- Kelp DAO aciona LayerZero e o cofundador Bryan Pellegrino na Justiça
- Ataque de abril drenou 116.500 rsETH em bridge com verificador único
- TVL da Aave caiu US$ 8,45 bilhões em dois dias após o exploit
A Kelp DAO decidiu levar para os tribunais a disputa sobre o maior roubo em DeFi de 2026. O protocolo de restaking processou a LayerZero e seu cofundador, Bryan Pellegrino, responsabilizando a infraestrutura de mensageria cross-chain pelo desvio de US$ 292 milhões em rsETH ocorrido em abril.
A acusação central é dura. Segundo a Kelp, a LayerZero conhecia fragilidades na própria tecnologia e não as comunicou aos clientes que rodavam integrações em produção.
O protocolo afirma ainda que a empresa falhou em impedir que invasores comprometessem seus sistemas internos de segurança. Mais: sustenta que a configuração da bridge foi revisada e aprovada por escrito pela própria LayerZero antes do lançamento.
116.500 rsETH saem da bridge em 18 de abril
O ataque aconteceu em 18 de abril. Invasores drenaram cerca de 116.500 rsETH, o token de restaking líquido da Kelp, explorando a ponte construída sobre a LayerZero.
A investigação posterior apontou o subgrupo TraderTraitor, ligado ao coletivo norte-coreano Lazarus. O método envolveu a tomada de controle de nós de RPC — servidores que entregam dados da blockchain para aplicações.
Com dados falsos alimentando o verificador da ponte, o sistema validou uma queima de rsETH que nunca ocorreu. O contrato na Ethereum liberou os fundos com base nessa mentira.
A LayerZero devolveu a culpa. Segundo a empresa, a Kelp operava em configuração 1-de-1, com um único verificador rodado pela LayerZero Labs — arquitetura sem redundância e sem segunda checagem independente.
O estrago transbordou rápido. A TVL da Aave derreteu US$ 8,45 bilhões em 48 horas, e o valor travado em DeFi recuou nas principais redes. Cinco meses depois, a Aave ainda não recuperou o patamar anterior.
Kelp migra para Chainlink CCIP após meses de troca de acusações
A ação judicial chega depois de um semestre de atritos públicos. A Kelp alega que LayerZero e Pellegrino usaram canais oficiais e redes sociais para atribuir toda a responsabilidade ao protocolo de restaking, apagando o próprio papel na aprovação técnica do desenho.
A queixa foi publicada integralmente pela equipe. O pedido é de responsabilização por danos à Kelp e, segundo o texto, ao ecossistema DeFi como um todo.
Na prática, a Kelp já votou com os pés. O rsETH está sendo migrado para o padrão Chainlink CCIP, sistema concorrente de mensageria entre cadeias. A troca de fornecedor diz mais sobre a confiança perdida do que qualquer petição.
A recuperação dos ativos roubados também virou caso jurídico paralelo. Em maio, uma ordem de corte norte-americana impediu a Arbitrum DAO de movimentar 30.766 ETH que a organização havia congelado do endereço do atacante — decisão que expôs o vácuo legal sobre quem controla fundos bloqueados por governança descentralizada.
Processo testa quem paga a conta em exploits de infraestrutura
Aqui está o ponto que interessa além do caso específico. Praticamente todo protocolo DeFi relevante depende de camadas terceirizadas: oráculos, bridges, relayers, provedores de RPC. Até hoje, quando algo quebra nessa cadeia, a conta cai sempre no protocolo da ponta.
Se a Kelp vencer, o cálculo muda. Provedores de infraestrutura passariam a carregar risco contratual real sobre deployments de clientes, o que encareceria integrações e provavelmente forçaria seguros, auditorias obrigatórias e configurações mínimas de segurança impostas pelo fornecedor.
Para o investidor brasileiro, a leitura é prática. Quem aloca em restaking líquido, pools de rendimento ou tokens que circulam entre redes está exposto a um risco que não aparece no APY anunciado: a arquitetura da ponte usada para mover aquele ativo.
No Brasil, a discussão ganha peso porque o Banco Central endureceu regras sobre staking e autocustódia em comunicações ao Coaf. Ainda não existe norma local que responsabilize provedores de infraestrutura estrangeiros por perdas de usuários brasileiros.
O setor também acumula histórico recente de ataques a bridges na Ethereum. O vetor se repete: um único ponto de validação comprometido derruba centenas de milhões em minutos.
A Kelp afirma que a segurança dos usuários segue como prioridade e que espera o julgamento. Do outro lado, a LayerZero mantém a tese de que a escolha do verificador único foi decisão da cliente.
