: O módulo Umbrella impulsionará a mudança de uma configuração “opcional” para uma “obrigatória” de seguro na plataforma.

No futuro, qualquer novo ativo listado em plataformas como Aave deverá obrigatoriamente depositar uma certa proporção de garantia na respectiva vault de seguro, como primeira linha de compensação em caso de inadimplência ou roubo.

Reprecificação de risco de ativos DeFi: Yishi, fundador da OneKey, afirma que os retornos e riscos do DeFi atualmente estão completamente desalinhados, e que a segurança tem custos rígidos.

O mercado irá reavaliar os riscos. As taxas do protocolo e os custos de infraestrutura terão pressão para subir, sob pena de não sustentar investimentos em segurança.

Assim, os ativos DeFi precisarão ser reprecificados com base na sua segurança fundamental. Os riscos de ativos encapsulados, como LRT, são claramente superiores aos ativos nativos, e plataformas de empréstimo devem refletir essa diferença na sua modelagem de risco.

O roubo ao KelpDAO é um espelho cruel, refletindo a negligência coletiva do setor de DeFi em relação à segurança ao buscar ganhos extremos e expansão multi-chain.

Perder quase 3 bilhões de dólares é caro, mas se isso impulsionar o setor a passar de uma busca cega por composição para uma busca por estabilidade, talvez seja a taxa que o mercado precisa pagar para amadurecer.

Após o incidente do KelpDAO, o mercado começa a perceber que o verdadeiro valor do DeFi está em oferecer uma infraestrutura financeira mais transparente, segura e resistente a riscos.

E, quando a maré recuar, o que ficará serão bases mais sólidas.