KelpDAO foi roubado, alertando para os perigos de segurança na DeFi O que isso nos ensina

Shaw.ai, 金色财经

18 de abril, o mercado de criptomoedas enfrentou o mais grave incidente de segurança em finanças descentralizadas (DeFi) desde 2026 — o ataque hacker na ponte de cross-chain do rsETH da KelpDAO. Em poucas horas, aproximadamente 116.500 tokens de rsETH foram roubados, com um valor avaliado em até 290 milhões de dólares na cotação da época, representando cerca de 18% da oferta total de rsETH. Este ataque não apenas colocou a KelpDAO em crise, mas também provocou um pânico de liquidez em todo o setor de DeFi, levando até mesmo a plataforma líder de empréstimos Aave a ser diretamente afetada, com mais de 9 bilhões de dólares em depósitos sendo retirados de forma emergencial, configurando uma crise de segurança de nível semelhante a uma “crise financeira”.

Muitos podem não estar familiarizados com termos como “ponte de cross-chain”, “rsETH” ou “corrida de liquidez”. Não se preocupe, vamos usar uma linguagem simples, passo a passo, para reconstruir todo o processo do ataque hacker, além de discutir as últimas novidades do evento e as questões mais importantes para vocês.

一、Primeiro, entenda 3 conceitos-chave para compreender o evento facilmente

Antes de falar do processo do ataque, é importante esclarecer 3 termos centrais, para evitar confusões:

• rsETH: Simplificando, é um “token derivado do ETH”. Sabemos que ETH (Ethereum) pode ser “staked” para ganhar juros, mas ao fazer staking, o fundo fica bloqueado e não pode ser usado a qualquer momento. O rsETH é um token que “empacota” o ETH staked; possuir rsETH equivale a ter uma participação na ETH staked, podendo ganhar juros, negociar ou usar como garantia a qualquer momento, como um “cupom de troca do ETH staked”.

• Ponte de cross-chain: Diferentes blockchains (como Ethereum, BSC) são como “bancos” distintos. A ponte de cross-chain é como uma “ponte de transferência” que conecta esses “bancos”, permitindo que tokens como o rsETH sejam transferidos entre diferentes blockchains. O ataque ocorreu na ponte de cross-chain do rsETH construída na plataforma LayerZero pela KelpDAO.

• Módulo DVN do LayerZero: Pode ser entendido como o “inspetor de segurança” da ponte de cross-chain, responsável por verificar a autenticidade das transações entre blockchains — por exemplo, confirmar que você realmente transferiu tokens na cadeia A antes de liberar tokens correspondentes na cadeia B. Normalmente, há múltiplos “inspetores” (validadores múltiplos) para segurança, mas a KelpDAO configurou apenas 1 “inspetor” (um validador único), o que deu margem para o hacker explorar essa vulnerabilidade.

二、Processo completo do ataque hacker: roubo de 290 milhões de dólares em 3 passos, uma operação “modelo de ensino”

O ataque foi extremamente discreto e eficiente, concluído em menos de uma hora, com passos bem definidos, altamente direcionados, divididos em 3 etapas:

Primeira etapa: explorar a vulnerabilidade, “criar dinheiro do nada”

O hacker identificou precisamente uma vulnerabilidade fatal na ponte de cross-chain da KelpDAO — a dependência de um único validador DVN do LayerZero. Normalmente, a emissão de rsETH na ponte exige uma ETH real como garantia, mas o hacker, usando técnicas específicas, falsificou as mensagens de validação da transação, enganando esse único “inspetor”.

Mais especificamente, o hacker invadiu previamente o nó RPC dependente do DVN do LayerZero, substituindo o programa de operação do nó, além de realizar ataques DDoS para derrubar os nós normais, forçando o “inspetor” a depender de um nó comprometido para obter informações. Assim, o hacker conseguiu “criar do nada” 116.500 tokens de rsETH falsos na rede principal do Ethereum, sem qualquer garantia real — como se tivesse um “cupom de troca” falso, enganando todos.

