Aave continua a ficar com 8 mil milhões de dólares em falta após o ataque à Kelp
O ataque não atingiu o código da Aave, mas sim a bridge da Kelp por trás do rsETH; segundo a DefiLlama, os depósitos continuam assim muito abaixo do nível anterior a 18 de abril.
Pontos principais
- Cinco meses após o ataque à Kelp, a Aave continua ainda com 18,1 mil milhões de dólares em depósitos, 31% abaixo do nível anterior ao ataque.
- O ataque não atingiu os smart contracts da Aave, mas sim a cross-chain bridge da Kelp DAO, libertando 116.500 rsETH.
- A Aave estimou a bad debt em 123,7 milhões de dólares a 230,1 milhões de dólares, enquanto os bridged assets e as cross-chain bridges expõem riscos mais amplos na DeFi.
A Aave continua, cinco meses após o ataque à Kelp, ainda muito abaixo do nível anterior ao incidente. Os depósitos situaram-se em 18,1 mil milhões de dólares (15,5 mil milhões de euros), cerca de 31% abaixo dos 26,1 mil milhões de dólares (22,4 mil milhões de euros) do dia anterior ao ataque, segundo a DefiLlama. O protocolo em si manteve-se tecnicamente intacto, mas os danos propagaram-se através da colateralização que estava por trás dos empréstimos.
O que correu mal na Kelp
O ataque de 18 de abril não teve como alvo o código de lending da Aave, mas sim a cross-chain bridge da Kelp DAO. A Kelp é um protocolo de liquid restaking e o rsETH é o seu receipt token. Quem detém rsETH não possui ether em si, mas sim uma reivindicação sobre ether em staking, e foi precisamente essa reivindicação que foi explorada através da bridge.
Os atacantes manipularam os datafeeds em que a bridge confiava e enviaram assim uma mensagem falsa. Com isso, foram libertados 116.500 rsETH, no valor de cerca de 292 milhões de dólares (251 milhões de euros), quase 18% da oferta total. A empresa de segurança Halborn associou a falha a uma configuração de single-verifier e a data nodes comprometidos. A Chainalysis atribuiu o ataque ao Lazarus Group da Coreia do Norte. Assim, não se tratou de um smart contract avariado, mas sim de segurança deficiente em torno da bridge.
Consequências para a Aave
Esses tokens sem cobertura acabaram depois nos lending markets. Os atacantes depositaram 89.567 rsETH na Aave e contraíram cerca de 193 milhões de dólares (166 milhões de euros). A Aave suspendeu o rsETH em 11 mercados no prazo de uma hora e congelou o WETH dois dias depois. O protocolo afirmou ainda que os smart contracts não foram comprometidos em nenhum momento.
No seu relatório de incidente, a Aave estimou a bad debt em 123,7 milhões de dólares (106 milhões de euros), caso as perdas fossem distribuídas de forma igual. Se apenas o bridged rsETH for considerado, esse valor sobe para 230,1 milhões de dólares (197 milhões de euros). Protocolos concorrentes e um plano de recuperação acabaram mais tarde por preencher uma grande parte do buraco, mas os depositantes regressaram mais lentamente do que o balanço fazia supor.
Porque isto importa mais amplamente
O caso mostra como as construções cross-chain continuam vulneráveis na DeFi. Em 2026, os ataques a cross-chain bridges já causaram, em conjunto, mais de 328 milhões de dólares (281 milhões de euros) em perdas, o que sublinha os riscos associados a este tipo de infraestrutura. Para os utilizadores europeus de criptomoedas, isto é relevante, porque os receipt tokens e os bridged assets são cada vez mais usados como colateral nos lending markets.
Também fora da Aave esta questão continua em aberto. O Wrapped Bitcoin e tokens semelhantes colocam sempre uma camada adicional entre o mutuário e o ativo subjacente. Quem usa estes tokens como colateral deve, por isso, olhar não só para o preço, mas também para a bridge, para o número de signatários e para a questão de saber se se trata de uma reivindicação sobre outra reivindicação.
