#KelpDAOBridgeHacked

Exploração da Ponte KelpDAO - 18 de abril de 2026: O que Aconteceu e Status Atual

Em 18 de abril de 2026, a KelpDAO, um protocolo de restaking líquido, sofreu uma das maiores explorações DeFi do ano quando sua ponte cross-chain foi comprometida. O atacante conseguiu drenar aproximadamente 116.500 tokens rsETH, avaliados em cerca de $292 milhões na época do incidente. Isso marca o maior hack de criptomoedas de 2026 até agora, superando a exploração do Drift Protocol ocorrida anteriormente em abril.

Como a Exploração Aconteceu

O ataque explorou uma vulnerabilidade crítica na infraestrutura da ponte alimentada pelo LayerZero da KelpDAO. O atacante enviou uma mensagem cross-chain falsificada para o OFT Adapter da KelpDAO na rede principal Ethereum, alegando falsamente originar-se da Unichain. A causa raiz foi uma configuração severa incorreta na segurança da ponte. A KelpDAO havia implementado uma configuração de Rede de Verificadores Descentralizados (DVN) 1-de-1, confiando em um único verificador do LayerZero Labs sem redundância ou verificadores secundários opcionais. Essa abordagem de segurança mínima permitiu que a mensagem falsa passasse na validação sem contestação, acionando o saque do cofre da ponte para liberar tokens rsETH não lastreados na carteira do atacante.

É importante notar que isso não foi um bug no protocolo LayerZero em si. O LayerZero V2 foi projetado para ser modular, permitindo que projetos escolham sua própria pilha de verificadores. A KelpDAO optou pela configuração de segurança mais mínima possível, o que se mostrou catastrófico.

A Jogada DeFi dos Atacantes

Assim que o atacante obteve o rsETH não lastreado, ele o utilizou imediatamente como garantia em vários protocolos DeFi para extrair o máximo de valor. Nas redes Aave V3 e V4, tanto na Ethereum quanto na Arbitrum, o atacante tomou emprestado aproximadamente 52.834 WETH na Ethereum e 29.782 WETH mais 821 wstETH na Arbitrum. Houve atividades adicionais de empréstimo nos protocolos Compound e Euler, elevando o valor total extraído para mais de ( milhões. Os fundos roubados foram posteriormente lavados através do Tornado Cash.

Resposta Imediata e Controle de Danos

A KelpDAO detectou a exploração em aproximadamente uma hora, graças ao monitoramento on-chain realizado por pesquisadores de segurança, incluindo ZachXBT. O protocolo imediatamente pausou as pontes na Ethereum e em outras cadeias suportadas, bloqueando com sucesso duas tentativas de ataque subsequentes. A KelpDAO divulgou uma declaração pública indicando abertura para negociações com o atacante, incluindo propostas de white-hat.

Aave respondeu congelando os mercados de rsETH tanto na V3 quanto na V4, na Ethereum e na Arbitrum. Outros protocolos, como SparkLend, Fluid e Upshift, também tomaram ações preventivas. O incidente deixou a Aave com aproximadamente ) milhões em dívidas ruins, principalmente na Arbitrum, embora os mercados na rede principal Ethereum permaneçam colateralizados, mas com risco de efeitos de spillover. A Lido pausou depósitos de earnETH como medida de precaução, enquanto Ethena e USDT0 pausaram seus bridges preventivamente, apesar de não terem exposição direta.

Riscos secundários surgiram à medida que a utilização de ETH atingiu 100% na Aave, potencialmente atrasando liquidações e criando desequilíbrios nos incentivos de empréstimo.

Status Atual e Implicações

Em 19-20 de abril de 2026, os detentores de rsETH bridged podem enfrentar descontos de 15-20%, dependendo de esforços de recuperação. A comunidade Aave está discutindo ativamente propostas de governança para resolução de dívidas ruins, com debates em andamento sobre se as posições na Arbitrum e na Ethereum devem ser tratadas separadamente.

O incidente serve como um lembrete severo para projetos DeFi auditarem suas configurações de OApp e implementarem setups de múltiplos DVN com 3-4 verificadores necessários, ao invés de depender de pontos únicos de falha. Felizmente, nenhum outro projeto OFT do LayerZero foi afetado por essa vulnerabilidade específica.

Pesquisadores de segurança esperam que análises completas da causa raiz sejam publicadas nos próximos dias. Os usuários são aconselhados a monitorar canais oficiais da KelpDAO, Aave e analistas de segurança como ZachXBT para atualizações em tempo real sobre a situação.