#KelpDAOBridgeHacked 1. A Exploração Técnica de "Mensagem Falsificada"

O ataque foi uma aula magistral na exploração da composabilidade. A vulnerabilidade residia na infraestrutura da ponte (utilizando LayerZero) conectando o rsETH do KelpDAO através de múltiplas cadeias.
A Falsificação: Os atacantes criaram uma carga útil maliciosa de cadeia cruzada que contornou a camada de verificação. A ponte incorretamente "atestou" a legitimidade de um depósito massivo que nunca ocorreu na cadeia de origem.
A Emissão: Isso permitiu ao atacante cunhar 116.500 rsETH do nada na cadeia de destino.
A "Bomba" de Drenagem em Loop: Em vez de vender o rsETH (o que teria derrubado imediatamente o preço), os hackers depositaram o rsETH falso como garantia na Aave V3, Compound e Euler. Depois, tomaram emprestado ETH real e stablecoins contra ele.
Dívida Ruim: Como a garantia era essencialmente "sem valor" (não garantida), os protocolos de empréstimo agora enfrentam uma dívida conjunta de mais de $230 milhões, pois não há ativo subjacente real para liquidar.
2. Impacto no Mercado e Contágio
A reação do mercado reflete um medo de "Falha Sistêmica no DeFi" em vez de apenas a perda de um único protocolo.
3. Estado Atual de Recuperação
Até a tarde de segunda-feira, 20 de abril:
Status do Protocolo: O KelpDAO conseguiu pausar com sucesso todos os contratos de rsETH na Mainnet e L2s (incluindo Unichain).
Limites de Empréstimo: Aave e Compound congelaram os mercados de rsETH. Os usuários não podem depositar ou tomar emprestado mais, embora as posições existentes estejam atualmente "presas" até que uma resolução seja alcançada.
Investigação: As empresas de segurança Cyvers e PeckShield estão trabalhando com a equipe LayerZero para rastrear os fundos, que atualmente estão sendo canalizados através de mixers de privacidade.
4. Principais Lições para 2026
Este evento marca o maior exploit DeFi de 2026 e destaca três falhas críticas:
Fragilidade da Ponte: Mesmo soluções "omnichain" são tão fortes quanto sua menor brecha de verificação.
Risco LRT: Tokens de Restaking Líquido (LRTs) criam um risco "recursivo". Quando um ativo é reutilizado cinco vezes como garantia, um $300M hack pode ameaçar mais de $5 bilhões em liquidez total.
O Problema da "Velocidade": Foram apenas 46 minutos para drenar o sistema. Os mecanismos tradicionais de "pausa" de segurança atualmente são lentos demais para parar scripts de ataque aprimorados por IA ou altamente automatizados.