Kelp DAO está enfrentando uma grande crise de segurança após um aparente exploit em sua ponte cross‑chain rsETH drenar cerca de 116.500 rsETH, equivalentes a aproximadamente US$ 292 milhões na época do ataque. Segundo relatos e dados on‑chain, o atacante parece ter usado a mensageria da LayerZero para acionar a liberação de fundos do sistema de ponte da Kelp DAO. O incidente se espalhou rapidamente pelos mercados cripto porque o rsETH é amplamente utilizado em DeFi, especialmente como colateral em plataformas de empréstimo.
O caso é importante porque o rsETH é um token de restaking líquido. Isso significa que os usuários depositam ativos vinculados ao staking da Ethereum e recebem um token que podem mover, negociar ou usar em DeFi enquanto ainda mantêm exposição ao staking. A Kelp DAO criou o rsETH para operar em várias blockchains, e foi aí que o risco aumentou. O padrão OFT (Omnichain Fungible Token) da LayerZero foi projetado para mover um único token entre diversas cadeias mantendo um suprimento compartilhado. Isso facilita o uso cross‑chain, mas também torna a segurança da ponte central para a segurança do token.
Relatos indicam que o primeiro esvaziamento bem‑sucedido ocorreu às 17:35 UTC. Aproximadamente 46 minutos depois, a Kelp DAO utilizou seu multisig de pausa de emergência para congelar os contratos principais. Essa pausa parece ter bloqueado duas tentativas subsequentes de drenar mais 40.000 rsETH. A Kelp afirmou que identificou atividade suspeita cross‑chain e que está trabalhando com a LayerZero, Unichain, auditorias e especialistas externos de segurança para investigar a causa raiz. Em termos simples, o ataque parece ter atingido a lógica da ponte que permite a movimentação do rsETH entre redes, não uma carteira comum ou um bug simples de front‑end.
O ataque também gerou preocupação porque a carteira associada ao exploit teria sido financiada através do Tornado Cash antes do incidente. Em exploits de DeFi, isso costuma indicar uma tentativa de ocultar o rastro dos fundos. O investigador de blockchain ZachXBT sinalizou o ataque logo após sua ocorrência, e observadores de mercado começaram a analisar quanto do suprimento de rsETH foi afetado. Relatórios apontam que o valor roubado representou cerca de 18 % do rsETH circulante, quantidade suficiente para gerar estresse nos mercados de empréstimo, feeds de preço e sistemas de risco.
Por isso a Aave agiu rapidamente. A Aave congelou os mercados de rsETH nas versões V3 e V4 e declarou que seus próprios contratos inteligentes não foram a origem do exploit. O principal problema para a Aave é a dívida incobrável. Em empréstimos, a dívida incobrável pode surgir quando o colateral perde valor ou não pode ser liquidado a tempo. A documentação da Aave observa que risco de ponte e risco de rede podem alimentar esse problema. Seu sistema Umbrella foi criado como uma ferramenta automática on‑chain de gerenciamento de risco para cobrir déficits, embora a Aave tenha suavizado posteriormente sua linguagem pública e dito que explorará maneiras de compensar qualquer déficit decorrente deste evento.
Este não é o primeiro problema envolvendo rsETH. A Kelp DAO já enfrentou outro incidente em abril de 2025, quando pausou depósitos e retiradas após um bug em um contrato de taxas causar a emissão excessiva de rsETH. Na ocasião, a Kelp afirmou que nenhum fundo de usuário foi perdido, mas o novo exploit é muito mais grave, pois parece envolver perda direta de fundos em larga escala. Esse histórico importa. No mundo cripto, um incidente pode ser tratado como um erro isolado; dois incidentes em cerca de um ano levantam questões mais sérias sobre design, testes e controles operacionais.
A maior lição do exploit da Kelp DAO é que o risco em DeFi não se limita a um único protocolo. Um ataque a uma ponte pode afetar um token, depois se espalhar para os mercados de empréstimo e, finalmente, impactar usuários que nunca tocaram a ponte. Esse é o custo oculto da composabilidade. Sistemas como Kelp DAO, LayerZero e Aave são construídos para conectar mercados cripto, mas conexões fortes também transmitem estresse mais rapidamente quando algo quebra. Para os usuários, o exploit da Kelp DAO serve como lembrete de que restaking líquido, tokens cross‑chain e rendimentos DeFi oferecem flexibilidade, mas também adicionam camadas de risco de contratos inteligentes, risco de ponte e risco de colateral que podem falhar simultaneamente.
