#rsETHAttackUpdate

O exploit rsETH do KelpDAO rsETH ocorrido em 18 de abril de 2026 representa um momento decisivo nas finanças descentralizadas, expondo vulnerabilidades críticas na infraestrutura cross-chain enquanto demonstra a capacidade da indústria de responder a crises de forma coordenada. Este incidente, que resultou na cunhagem e implantação de aproximadamente $292 milhões de tokens rsETH não lastreados em vários protocolos de empréstimo, exige uma análise aprofundada sob as perspectivas técnica, econômica e sistêmica.

**Arquitetura Técnica do Exploit**

O ataque visou o mecanismo fundamental de verificação da infraestrutura de ponte alimentada pelo LayerZero do KelpDAO. O Adaptador rsETH OFT do KelpDAO na Ethereum foi configurado com uma rede de verificadores descentralizados 1-de-1, ou seja, o LayerZero Labs atuava como a única entidade responsável por verificar mensagens cross-chain. Essa configuração, embora simplificasse operações, criou um ponto único de falha que se revelou catastrófico.

A metodologia do atacante revela um entendimento sofisticado das vulnerabilidades da infraestrutura blockchain. Primeiro, o atacante obteve a lista de nós RPC usados pelo DVN do LayerZero Labs. Depois, comprometeu dois desses nós substituindo os binários legítimos do op-geth por versões maliciosas que forneciam dados falsificados exclusivamente aos IPs do DVN, enquanto pareciam honestos para todos os demais observadores. Essa intoxicação seletiva permitiu que os nós maliciosos mantivessem a aparência de legitimidade enquanto alimentavam informações falsas à infraestrutura de verificação crítica.

A fase final envolveu um ataque coordenado de DDoS contra os nós limpos restantes, forçando uma troca completa para a infraestrutura comprometida. Com os nós envenenados como única opção disponível, o atacante enviou uma mensagem forjada de cross-chain alegando origem na implantação Unichain do KelpDAO. O DVN confirmou essa mensagem com base na sua visão fabricada do estado on-chain, o quórum multisig 2-de-3 foi atingido, e o pacote forjado foi certificado como válido, desencadeando a liberação de 116.500 rsETH para o endereço controlado pelo atacante.

**O Mecanismo de Contágio**

O que diferencia esse exploit de hacks mais simples em pontes é o uso sofisticado de composabilidade DeFi para amplificar os danos. Em vez de tentar vender o rsETH roubado em mercados abertos, o que teria derrubado o preço do token e limitado os ganhos do atacante, o perpetrador depositou os tokens não lastreados como garantia em múltiplos protocolos de empréstimo. Essa estratégia permitiu extrair valor real do ecossistema enquanto deixava uma dívida tóxica.

O atacante depositou 89.567 rsETH como garantia na Aave V3, tomando emprestado aproximadamente $190 milhões em WETH e wstETH. Depósitos adicionais foram feitos na Compound V3, Euler e outros venues de empréstimo. Essa abordagem explorou uma assimetria fundamental no empréstimo DeFi: os protocolos aceitaram rsETH como garantia pelo seu valor nominal, mas os tokens eram realmente não lastreados e praticamente sem valor. O resultado foi a criação de uma dívida ruim que agora consta nos livros desses protocolos, com o ETH emprestado representando valor real extraído dos depositantes.

**Avaliação do Impacto Econômico**

As ramificações financeiras vão muito além do valor inicial de $292 milhões do exploit. Somente a Aave enfrenta cenários modelados de dívida ruim variando de US$ 123,7 milhões sob suposições de depegging uniforme até US$ 230,1 milhões em cenários de isolamento Layer2. Os pools de WETH do protocolo agora detêm aproximadamente $177 milhões em dívida ruim, representando ETH emprestado usando rsETH roubado como garantia. Essa dívida está fixa em termos de ETH enquanto a garantia colapsou em valor, criando um desequilíbrio sem intervenção externa.

O ecossistema DeFi mais amplo experimentou efeitos de contágio significativos. O Valor Total Bloqueado (TVL) da Aave caiu de aproximadamente $22 bilhões para US$ 15,4 bilhões em 48 horas, uma queda de 30%, à medida que os depositantes correram para retirar fundos. Mais de $7 bilhões em ativos fugiram de protocolos líderes, com a Aave sozinha registrando US$ 6,2 bilhões em saídas. O token AAVE caiu cerca de 11%, enquanto o rsETH é negociado com um depegging significativo, variando entre US$ 1.680 e US$ 2.250 em várias exchanges, em comparação ao seu peg original em ETH.

O vault EarnETH da Lido revelou uma exposição indireta de aproximadamente US$ 21,6 milhões em risco de estratégia relacionada ao rsETH, representando cerca de 9% do total de ativos do vault. Essa revelação destaca como a interconectividade das estratégias DeFi pode transmitir risco entre protocolos aparentemente independentes.

**A Resposta Unificada do DeFi**

A resposta da indústria a essa crise tem sido tanto sem precedentes quanto instrutiva. Aave liderou a coordenação do que foi denominado "DeFi United", um esforço colaborativo de recuperação envolvendo múltiplos protocolos importantes. Essa iniciativa representa uma evolução significativa na governança do DeFi, passando de respostas isoladas de protocolos para uma gestão de crise coordenada em todo o ecossistema.