Segunda etapa: usar empréstimos, “transformar o falso em verdadeiro”

Com esses rsETH falsificados, o hacker não os vendeu imediatamente (para evitar detecção), mas optou por uma estratégia mais oculta: usar plataformas de empréstimo para colocar esses tokens como garantia e tomar dinheiro de verdade. Depositou os rsETH falsos em protocolos como Aave, Compound, entre outros, principalmente na versão v3 do Aave, usando-os como colaterais para emprestar uma grande quantidade de WETH (token que representa ETH na rede, com valor equivalente ao ETH real), como se estivesse trocando “falsos” por “dinheiro de verdade”.

Terceira etapa: gerar pânico, provocar corrida de liquidez

A velocidade do ataque foi impressionante: com muitos rsETH falsificados como garantia e uma grande quantidade de WETH emprestada, a operação esgotou completamente a liquidez do mercado de WETH na Aave v3, levando a uma taxa de utilização de 100% — ou seja, o WETH na Aave foi totalmente emprestado, e usuários comuns não conseguiram sacar seus fundos.

Quando a notícia se espalhou, o mercado entrou em pânico: todos temiam que a Aave enfrentasse uma enorme inadimplência por causa das “garantias falsas”, colocando em risco seus depósitos. Assim, uma grande corrida de liquidez começou — não só no mercado de WETH, mas também em stablecoins como USDC e USDT, com investidores retirando fundos freneticamente. Em 48 horas, mais de 9 bilhões de dólares foram retirados da Aave, e o total de fundos na DeFi encolheu em 13,2 bilhões de dólares.

Vale destacar que, cerca de 46 minutos após o ataque, a KelpDAO detectou anomalias, pausou emergencialmente as funções relacionadas ao rsETH, impedindo que o hacker continuasse, o que poderia ter causado perdas ainda maiores. Acredita-se que o ataque tenha sido organizado pelo grupo Lazarus, da Coreia do Norte, com sinais claros de operação altamente profissional.

三、Últimas novidades do evento: ações emergenciais, problemas de inadimplência ainda pendentes

Após o ataque, KelpDAO, LayerZero, Aave e outros envolvidos agiram rapidamente. Até 23 de abril, as atualizações mais recentes são:

1. KelpDAO: pausou emergencialmente os contratos relacionados ao rsETH na rede principal e em várias L2, colaborou com LayerZero, auditorias e especialistas em segurança para uma investigação completa, ainda analisando detalhes das perdas e buscando soluções para as inadimplências.

2. LayerZero: afirmou que o ataque não foi uma falha do protocolo, mas uma configuração de “validador único” adotada pela KelpDAO, que contraria as melhores práticas de múltiplos validadores recomendadas por eles. Já desativou os nós RPC afetados, substituiu por novos, e pediu que projetos que usam “validador único” atualizem para múltiplos validadores o mais rápido possível, além de colaborar com autoridades para rastrear os fundos dos hackers.

3. Aave: congelou temporariamente o mercado de colaterais de rsETH para evitar maiores inadimplências. Em 21 de abril, anunciou que o estoque de WETH no mercado Ethereum Core V3 foi desbloqueado, permitindo que usuários forneçam WETH novamente, embora o LTV (relação de empréstimo a valor) continue em 0 — ou seja, não é possível usar WETH como garantia por enquanto. Outros mercados de WETH em Ethereum Prime, Arbitrum e outras redes permanecem congelados, com planos de reativação gradual.

4. Impacto na indústria: o incidente provocou uma reflexão geral sobre a segurança de pontes de cross-chain e riscos de tokens de re-pledge (LRT). Muitos protocolos começaram a reforçar a seleção de garantias, removendo tokens LRT de baixa utilização, para evitar riscos semelhantes. Além disso, várias instituições de segurança emitiram guias de segurança para pontes, recomendando inspeções completas de “ponto único de validação” e “segurança de nós”. Alguns projetos de ponta já iniciaram atualizações de segurança, adicionando múltiplos nós de validação e reforçando a proteção dos nós RPC contra ataques DDoS e manipulação.

5. Rastreamento dos fundos dos hackers: até 23 de abril, dados na blockchain mostram que cerca de 30% dos 116.500 rsETH roubados foram convertidos em WETH e USDC, com parte transferida por DEXs (trocas descentralizadas) e outra parte enviada para carteiras de privacidade, dificultando o rastreamento. Contudo, autoridades já identificaram alguns endereços relacionados aos hackers, com pequenas quantidades de fundos sendo transferidas para exchanges reguladas, que estão colaborando na investigação e bloqueio.

