Em 18 de abril de 2026, a natureza interconectada das finanças descentralizadas transformou uma vulnerabilidade externa em uma crise sistêmica catastrófica para aave. Um ataque sofisticado na infraestrutura de cross-chain do Kelp DAO resultou no roubo de mais de $292 milhões em tokens de restaking líquido. Ao weaponizar os parâmetros de risco agressivos da aave, os atacantes extrairam $272 milhões em WETH, deixando depositantes comuns enfrentando perdas permanentes e expondo as falhas fatais da arquitetura de DeFi hiper-componível.

❍ A Brecha na Ponte LayerZero

A crise começou externamente na ponte do adaptador cross-chain do Kelp DAO, alimentada pela infraestrutura LayerZero.

A Manipulação: Os atacantes usaram cargas de mensagens falsificadas para manipular a camada de verificação complexa da ponte, concedendo-se permissões de nível de administrador.

A Recolha: Essa manipulação técnica permitiu que eles drenassem 116.500 tokens rsETH diretamente para uma carteira controlada pelo atacante.

Escala Maciça: Essa soma representava aproximadamente 18 por cento da oferta circulante global de rsETH, com um valor superior a $292 milhões.

❍ Weaponizando o Modo de Eficiência da Aave

Os atacantes imediatamente direcionaram os pools de liquidez profunda na aave, depositando o rsETH roubado como garantia em implantações tanto do V3 quanto do V4.

Extração Máxima: Utilizando o Modo de Eficiência da aave (E-Mode), que categoriza o rsETH como altamente correlacionado ao éter nativo, os atacantes garantiram uma relação de empréstimo-valor de 93 por cento. Sob os parâmetros de risco padrão, esse limite de empréstimo teria sido estritamente limitado a 72 por cento.

A Drenagem: Essa parametrização agressiva permitiu a extração de $272 milhões em WETH contra a garantia não lastreada. A configuração do E-Mode permitiu que eles extraíssem $62 milhões a mais do que as configurações padrão permitiriam.

Utilização de 100 Por Cento: Como o valor de mercado real do rsETH colapsou instantaneamente, a lógica interna da aave atrasou as atualizações de precificação. O protocolo absorveu a garantia sem valor, elevando a taxa de utilização do pool de WETH exatamente para 100 por cento e bloqueando os depositantes legítimos de seus fundos.

❍ Falhas na Umbrella e Depositantes Enfrentam Cortes

Os Guardiões da aave executaram protocolos de emergência, interrompendo todos os mercados de rsETH e wrsETH para conter a contaminação. Isso acionou a Umbrella, o sistema automatizado de gerenciamento de risco onchain que substituiu o antigo Módulo de Segurança no final de 2025.

A Lacuna: A Umbrella queimou automaticamente seus ativos apostados para cobrir a dívida ruim, mas a vault continha apenas $50 milhões em aWETH disponíveis para corte imediato.

A Lacuna de Financiamento: Com a dívida ruim total estimada entre $177 milhões e $280 milhões, o protocolo enfrentava uma lacuna de financiamento irresolúvel variando de $127 milhões a $150 milhões.

Cortes Obrigatórios: A documentação oficial do protocolo afirma que, uma vez que os ativos colaterais da Umbrella sejam completamente queimados, o déficit restante recai diretamente sobre os depositantes comuns de WETH. Esses usuários agora enfrentam um corte obrigatório, indicando uma perda parcial permanente de seus depósitos principais.

Alguns Pensamentos Aleatórios 💭

Este evento é uma lição brutal sobre os perigos da componibilidade do DeFi. Os contratos inteligentes principais da aave foram executados perfeitamente, mas o protocolo ainda foi levado às suas mãos. O exploit originou-se inteiramente fora do ecossistema da aave, na ponte do Kelp DAO, mas a própria parametrização agressiva interna da aave serviu como o catalisador final para a extração. Quando um protocolo depende inteiramente de lógica matemática sem supervisão humana conservadora, casos extremos se transformam em falhas sistêmicas.

A decisão de conceder uma relação de empréstimo-valor de 93 por cento em um ativo derivado como o rsETH priorizou a eficiência de capital em detrimento da sobrevivência. Para os depositantes comuns de WETH, forçados a absorver um corte massivo, a distinção entre um contrato inteligente perfeito e um modelo de risco falho oferece zero conforto.

#KelpDAOBridgeHacked

AAVE-4,32%

ZRO-6,95%

MODE-7,39%

Ver original

Esta página pode conter conteúdo de terceiros, que é fornecido apenas para fins informativos (não para representações/garantias) e não deve ser considerada como um endosso de suas opiniões pela Gate nem como aconselhamento financeiro ou profissional. Consulte a Isenção de responsabilidade para obter detalhes.

1 Curtidas