A liquidez de todo o mercado de empréstimos sofreu um choque instantâneo.

Autor do artigo, fonte: 0x9999in1, ME News

TL;DR

• Qualitativo: A maior black swan do início de 2026. O atacante falsificou mensagens cross-chain da LayerZero sem custo algum, obtendo arbitrariamente 116.500 rsETH. Isso não é apenas uma vulnerabilidade de código, mas sim uma falha total do mecanismo de confiança cross-chain.
• Cadeia de armadilhas: A presa do hacker não é o rsETH em si, mas o ouro real dentro da Aave. Usando comprovantes de "ar" como garantia, ele empresta quantidades massivas de WETH. O que sobra para a Aave é um enorme buraco negro de inadimplência sem garantia.
• Arquitetura sob teste: Sob pressão, a essência do protocolo se revela. O "mercado totalmente isolado" do Morpho passou perfeitamente com uma exposição mínima de apenas US$ 1 milhão; já a "liquidez global" da Aave foi forçada a congelar totalmente, expondo vulnerabilidades sistêmicas.
• Aproveitar a crise para se beneficiar e se salvar: Fluid lançou rapidamente um protocolo de resgate aWETH, atingindo com precisão os usuários afetados da Aave,上演了一场教科书级别的流动性吸血鬼攻击。
• Reflexão subjacente: A combinação de LRT (liquidity re-staking) e pontes cross-chain (OFT) está criando "ativos derivados tóxicos" no mundo DeFi. Quanto mais alto se empilha o Lego, mais estilhaçado ele cai. Após a crise, a reestruturação dos padrões cross-chain tornou-se inevitável.

Fim de semana assustador: quando os alarmes ecoaram pela dark web

O capital nunca dorme. Os hackers também.

Na rede Ethereum no sábado, que originalmente funcionava como uma máquina de impressão de dinheiro precisa, silenciosamente processando blocos, um conjunto de transações estranhas rasgou imediatamente essa calma. 116.500 rsETH. Não era uma quantia pequena. Era um número astronômico.

De quem é esse dinheiro? São os hard-earned fundos de liquidez dos usuários do Kelp DAO.

Como desapareceu? Porque o protocolo de comunicação da ponte cross-chain LayerZero foi "enganado".

Imagine você é o dono de uma casa de penhores. Alguém chega com um cheque bancário suíço falso e, sem nem piscar, leva uma tonelada de ouro da sua loja. Foi exatamente o que aconteceu no fim de semana. Os hackers não invadiram o cofre nem quebraram a lógica matemática subjacente aos contratos inteligentes. Eles fizeram algo mais inteligente e mais letal: falsificaram as mensagens cross-chain da LayerZero.

A mensagem diz: "Eu depósitei dinheiro nessa cadeia, você me empresta nessa cadeia."

O contrato da ponte acreditou. Ele abriu gentilmente a porta.

116.500 rsETH foram para o bolso do hacker. Este é o maior ataque DeFi de 2026 até agora. Mas fique atento: isso é apenas o começo do pesadelo. O que o hacker realmente quer não são tokens derivados como rsETH, fortemente vinculados a negócios. O que ele quer é moeda real. Ele quer WETH.

Assim, a mira da espingarda foi direcionada ao maior banco central do mundo DeFi — Aave.

Plano em cadeia fatal: Aave e "colateral fantasma"

A cadeia lógica dos hackers é assustadoramente clara.

Primeiro passo: criar ar. Através de uma vulnerabilidade na ponte cross-chain, criar rsETH do nada.

Passo dois: converter o ar. Deposite esses “rsETH fantasmas”, sem suporte de ativos subjacentes, na Aave.

Terceiro passo: drenar o sangue. Usando rsETH como garantia, emprestar WETH freneticamente.

O contrato inteligente da Aave entende matemática, mas não entende o coração humano, muito menos as armadilhas por trás das pontes cross-chain. Para os oráculos da Aave, o preço do rsETH ainda está ancorado ao Ethereum. Taxa de colateralização saudável. Empréstimo. Empréstimo. Continue emprestando.

