O ecossistema DeFi deu um importante passo na recuperação de um dos maiores incidentes de segurança do ano. Uma coalizão de protocolos conhecida como “DeFi United” concluiu a recapitalização do ativo rsETH da Kelp DAO, restaurando aproximadamente US$ 300 milhões em garantias afetadas por uma exploração que gerou quase US$ 190 milhões em dívidas ruins na Aave.
Como aconteceu a exploração?
O ataque ocorreu em abril, quando um invasor conseguiu falsificar uma mensagem cross-chain utilizando a infraestrutura da LayerZero vinculada ao rsETH da Kelp DAO.
Com isso, o hacker desbloqueou cerca de 116.500 rsETH e utilizou os ativos como garantia na Aave para tomar empréstimos massivos em WETH. A operação drenou liquidez do protocolo e deixou um rombo estimado em US$ 190 milhões.
O incidente levantou preocupações sobre a segurança das pontes entre blockchains, consideradas um dos principais vetores de ataque no setor de finanças descentralizadas.
DeFi United lidera recuperação de US$ 300 milhões
Como parte do plano de recuperação, a Kelp DAO e os participantes da coalizão DeFi United reabasteceram o adaptador de ponte do rsETH com mais de 116 mil tokens.
A medida restaurou integralmente o lastro do ativo e permitiu que os mercados afetados da Aave voltassem a operar com maior segurança.
A recuperação é considerada uma das maiores operações coordenadas de recapitalização já realizadas dentro do setor DeFi.
Aave reforça segurança após incidente
Após a exploração, a equipe da Aave e a Aave Labs anunciaram a implementação de novas salvaguardas para reduzir riscos envolvendo infraestrutura cross-chain.
Entre as medidas estão ajustes em parâmetros de risco, melhorias nos sistemas de monitoramento e controles adicionais para mensagens enviadas entre diferentes blockchains.
O objetivo é evitar que vulnerabilidades semelhantes sejam exploradas novamente.
Mercado acompanha próximos passos
Apesar da recuperação bem-sucedida, investidores e usuários seguem atentos aos relatórios pós-incidente que devem ser divulgados pela governança da Aave e pela Kelp DAO.
Especialistas destacam que o caso reforça a necessidade de aprimorar continuamente a segurança das pontes blockchain, especialmente em um cenário onde bilhões de dólares circulam diariamente entre diferentes redes.
A expectativa agora é por novas atualizações sobre auditorias, monitoramento e protocolos de segurança que possam fortalecer ainda mais a infraestrutura DeFi.
O ponto fraco: uma ponte com um único verificador
O ataque aconteceu em 18 de abril de 2026. Segundo o comunicado da LayerZero sobre o incidente, a configuração do rsETH da Kelp DAO dependia de um único verificador (DVN, na sigla da LayerZero), operado pela própria LayerZero Labs, quando a recomendação era usar vários verificadores independentes. O invasor comprometeu a infraestrutura de nós RPC usada por esse verificador e conseguiu fazer passar uma mensagem falsa, liberando rsETH sem lastro.
A LayerZero atribuiu o ataque, de forma preliminar, ao grupo norte-coreano Lazarus, mais especificamente à unidade conhecida como TraderTraitor, e afirmou que o problema ficou restrito ao rsETH. Depois do caso, a empresa anunciou que seu verificador deixaria de assinar mensagens de aplicações configuradas com apenas um verificador. A Kelp DAO contestou publicamente a versão de que a culpa era só da sua configuração, e a disputa sobre responsabilidade marcou as semanas seguintes.
Como o DeFi United cobriu o rombo
A coalizão DeFi United foi lançada pela Aave em 23 de abril, com compromissos de protocolos como Lido, EtherFi e Ethena, além de uma contribuição de 30 mil ETH da ConsenSys e de Joseph Lubin. Somados, os compromissos passaram de US$ 300 milhões em ETH. Entre Aave e Compound, o rsETH sem lastro usado como garantia tinha deixado cerca de US$ 246 milhões em dívidas ruins.
O plano converteu o ETH doado em rsETH, em etapas, e depositou os tokens no contrato de custódia da ponte, restaurando o lastro. Em paralelo, as posições do invasor foram liquidadas de forma controlada: 8 posições na Aave, com recuperação de cerca de 13 mil ETH, e posições na Compound, com cerca de 16.776 ETH. Para isso, a governança aprovou um ajuste temporário no preço do oráculo do rsETH.
A última parcela, de 20.373,72 rsETH, foi transferida em 25 de maio de 2026, quando a Aave informou que o rsETH e todos os seus mercados voltaram a operar normalmente. Ponte, saques, emissão e recompensas do rsETH foram retomados. Uma parte dos recursos desviados, 30.765 ETH, foi congelada pelo Conselho de Segurança da Arbitrum, e o destino desse valor passou a depender de decisão da Justiça dos EUA.
O que o caso ensina para quem usa DeFi a partir do Brasil
Um token de restaking líquido como o rsETH acumula camadas de risco: o protocolo de staking, o protocolo de restaking, a ponte que leva o token a outras redes, o oráculo de preço e o protocolo de empréstimo que o aceita como garantia. Uma falha em qualquer camada chega a quem só depositou o token para render. Desta vez os usuários foram poupados porque o setor bancou o prejuízo, o que não é garantido na próxima.
As regras do Banco Central para prestadoras de serviços de ativos virtuais, em vigor desde fevereiro de 2026, alcançam corretoras e custodiantes que atuam no país, com exigências de segurança cibernética e responsabilidade por perdas causadas por negligência, segundo a apresentação do BC. Protocolos descentralizados como Aave e Kelp ficam fora desse perímetro: não há empresa autorizada para reclamar, nem fundo garantidor.
No imposto de renda, trocas entre tokens (como ETH por rsETH) podem gerar ganho de capital a apurar, e as posições precisam aparecer na declaração anual, inclusive quando estão em protocolos DeFi. O passo a passo está no guia para declarar cripto no imposto de renda.
Conclusão
A recapitalização do rsETH representa uma importante vitória para o setor de finanças descentralizadas após uma exploração que colocou centenas de milhões de dólares em risco. O episódio, no entanto, serve como lembrete de que a segurança cross-chain continua sendo um dos maiores desafios da indústria cripto.
Perguntas frequentes
Quem sofreu prejuízo com a exploração da Kelp DAO?
O invasor liberou 116.500 rsETH sem lastro e os usou como garantia para tomar ETH emprestado na Aave e na Compound. Com a recapitalização do DeFi United, o lastro do rsETH foi restaurado e as dívidas ruins foram cobertas sem repassar perdas aos depositantes, segundo o plano divulgado pela coalizão.
Por que a ponte da LayerZero foi o alvo?
A mensagem que libera tokens entre redes era validada por um único verificador. Ao comprometer a infraestrutura desse verificador, o invasor conseguiu aprovar uma mensagem falsa. Com vários verificadores independentes, o ataque exigiria comprometer todos eles.
O rsETH voltou a funcionar normalmente?
Sim. Após a transferência da última parcela, em 25 de maio de 2026, a Aave informou que o rsETH e todos os seus mercados estavam operando normalmente, com ponte, saques, emissão e recompensas retomados.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de fora. A gente mede isso todo dia em seis corretoras e publica o ranking — veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que valem a pena em uma página só, com o que cada um exige pra liberar — veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin e o que muda pra quem tem cripto no Brasil, sem hype — assine a newsletter.