6. Reparação aos usuários: em 22 de abril, a KelpDAO anunciou que priorizaria a proteção dos usuários comuns, analisando a lista de detentores de rsETH e perdas, planejando compensar parte dos prejuízos via “subsídio do tesouro comunitário + seguro de terceiros”. Ainda não há detalhes sobre a proporção de compensação ou cronograma, que serão divulgados após auditoria. Aave afirmou que os inadimplentes não arcarão com perdas de depósitos comuns, que serão cobertas pelo fundo de risco da plataforma e pelos responsáveis.

四、As principais dúvidas que você deve ter, esclarecidas de uma vez

Após o incidente, muitos investidores e usuários de criptomoedas têm dúvidas frequentes. Aqui, respondemos as 5 mais comuns de forma simples:

1. Por que o hacker conseguiu sucesso? Qual foi a causa principal?

A causa principal foi a “falha de segurança na configuração” da KelpDAO — confiar toda a segurança da ponte de cross-chain a um “inspetor único” (um validador DVN). A LayerZero já havia alertado que essa configuração era de alto risco, mas a KelpDAO não deu atenção. O hacker aproveitou essa vulnerabilidade, manipulando nós e falsificando mensagens de validação, criando tokens falsos sem garantia real — uma falha de “confiança em ponto único”, não um problema de código.

2. É possível recuperar os 290 milhões de dólares roubados?

Muito difícil, mas não impossível. Autoridades e LayerZero estão rastreando os fundos, embora o hacker tenha usado ferramentas de privacidade para dificultar o rastreamento. Como há sinais de que parte do dinheiro foi transferida para exchanges reguladas, há chances de recuperação, mas o valor exato ainda é incerto e depende do andamento das investigações.

3. Os fundos dos usuários comuns serão afetados?

Depende: ① Se você apenas depositou em plataformas como Aave sem usar rsETH como garantia, seus fundos estão seguros — a plataforma já tomou medidas de congelamento e deve normalizar em breve; ② Se você possui rsETH ou usou como garantia, pode sofrer perdas, dependendo das ações futuras da KelpDAO para resolver as inadimplências.

4. Como esse ataque difere de outros ataques a pontes de cross-chain?

A maior diferença é o impacto em cadeia. Ataques anteriores geralmente afetavam apenas um projeto, mas desta vez, por usar rsETH como garantia em múltiplos protocolos de empréstimo, a crise se espalhou por toda a indústria, causando uma crise de liquidez mais ampla e maior perda de confiança. Além disso, combina uma configuração de “falha de segurança” com invasão de infraestrutura, ao contrário de ataques apenas por roubo de chaves privadas ou bugs de código.

5. Quais mudanças o setor de DeFi deve esperar no futuro?

A tendência é de reforço na segurança: pontes de cross-chain provavelmente passarão a exigir múltiplos validadores; protocolos de empréstimo vão reforçar a análise de garantias, especialmente para tokens derivados como LRT; além disso, deve haver maior adoção de mecanismos automáticos de “interrupção” em caso de atividades anômalas, para evitar perdas maiores, tornando a gestão de riscos mais robusta.

五、Conclusão: um alerta para toda a indústria

Este ataque de 290 milhões de dólares é uma tragédia causada por “confiança excessiva” e “falta de segurança” — a KelpDAO negligenciou as recomendações de segurança do LayerZero, adotando uma configuração de alto risco com um único validador, o que deu margem ao hacker agir. A cadeia de eventos também revelou vulnerabilidades na estrutura “lego” do DeFi: um problema em um elo pode afetar toda a cadeia.

Para os usuários comuns, é um lembrete importante: investir em criptomoedas envolve riscos. Ao escolher projetos, não olhe apenas para os lucros, mas também para a segurança e gestão de riscos, para evitar perdas por negligência dos próprios projetos.

As ações de acompanhamento continuam, incluindo a divisão de inadimplências, melhorias na segurança das pontes de cross-chain e planos de compensação aos usuários. Além disso, o incidente impulsionou a atenção regulatória: alguns países já estão acelerando a elaboração de regras de segurança para pontes de cross-chain e emissão de tokens de re-pledge, visando evitar riscos sistêmicos. Seguiremos atentos às novidades e traremos as atualizações mais recentes.