Boom. O prédio está prestes a desabar.

Quando o Kelp DAO e o LayerZero perceberam, já era tarde demais. O cofre da Aave estava cheio desses “rsETH fantasmas” sem valor algum. E os WETH brancos e genuínos, pertencentes a usuários reais, já haviam sido levados pelos hackers.

O que é isso? No sistema financeiro tradicional, isso é chamado de inadimplência sistêmica. No DeFi, isso é o início de uma espiral da morte.

Aave reagiu rapidamente. Congelado. Tudo congelado. Ethereum, Arbitrum, Base, Mantle, Linea. Todas as reservas de WETH e ativos rsETH nos mercados afetados, seja na versão V3 ou V4, foram imediatamente pausados. A Aave oficialmente afirma que "o rsETH na mainnet possui suporte totalmente colateralizado", mas essa afirmação soa vazia neste momento. O rsETH na mainnet realmente tem suporte, mas e o rsETH gerado por meio de vulnerabilidades transfronteiriças? Quem vai preencher os buracos deixados pelo WETH retirado?

Aave foi forçado a entrar no estado de "dívida duvidosa de Schrödinger". Antes de uma auditoria abrangente e recuperação dos fundos, ninguém sabe o quão grande é esse buraco negro. Como o alicerce mais básico dos blocos de DeFi, o congelamento da Aave significa que a liquidez de todo o mercado de empréstimos sofreu um infarto instantâneo.

Piscina de isolamento e minas em cadeia: o panorama do DeFi

Quando a maré baixa, você não só consegue ver quem está nadando nu, mas também quem construiu um navio com compartimentos estanques.

O evento rsETH foi como uma bomba de profundidade, revelando as diferenças abissais na arquitetura de controle de risco dos protocolos DeFi. Diante de ativos tóxicos inesperados em cross-chain, o desempenho de cada protocolo é como um cruel livro de lições sobre sobrevivência financeira.

Vamos revelar as cartas desses protocolos com uma tabela.

Entendeu? Essas são as regras do segundo tempo do DeFi.

A vitória da Morpho: Por que a Morpho ousa dizer que é segura? Porque ela não faz “panela única”. O modelo da Aave coloca todos os fundos em um único grande pool; se um ativo falhar, todos os fundos do pool podem ser usados para cobrir inadimplências. Já a Morpho utiliza um “design de mercados isolados”. Você é tóxico? Fique preso no seu pequeno pool; minha via principal permanece livre. Uma exposição de apenas 1 milhão de dólares é, para a Morpho, nem sequer um arranhão. É um ataque de redução de dimensão pelo design do mecanismo.

A estratégia aberta da Fluid: enquanto todos os protocolos estão na defesa, a Fluid tirou a faca. Eles anunciaram o lançamento do protocolo de resgate aWETH. O que é isso? É sal sobre a ferida da Aave, enquanto suga seu sangue. Seus ETH na Aave estão congelados e você não consegue sacá-los? Sem problemas, a Fluid oferece o pagamento. Transfira sua dívida para mim, e eu a transformo imediatamente em wstETH ou weETH, liberando sua liquidez. Uma capacidade inicial de US$1 bilhão — é como gritar diretamente para os usuários da Aave: “Abandone as trevas e venha para a luz!” É uma guerra comercial pura, fria, eficiente e direta ao ponto.

O piso do Reserve: A resposta do Reserve demonstra o encanto da finança estruturada. Mesmo diante de condições extremas, os detentores de DTF quase não são afetados. Por quê? Porque eles projetaram os stakers de RSR como “capital de primeira perda”. É como uma barra de proteção no sistema financeiro: em caso de colisão, a barra quebra primeiro, protegendo a cabine.

