- Um hacker executou uma transação que drenou US$ 292 milhões da KelpDAO.
- Tentativas adicionais de drenar mais US$ 100 milhões foram bloqueadas por uma pausa no protocolo.
- O Aave V3 pode enfrentar até US$ 177 milhões em exposição a dívidas ruins como resultado.
Um hacker financiou sua carteira através do Tornado Cash no sábado, esperou 10 horas e, em seguida, executou uma transação que drenou US$ 292 milhões da KelpDAO.
Quando alguém percebeu, o dinheiro já tinha ido. E quando a KelpDAO pausou, mais duas tentativas falharam em questão de minutos.
O hacker da KelpDAO queria drenar US$ 391 milhões
A carteira que realizou o ataque foi financiada através do pool de 1 ETH do Tornado Cash. Este é um passo padrão de ofuscação que semeou o endereço com dinheiro de gás limpo.
A carteira chamou lzReceive no contrato EndpointV2 da LayerZero, e a ponte OFT da KelpDAO liberou 116.500 rsETH para um endereço de atacante separado. A drenagem foi concluída em uma única transação.
O que se seguiu mostrou quão apertadas eram as margens. O atacante retornou duas vezes. Dois mais pacotes LayerZero atingiram a ponte, cada um mirando 40.000 rsETH, valendo cerca de US$ 100 milhões no total. Ambos foram revertidos.
Cinco minutos antes, o multisig pausador de emergência da Kelp executou pauseAll. A chamada congelou o LRT Deposit Pool, o contrato de Saque, o LRT Oracle e o token rsETH. O intervalo entre a drenagem bem-sucedida e a pausa foi de 46 minutos. E o intervalo entre a pausa e a próxima tentativa de ataque foi de cinco minutos.
A perda total da KelpDAO teria sido de cerca de US$ 391 milhões se as segunda e terceira tentativas do atacante tivessem tido sucesso.
O atacante aciona má dívida na Aave
Os 116.500 tokens rsETH valiam cerca de US$ 292 milhões nos preços atuais. O valor representa ~18% da oferta circulante de rsETH de ~630.000.
rsETH é um token de restaking líquido construído no EigenLayer e implantado em mais de 20 redes, incluindo Base, Arbitrum, Linea, Blast, Mantle e Scroll.
O atacante não simplesmente manteve os tokens rsETH roubados. De acordo com dados on-chain, os tokens foram depositados na Aave V3 como garantia para emprestar grandes quantidades de Ether e Ether Envolvido (Wrapped Ether). Os fundos foram roteados de volta através do Tornado Cash para obscurecer o rastro.
Esse passo transformou uma exploração de ponte em um potencial problema de má dívida para a Aave, uma das maiores plataformas de empréstimo do DeFi. A Aave V3 pode enfrentar até US$ 177 milhões em exposição a má dívida como resultado.
O investigador de blockchain ZachXBT sinalizou o incidente no Telegram dentro de uma hora. “A KelpDAO parece ter tido mais de US$ 280M roubados uma hora atrás na Ethereum e Arbitrum”, escreveu ele, confirmando que as carteiras do hacker foram financiadas via Tornado Cash.
A primeira declaração pública da Kelp veio no X, mais de duas horas e meia após a drenagem. “Mais cedo hoje, identificamos atividade suspeita entre cadeias envolvendo rsETH”, escreveu o protocolo. “Pausamos os contratos rsETH em toda a mainnet e várias L2s enquanto investigamos. Estamos trabalhando com LayerZero, Unichain, nossos auditores e principais especialistas em segurança na RCA.”
A Aave congelou todos os mercados de rsETH tanto na Aave V3 quanto na V4. O protocolo confirmou no X que a vulnerabilidade estava no rsETH, não nos próprios contratos da Aave. "Estamos revisando informações sobre empréstimos de rsETH na Aave que ocorreram após a exploração e compartilharemos mais detalhes o mais rápido possível", escreveu a Aave. A equipe da Aave também está explorando maneiras de cobrir as perdas.
Aave caiu 10,65% no dia para US$ 103,86. Ethereum caiu ~3% e atualmente negocia a US$ 2.358,24.
O ataque à KeplerDAO também ocorreu menos de duas semanas após uma exploração de US$ 286 milhões no Drift Protocol, o maior roubo de criptomoedas de 2026 até agora. De acordo com um relatório do Cryptopolitan, o hack do Drift Protocol está vinculado ao mesmo grupo que roubou US$ 1,4 bilhão da Bybit.
A KelpDAO agora ocupa o primeiro lugar na lista dos maiores hacks de criptomoedas de 2026.
As mentes mais inteligentes do setor de criptomoedas já leem nosso boletim informativo. Quer entrar? Junte-se a eles.
Aviso Legal. As informações fornecidas não constituem aconselhamento de investimento. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta com um profissional qualificado antes de tomar quaisquer decisões de investimento.
Randa Moses
Randa Moses é editora e repórter na Cryptopolitan, cobrindo tecnologia, IA, robótica, criptomoedas, golpes e hacks. Ela atua no espaço de criptomoedas desde 2017. Já ocupou cargos na Forward Protocol, AmaZix e Cryptosomniac. Randa possui graduação em Engenharia Elétrica e Eletrônica pela Universidade de Bradford.
