#KelpDAOBridgeHacked 1. A Exploração Técnica de "Mensagem Falsificada"

O ataque foi uma aula magistral em explorar a composabilidade. A vulnerabilidade estava na infraestrutura da ponte (utilizando LayerZero) conectando o rsETH do KelpDAO em várias cadeias.
A Falsificação: Os atacantes criaram uma carga útil maliciosa de cross-chain que contornou a camada de verificação. A ponte incorretamente "atestou" a legitimidade de um depósito massivo que nunca ocorreu na cadeia de origem.
A Mintagem: Isso permitiu que o atacante criasse 116.500 rsETH do nada na cadeia de destino.
A "Bomba" de Drenagem em Loop: Em vez de vender o rsETH (o que teria derrubado o preço imediatamente), os hackers depositaram o rsETH falso como garantia na Aave V3, Compound e Euler. Depois, eles tomaram emprestado ETH real e stablecoins contra ele.
Dívida Ruim: Como a garantia era essencialmente "sem valor" (não garantida), os protocolos de empréstimo agora enfrentam uma dívida ruim combinada de mais de $230 milhões, pois não há ativo subjacente real para liquidar.
2. Impacto no Mercado & Contágio
A reação do mercado reflete um medo de "Falha Sistêmica do DeFi" em vez de apenas a perda de um protocolo individual.
3. Status Atual da Recuperação
Até segunda-feira à tarde, 20 de abril:
Status do Protocolo: KelpDAO conseguiu pausar com sucesso todos os contratos de rsETH na Mainnet e L2s (incluindo Unichain).
Limites de Empréstimo: Aave e Compound congelaram os mercados de rsETH. Os usuários não podem depositar ou tomar emprestado mais, embora as posições existentes estejam atualmente "presas" até que uma resolução seja alcançada.
Investigação: As empresas de segurança Cyvers e PeckShield estão trabalhando com a equipe LayerZero para rastrear os fundos, que atualmente estão sendo canalizados através de mixers de privacidade.
4. Principais Lições para 2026
Este evento marca a maior exploração de DeFi de 2026 e destaca três falhas críticas:
Fragilidade da Ponte: Mesmo soluções "omnichain" são tão fortes quanto sua menor brecha de verificação.
Risco LRT: Tokens de Restaking Líquido (LRTs) criam um risco "recursivo". Quando um ativo é reutilizado cinco vezes como garantia, um $300M hack pode ameaçar mais de $5 bilhões em liquidez total.
O Problema da "Velocidade": Foram apenas 46 minutos para drenar o sistema. Mecanismos tradicionais de "pausa" de segurança são atualmente lentos demais para parar scripts de ataque aprimorados por IA ou altamente automatizados.