Um relatório de incidente publicado pela Llamarisk no fórum Aave explica que um exploit numa ponte, visando o trajeto KelpDAO’s Layerzero V2 rsETH, ao sábado, permitiu que um atacante extraísse 116,500 rsETH do adaptador OFT da Ethereum sem que fossem queimados quaisquer tokens na cadeia de origem. O relatório da Llamarisk refere que este incidente expôs os mercados da Aave V3 a potenciais dívidas incobráveis que variam entre 123,7 milhões de dólares e 230,1 milhões de dólares, dependendo da forma como as perdas são alocadas.
Pontos-chave:
- De acordo com a Llamarisk, um atacante explorou a ponte Layerzero V2 da Kelp a 18 de abril de 2026, cunhando 116,500 rsETH sem qualquer queima correspondente.
- A Llamarisk estima uma dívida incobrável entre 123,7M e 230,1M de dólares em 7 mercados afetados, dependendo de como a Kelp socializa as perdas.
- O tesouro da Aave DAO detém $181M a 20 de abril de 2026, e os prestadores de serviços já estão a assegurar compromissos indicativos de recuperação junto dos participantes do ecossistema.
Detalhes da Llamarisk: cenários de exploit de rsETH após o adaptador Kelp OFT ser drenado
A análise publicada pela empresa de gestão de risco Llamarisk e pelos coautores prestadores de serviço da Aave explicou que o ataque ocorreu às 17:35 UTC no bloco 24,908,285 da Ethereum. O trajeto Unichain-to-Ethereum foi configurado como um caminho DVN 1-de-1, o que significa que um único verificador podia atestar um pacote de entrada sem qualquer ação de saída correspondente, segundo o relatório.
Os autores da Llamarisk afirmaram que o atacante forjou um pacote que foi verificado, comprometido e entregue na Ethereum, libertando 116,500 rsETH do adaptador, refere o relatório da Aave. O saldo do adaptador caiu de 116,723 rsETH para 223 rsETH num único bloco. O atacante fez com que os rsETH roubados fossem distribuídos a partir de uma carteira de intake por sete endereços de ramificação. Dos 116,500 rsETH recebidos, 89,567 foram depositados nos mercados da Aave V3 na Ethereum e na Arbitrum como colateral.
Essas posições foram usadas para contrair aproximadamente 82,650 WETH e 821 wstETH, com fatores de saúde a estabilizar entre 1,01 e 1,03. Todos os sete endereços do atacante permanecem ativos na Aave no momento da publicação.
Os prestadores de serviço da Aave coassinaram o relatório completo do incidente da Llamarisk e confirmaram que os próprios contratos inteligentes da Aave não foram comprometidos. Toda a lógica do protocolo, incluindo as mecânicas de fornecimento, reembolso e liquidação, continuou a funcionar conforme desenhado ao longo do evento.
O Protocol Guardian começou a congelar todas as reservas de rsETH e wrsETH em todas as implementações da Aave V3 por volta das 19:00 UTC de 18 de abril. A ação definiu o LTV para zero e desativou novo fornecimento e empréstimo, mantendo simultaneamente as posições existentes elegíveis para reembolso e liquidação. Foram afetados onze mercados na Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma e Zksync, de acordo com a análise no fórum da Aave.
O relatório diz que o Risk Steward ajustou os modelos de taxa de juros do WETH na Arbitrum, Base, Mantle e Linea por volta das 14:30 UTC de 19 de abril, reduzindo a Slope 2 para 1,50 por cento e cortando a taxa de empréstimo em 100 por cento de utilização de entre 8,5 e 10,5 por cento para 3,0 por cento APR. Um ajuste correspondente foi aplicado ao Core por volta das 05:00 UTC de 20 de abril, com Slope 1 definida para 2 por cento, Slope 2 para 3 por cento e a utilização ótima definida em 94 por cento.
O Protocol Guardian congelou também WETH no Core, Prime, Arbitrum, Base, Mantle e Linea por volta das 02:00 UTC de 20 de abril para impedir novo empréstimo e conter o stress potencial de se espalhar para as reservas de stablecoin.
Os 2 cenários
Os dois cenários modelados pela análise da Llamarisk refletem como a decisão de alocação de perdas da Kelp irá determinar a exposição final do protocolo. O Cenário 1 assume a socialização uniforme dos 112,204 rsETH sem lastro por todo o fornecimento de rsETH, produzindo um depeg de 15,12 por cento e uma dívida incobrável estimada de 123,7 milhões de dólares, com o Ethereum Core a absorver 91,8 milhões de dólares em termos absolutos e a Mantle a enfrentar uma quebra de reserva de WETH de 9,54 por cento.
O Cenário 2 trata a perda como isolada apenas no L2 rsETH, aplicando um haircut de 73,54 por cento ao colateral em cadeias remotas, mantendo o rsETH do mainnet da Ethereum totalmente intacto, produzindo uma dívida incobrável estimada de 230,1 milhões de dólares concentrada na Mantle, com uma quebra de WETH de 71,45 por cento, e na Arbitrum, a 26,67 por cento.
O saldo atual do adaptador está em 40,373 rsETH, o único lastro confirmado para todo o rsETH das cadeias remotas em cada caminho de L2, face a reivindicações remotas totais de 152,577 rsETH. A Kelp não confirmou publicamente como os fundos recuperados serão alocados.
A 20 de abril de 2026, o relatório indicou que o tesouro da Aave DAO detém 181 milhões de dólares em ativos, incluindo 62 milhões de dólares em participações correlacionadas com Ethereum, 54 milhões de dólares em AAVE e 52 milhões de dólares em stablecoins. A DAO gerou 145 milhões de dólares em receitas durante 2025 e 38 milhões de dólares no acumulado do ano até 2026. A Llamarisk confirmou que já existem vários compromissos indicativos de participantes do ecossistema para lidar com cenários potenciais de dívida incobrável.
As reservas de WETH na Ethereum, Arbitrum, Base, Linea e Mantle estão a 100 por cento de utilização, com saldos ociosos abaixo de 20 dólares em todas as cadeias. Com utilização total, os liquidadores recebem aWETH em vez do WETH subjacente, o que abranda o ritmo de liquidação.
O relatório da Llamarisk destacou a Base e a Arbitrum como os mercados com menor amortecimento, com as primeiras liquidações a serem despoletadas por quedas no preço do WETH de 0,77 por cento e 1,77 por cento, respetivamente, devido a posições com fatores de saúde em torno de 1,03.
A Llamarisk recomendou uma pausa imediata do módulo de staking da WETH Umbrella no Cenário 1. No momento da publicação do relatório, 18,922 de 23,507 staked aWETH tinham entrado no período de arrefecimento para unstaking.
Uma pausa bloquearia depósitos, levantamentos, transferências e slashing, mantendo ativa a distribuição de recompensas. Os restantes quatro mercados listados com rsETH, Ethereum Lido, MegaETH, Plasma e Zksync, têm saldos residuais e não apresentam dívida incobrável. Doze mercados adicionais da Aave V3 não listam rsETH e não são afetados.