Em 25 de abril, a DAO da Aave propôs contribuir com 25.000 ETH de seu tesouro para o esforço de recuperação. Essa contribuição, avaliada em aproximadamente US$ 65-70 milhões, visa cobrir o déficit restante de cerca de 75.081 ETH após compromissos existentes. A DAO da Lido propôs contribuir com até 2.500 stETH, com múltiplos "compromissos indicativos fortes" formalizados por outros participantes do ecossistema, incluindo EtherFi, Ethena e a Mantle Network, que forneceu uma linha de crédito de 30.000 ETH.

O Conselho de Segurança do Arbitrum congelou e transferiu 30.766 ETH, avaliado em aproximadamente $80 milhões, de um endereço de atacante identificado para garantir a custódia, demonstrando que ações rápidas de governança podem mitigar parcialmente os danos mesmo após exploits sofisticados.

**Atribuição e Dimensões Geopolíticas**

Chainalysis e LayerZero atribuíram o ataque ao grupo Lazarus, da Coreia do Norte, especificamente ao subgrupo TraderTraitor. Essa atribuição acrescenta uma dimensão geopolítica ao incidente, destacando como atores apoiados pelo Estado estão cada vez mais mirando protocolos DeFi como fontes de financiamento para regimes sancionados. A participação de atores sofisticados de nações representa uma escalada no cenário de ameaças enfrentado pelo financiamento descentralizado.

A atribuição também gerou controvérsia entre KelpDAO e LayerZero quanto à responsabilidade pelo exploit. LayerZero sustenta que a configuração DVN 1-de-1 foi uma escolha do KelpDAO e não a configuração padrão recomendada, enquanto o KelpDAO argumenta que o verificador comprometido era da própria infraestrutura do LayerZero e que a configuração era a padrão de onboarding do LayerZero. Essa disputa evidencia a complexidade de atribuir responsabilidades em sistemas DeFi interconectados.

**Implicações Sistêmicas para o DeFi**

O exploit rsETH revela várias vulnerabilidades críticas na arquitetura atual do DeFi. Primeiro, a dependência de configurações de ponto único de falha em pontes cross-chain representa um risco inaceitável, dado o valor em jogo. A configuração DVN 1-de-1 que possibilitou esse exploit deve servir de alerta para todos os protocolos que utilizam infraestrutura cross-chain.

Segundo, o ataque demonstra como a composabilidade do DeFi, embora possibilite primitives financeiras poderosas, também cria mecanismos de transmissão de risco sistêmico. A capacidade de depositar garantias em múltiplos protocolos e extrair valor real contra ativos não lastreados gera efeitos de amplificação que podem transformar incidentes isolados em crises de todo o ecossistema.

Terceiro, o incidente expõe as limitações das práticas atuais de gestão de risco no empréstimo DeFi. A aceitação de rsETH como garantia com altas taxas de empréstimo-valor, sem consideração adequada dos riscos de segurança da ponte, reflete uma tendência mais ampla da indústria de subestimar riscos extremos na busca por rendimentos competitivos.

**Lições e Considerações Futuras**

O exploit rsETH provavelmente influenciará o desenvolvimento do DeFi nos próximos anos. Algumas lições-chave emergem deste incidente:

Infraestrutura cross-chain requer pressupostos de segurança fundamentalmente diferentes de sistemas de cadeia única. A complexidade de verificar o estado em múltiplas cadeias cria superfícies de ataque que atores sofisticados podem explorar. Protocolos devem implementar mecanismos redundantes de verificação e evitar pontos únicos de falha em suas configurações de ponte.

Parâmetros de risco para ativos lastreados devem incorporar avaliações de segurança das pontes. A prática atual de tratar ativos bridged como equivalentes aos nativos ignora os riscos adicionais introduzidos pela infraestrutura cross-chain. Protocolos de empréstimo devem adotar taxas de empréstimo-valor menores e limites de liquidação mais altos para ativos bridged.

Monitoramento em tempo real e aplicação de invariantes são essenciais para detecção precoce de exploits. O ataque rsETH poderia ter sido mitigado ou evitado por meio de verificações contínuas de que os tokens liberados nas chains de destino correspondem aos tokens queimados nas chains de origem. Sistemas de monitoramento assim devem se tornar padrão em todos os protocolos cross-chain.

A resposta DeFi United demonstra que a coordenação do ecossistema é possível e eficaz. Embora a governança descentralizada geralmente seja lenta, a resposta à crise mostrou que os protocolos podem coordenar-se rapidamente quando ameaças existenciais surgem. Essa capacidade de ação coletiva deve ser formalizada por padrões da indústria e acordos de ajuda mútua.

**Conclusão**

O exploit rsETH representa tanto uma falha quanto um sucesso do financiamento descentralizado. A falha reside nas práticas de segurança inadequadas que permitiram a um atacante sofisticado explorar vulnerabilidades fundamentais na infraestrutura cross-chain. O sucesso está na capacidade da indústria de coordenar uma resposta que pode, em última análise, evitar os piores desfechos para usuários e depositantes.

À medida que o esforço de recuperação avança e os protocolos implementam lições aprendidas, o incidente provavelmente será lembrado como um ponto de virada na maturidade do DeFi. A transição de protocolos isolados para um ecossistema interconectado traz oportunidades e riscos, e o exploit rsETH serve como um lembrete contundente de que a segurança deve evoluir junto com a complexidade. Nos meses seguintes, será revelado se a indústria consegue transformar essas lições em melhorias duradouras na segurança cross-chain e na gestão de risco sistêmico.