Acabei de ficar a par da situação do Kelp DAO e uau, isto é pior do que as manchetes iniciais fizeram parecer. Um atacante esvaziou 116.500 rsETH da sua ponte cross-chain no sábado - isso é cerca de $292 milhões desaparecidos. O que está a afetar todos é que este DAO de criptomoedas tinha basicamente todas as suas reservas de tokens embrulhados numa única localização em cerca de 20 redes diferentes. Agora todas essas versões L2 de rsETH estão apoiadas por... nada, essencialmente.

O que me surpreendeu foi a rapidez com que isto se propagou pelo DeFi. Em poucas horas, a Aave congelou os mercados de rsETH, a SparkLend fez o mesmo, e até a Lido pausou depósitos em produtos com exposição a rsETH. O token AAVE caiu cerca de 10% à medida que as pessoas começaram a preocupar-se com dívidas incobráveis. Aparentemente, o atacante enganou a mensagem cross-chain do LayerZero, fazendo-a parecer uma instrução válida, o que libertou os fundos para uma carteira do atacante. A pausa de emergência do Kelp ocorreu 46 minutos depois, mas até lá o dano já tinha sido feito.

Isto é oficialmente o maior hack de DeFi de 2026 - maior do que a exploração do Drift do mês passado. O verdadeiro problema agora é que as pessoas que detêm rsETH embrulhado em outras redes provavelmente vão entrar em pânico e resgatar, o que coloca pressão na oferta real de Ethereum. Se demasiadas pessoas tentarem sair de uma vez, toda a estrutura pode desmoronar. O espaço de DAOs de criptomoedas já está a lidar com complicações do Tornado Cash, uma vez que os fundos roubados estão a começar a mover-se através de mixers. O fim de semana vai ser difícil para quem estiver exposto a isto. Aguardando para ver se o Kelp consegue recuperar alguma coisa ou se isto se torna apenas mais uma história de aviso sobre riscos cross-chain.