- Exploit no Kelp DAO criou US$ 230 milhões em dívidas ruins no Aave
- DeFi United arrecadou US$ 160 milhões até 25 de abril para cobrir prejuízos
- Mantle e Aave DAO contribuíram com 55 mil ETH do total arrecadado
A indústria DeFi enfrenta sua maior mobilização emergencial após um exploit de US$ 230 milhões atingir o protocolo Aave através de tokens rsETH sem lastro. O ataque, iniciado às 17:35 UTC de 18 de abril no bloco 24.908.285 do Ethereum, explorou vulnerabilidades na ponte Layerzero V2 do Kelp DAO.
Os atacantes miraram especificamente a rota Unichain-Ethereum para rsETH, configurada como um verificador único sem proteções adicionais. Através de um pacote falsificado, conseguiram mintar 116.500 rsETH sem lastro, avaliados em aproximadamente US$ 292 milhões no momento do ataque. A operação não exigiu nenhum bloqueio ou queima correspondente na blockchain de origem.
A velocidade foi crucial para o golpe. Em minutos, 89.567 rsETH (cerca de US$ 221 milhões) foram depositados como garantia nos mercados Aave V3 no Ethereum e Arbitrum. Os criminosos então tomaram emprestado aproximadamente 82.650 WETH no valor de US$ 191 milhões, além de quantias menores em wstETH. As posições foram deixadas com fatores de saúde entre 1,01 e 1,03, tornando improvável qualquer pagamento integral.
Resposta imediata: Protocolo congela ativos
O Guardian do protocolo Aave reagiu em poucas horas. Por volta das 19:00 UTC do dia 18, todas as reservas de rsETH e wrsETH foram congeladas em todas as implantações V3. Os índices loan-to-value foram zerados e os modelos de taxa de juros ajustados para gerenciar a pressão de liquidez.
Vale destacar que os contratos inteligentes do Aave permaneceram intactos. O prejuízo originou-se inteiramente do colateral externo comprometido. O Aave Labs e a gestora de riscos Llamarisk publicaram um relatório formal em 20 de abril modelando dois cenários de perda.
No primeiro cenário, uma redução uniforme entre todos os detentores de rsETH produziria aproximadamente US$ 123,7 milhões em dívidas ruins. No segundo, com perdas isoladas aos detentores de rsETH na L2, o rombo saltaria para cerca de US$ 230,1 milhões, com Mantle e Arbitrum absorvendo a maior exposição. Outras estimativas colocaram a exposição total do Aave entre US$ 196 milhões e US$ 200 milhões.
Mercado reage: Valor bloqueado despenca
O impacto foi imediato nos números do protocolo. O valor total bloqueado (TVL) do Aave caiu entre US$ 6 bilhões e US$ 9 bilhões nos dias seguintes ao incidente. O token AAVE derreteu entre 10% e 22% nas horas após o ataque. Alguns relatórios indicaram que as perdas totais de TVL no ecossistema DeFi ultrapassaram US$ 13 bilhões.
Para conter o estrago, provedores de serviços do Aave lançaram o DeFi United, um fundo de socorro multiprotocolo direcionando contribuições para defiunited.eth (endereço Ethereum 0x0fCa5194baA59a362a835031d9C4A25970effE68). O fundo visa cobrir o déficit de rsETH, inicialmente modelado entre 68.900 e mais de 100.000 ETH, dependendo de recuperações e números finais de dívidas ruins.
No sábado, a Arkham Intelligence confirmou que o DeFi United havia arrecadado US$ 160 milhões. Mantle e Aave DAO juntos contribuíram com 55.000 ETH, representando aproximadamente US$ 127 milhões do total. A proposta da Mantle estrutura até 30.000 ETH como linha de crédito de três anos com rendimento de staking Lido mais 1%. O Aave DAO propôs 25.000 ETH de seu tesouro, com votação de governança ainda em andamento.
Fundadores e protocolos unidos no socorro
Stani Kulechov, fundador e CEO do Aave, comprometeu 5.000 ETH de fundos pessoais. A Ether.fi prometeu 5.000 ETH. O Lido DAO ofereceu até 2.500 stETH. Entre os contribuintes menores estão a Golem Foundation com 1.000 ETH, o VP do Aave Emilio Frangella com 500 ETH, e doações comunitárias de mais de 272 ETH registradas on-chain. Ethena, Layerzero, Ink Foundation, Frax e Tydro também forneceram suporte.
O Conselho de Segurança do Arbitrum congelou uma parte dos fundos do atacante, reduzindo a lacuna líquida que o fundo deve cobrir. A Kelp reverteu e recuperou um pacote malicioso subsequente de 40.000 rsETH antes de processá-lo. Participantes descrevem o DeFi United como um dos maiores esforços coordenados de recuperação na história do DeFi.
As votações de governança sobre contribuições pendentes permanecem ativas. O fundo continua aceitando doações enquanto o protocolo trabalha para restaurar o lastro completo do rsETH e liquidar as dívidas ruins remanescentes. Para investidores brasileiros, o episódio reforça os riscos inerentes ao ecossistema DeFi, onde vulnerabilidades em um protocolo podem gerar efeitos cascata bilionários em questão de horas.
