DeFi após US$ 16,5 bi em hacks: o fim da anarquia

A crise que o DeFi não conseguiu ignorar

O protocolo rsETH da KelpDAO não apresentou nenhuma falha de código. Ainda assim, o Aave acabou com US$ 200 milhões em dívidas ruins no balanço. Agentes que a Chainalysis associa ao Grupo Lazarus comprometeram nós RPC via DDoS e injetaram dados falsos, liberando 116.500 rsETH indevidamente.

O paradoxo da descentralização

Os contratos funcionaram exatamente como programados — não houve bug no código. O problema estava na camada de infraestrutura off-chain. A descentralização dos contratos não protegeu o sistema quando o ponto de entrada de dados foi comprometido.

O que muda na prática

Para o usuário: diversificar entre protocolos, nunca concentrar tudo em um único pool e preferir protocolos com auditorias recentes e governança ativa.

Como o ataque funcionou, passo a passo

Em 18 de abril de 2026, a ponte da KelpDAO, construída sobre a infraestrutura de mensagens da LayerZero, liberou 116.500 rsETH (cerca de US$ 292 milhões) para uma carteira do atacante. A mensagem entre redes parecia válida, mas nenhum ativo tinha saído da rede de origem. Na prática, rsETH foi criado sem lastro.

A falha estava na configuração de verificação. O rsETH usava apenas um verificador (DVN, na sigla da LayerZero) para confirmar essas mensagens. Os atacantes envenenaram os nós RPC internos que esse verificador consultava e, ao mesmo tempo, derrubaram com DDoS os provedores externos, forçando o sistema a usar a fonte comprometida. Os nós mostravam a informação falsa só para o verificador e respondiam a verdade para qualquer outro endereço, o que dificultou a detecção pelo monitoramento.

Com o rsETH falso em mãos, o atacante o depositou como garantia no Aave e tomou WETH real emprestado. O Aave congelou os mercados de rsETH, zerou o limite de empréstimo contra o token e suspendeu novos empréstimos, mas o estrago já estava feito: as estimativas de dívida ruim variaram de cerca de US$ 124 milhões a US$ 230 milhões, conforme a forma de distribuir a perda entre os detentores de rsETH.

LayerZero admitiu o erro e mudou as regras

Depois de inicialmente culpar a configuração escolhida pela KelpDAO, a LayerZero pediu desculpas publicamente em 9 de maio. Segundo a reportagem do The Block, a empresa reconheceu que errou ao permitir que seu verificador atuasse sozinho em transações de alto valor e atribuiu o ataque ao grupo Lazarus, da Coreia do Norte.

As mudanças anunciadas incluem:

• fim do suporte à configuração com um único verificador;
• padrão mínimo de cinco verificadores (com piso de três quando necessário);
• um novo cliente de verificação escrito em Rust, para diversificar o software;
• aumento do multisig de 3 de 5 para 7 de 10 assinaturas;
• uma ferramenta de monitoramento de configurações com detecção de anomalias.

KelpDAO e Solv Protocol migraram suas pontes para o CCIP, da Chainlink, depois do incidente. Para o setor, a lição é que a descentralização do contrato não vale muito se a entrada de dados depende de um único ponto.

Os US$ 16,5 bilhões e o fim da anarquia

O número do título é o acumulado de perdas com exploits em cripto desde que o DeFi ganhou escala, segundo dados do DeFiLlama. Desse total, perto de US$ 7,7 bilhões são perdas específicas de DeFi e cerca de US$ 2,9 bilhões vieram só de ataques a pontes. O caso KelpDAO somou a esse histórico o maior ataque de DeFi de 2026.

A resposta do mercado veio em forma de controles que lembram cada vez mais o sistema financeiro tradicional: isolamento de mercados, critérios mais duros para aceitar um token como garantia, limites de saque, disjuntores automáticos e governança de emergência. Uma coalizão de protocolos chamada DeFi United levantou mais de US$ 300 milhões para recompor o lastro do rsETH sem repassar a perda aos usuários do Aave.

Atualização (setembro de 2026): ainda em maio, Aave e KelpDAO anunciaram a retomada das operações com rsETH depois das primeiras etapas do plano de recuperação, que incluíram a queima do rsETH do atacante na Arbitrum.

O que isso muda para quem investe a partir do Brasil

Nenhum dos protocolos envolvidos é regulado pelo Banco Central. As Resoluções BCB 519, 520 e 521 valem para prestadoras de serviços de ativos virtuais que atuam no país e não cobrem um contrato inteligente sem empresa responsável aqui. Quem usa DeFi assume o risco de infraestrutura que ficou evidente neste caso, e deve incluir essas operações na DeCripto quando passarem de R$ 35 mil no mês, conforme a IN RFB 2.291/2025. O guia de riscos de investir em criptomoedas ajuda a dimensionar quanto deixar exposto a esse tipo de protocolo.

Perguntas frequentes

O que aconteceu com a KelpDAO e o rsETH?

Em 18 de abril de 2026, uma mensagem forjada na ponte da KelpDAO liberou 116.500 rsETH sem lastro, cerca de US$ 292 milhões. O atacante usou esse rsETH como garantia no Aave para tomar WETH real emprestado.

Por que o Aave ficou com dívida ruim se o código dele funcionou?

Porque o Aave aceitou como garantia um token que, naquele momento, não tinha lastro. As estimativas de dívida ruim ficaram entre US$ 124 milhões e US$ 230 milhões, e o plano da coalizão DeFi United buscou recompor o lastro do rsETH.

O que a LayerZero mudou depois do ataque?

A empresa encerrou o suporte à verificação com um único DVN, adotou padrão de cinco verificadores, elevou o multisig para 7 de 10 assinaturas e anunciou um cliente alternativo em Rust e uma ferramenta de monitoramento de configurações.

Leia também: O que é DeFi: finanças descentralizadas

---