292 Milhões de Dólares Desapareceram em 46 Minutos: Dentro do Hack DeFi da Kelp DAO

TLDR

• A ponte alimentada por LayerZero da Kelp DAO foi explorada no sábado, drenando 116.500 rsETH no valor de ~$292 milhões
• O atacante enganou a camada de mensagens da LayerZero para liberar fundos para um endereço controlado pelo atacante
• Cerca de $250 milhões de fundos roubados foram convertidos para ETH; foi usado um endereço financiado pelo Tornado Cash
• Pelo menos nove protocolos congelaram os mercados de rsETH, incluindo Aave, SparkLend e Fluid
• Este é agora o maior exploit de DeFi de 2026, ultrapassando o hack do Drift Protocol de 1 de abril

Um atacante drenou 116.500 rsETH da ponte alimentada por LayerZero da Kelp DAO no sábado às 17:35 UTC, fugindo com aproximadamente $292 milhões em criptoativos.

O valor roubado representa cerca de 18% do fornecimento circulante total de 630.000 tokens de rsETH, de acordo com dados do CoinGecko.

A Kelp DAO é um protocolo de restaking líquido. Recebe ETH depositado por utilizadores, encaminha-o através da EigenLayer para obter rendimento extra e emite rsETH como um token de recibo negociável.

O atacante enganou a camada de mensagens cross-chain da LayerZero, fazendo-a acreditar que uma instrução válida tinha chegado de outra rede. Isto fez com que a ponte da Kelp liberasse os fundos para uma carteira controlada pelo atacante.

O multisig de emergência da Kelp pausou os contratos centrais do protocolo 46 minutos após a drenagem, às 18:21 UTC. Duas tentativas subsequentes de drenar outros 40.000 rsETH — no valor de aproximadamente $100 milhões — foram ambas bloqueadas.

Os fundos roubados foram movidos através de um endereço financiado pelo Tornado Cash. Cerca de $250 milhões do rsETH roubado já tinham sido convertidos para ETH, de acordo com a empresa de segurança blockchain Cyvers.

Consequências Espalham-se pelo DeFi

A ponte que foi drenada detinha a reserva que sustenta o rsETH embrulhado em mais de 20 blockchains, incluindo Base, Arbitrum, Linea, Blast e Scroll.

Com essa reserva desaparecida, os detentores de rsETH em redes layer 2 enfrentam agora incerteza sobre se os seus tokens estão totalmente garantidos.

A Aave congelou os mercados de rsETH no V3 e V4 poucas horas após o exploit. O token da Aave caiu cerca de 10% à medida que os mercados precificaram o risco de potencial dívida incobrável.

A SparkLend e a Fluid também congelaram os seus mercados de rsETH. A Lido Finance pausou depósitos no seu produto earnETH, que tem exposição ao rsETH, esclarecendo ao mesmo tempo que o seu protocolo central de staking não estava envolvido.

A Ethena pausou as suas pontes LayerZero OFT da mainnet Ethereum como precaução durante cerca de seis horas, afirmando que não tinha exposição ao rsETH.

A Kelp publicou a sua primeira resposta pública às 20:10 UTC — quase três horas após o ataque. O protocolo disse estar a trabalhar com a LayerZero, Unichain, os seus auditores e especialistas em segurança externos.

Um Período Difícil para o DeFi em 2026

O CEO da Cyvers, Deddy Lavid, disse que o incidente mostra os riscos da composabilidade no DeFi, onde os protocolos estão profundamente conectados.

O Drift Protocol, uma plataforma baseada em Solana, foi drenado de cerca de $285 milhões a 1 de abril num ataque ligado a atores afiliados à Coreia do Norte.

Protocolos menores, incluindo CoW Swap, Zerion, Rhea Finance e Silo Finance, também foram explorados nas últimas semanas.

As perdas totais de criptomoedas com hacks e burlas atingiram aproximadamente $482 milhões no Q1 de 2026, de acordo com a Cyvers.

O exploit da Kelp DAO apresenta-se agora como o maior hack de DeFi de 2026, ultrapassando o Drift por vários milhões de dólares.

A Kelp não revelou como o atacante contornou a lógica de validação da ponte no momento da publicação.

O post $292 Million Gone in 46 Minutes: Inside the Kelp DAO DeFi Hack apareceu primeiro no CoinCentral.