Em relação aos comunicados de protocolos como Polygon, EtherFi e Maple, trata-se principalmente de ações de relações públicas para informar que tudo está sob controle, acalmando os provedores de liquidez (LP) em seus respectivos ecossistemas.

A origem do veneno: O encontro mortal entre LRT nesting e pontes cross-chain

Se você considerar este evento apenas como um ataque hacker comum, então você é muito ingênuo. Essencialmente, trata-se de um colapso inevitável causado pela “superfinanciarização”.

Vamos focar no protagonista do evento: rsETH.

O que é rsETH? É um token de reestaking de liquidez (LRT) emitido pelo Kelp DAO.

Isso em si é uma boneca russa. O usuário faz stake no ETH na rede Ethereum e recebe um LST (por exemplo, stETH). Depois, faz stake no LST em protocolos como o EigenLayer e recebe um LRT (por exemplo, rsETH).

Por que passar por tudo isso? Para obter rendimentos. Para extrair cada último centavo de juros do Ethereum.

Isso em si não está errado. O capital busca lucro por natureza. Mas o problema está no próximo passo: cross-chain.

Devido à fragmentação do ecossistema DeFi multi-cadeia, o Kelp DAO integrou o padrão OFT (Token Homogêneo Multicadeia) da LayerZero para permitir a circulação do rsETH em várias L2 (camadas 2).

Agora está resolvido. A segurança dos ativos anteriormente protegidos pelo consenso rigoroso da rede principal Ethereum foi reduzida imediatamente para a segurança da ponte cross-chain.

Você percebeu? Em uma longa cadeia de alavancagem, basta um elo falhar para que todo o sistema desabe.

As pontes intercadeias sempre foram o calcanhar de Aquiles do DeFi. Desde o grande assalto à Ronin em 2022 (US$625 milhões), até a PolyNetwork e a Wormhole. A história provou repetidamente que transmitir livros-razão de ativos no valor de bilhões entre duas blockchains que não se confiam, por meio de um conjunto de nós de terceiros (relés/oráculos), é uma tarefa extremamente perigosa.

A LayerZero afirma oficialmente que “compreende plenamente o evento de vulnerabilidade e está trabalhando ativamente com a KelpDAO para corrigi-la”. Mas já ouvimos esse discurso muitas vezes. Corrigir uma vulnerabilidade inevitavelmente cria espaço para a próxima, devido à complexidade da arquitetura. Quando mensagens entre cadeias podem ser falsificadas, o padrão OFT torna-se um cheque em branco preenchido à vontade.

Epílogo: Quem pagará a conta?

Já chegamos a isso, tudo virou uma bagunça.

Falta de 116.500 rsETH, quem vai preencher?

Será que o tesouro do Kelp DAO pagou do próprio bolso? Será que a LayerZero está operando com prejuízo para atrair atenção? Ou os detentores da moeda de governança da Aave foram forçados a diluir seus direitos para cobrir inadimplências? Ou, por fim, serão os usuários comuns, inocentes, que deixaram seus fundos no pool atraídos por alguns pontos de APY, os responsáveis por suportar as perdas?

Ninguém quer ser o tolo. Mas, no final do jogo, sempre haverá alguém que sangrará.

O que esta tempestade nos deixou?

Ele declara de maneira extremamente sangrenta: na floresta sombria do DeFi, não existe "grande demais para falhar". O modelo de liquidez global da Aave mostrou-se excessivamente pesado diante de riscos extremos de cauda; já a ideia de pools isolados da Morpho talvez seja a solução correta para o próximo ciclo.

Também removeu a cortina de fumaça dos LRTs (liquidity restaking). Estamos obcecados em empilhar legos e em rendimentos alavancados criados do nada, ignorando que a base subjacente já está cheia de falhas. Quando LRTs com risco cross-chain são permitidos como garantia em protocolos de empréstimo de primeira linha, a bomba-relógio já foi enterrada.

Não há nada novo sob o sol. O código é lei, mas a lei sempre tem brechas.

Quando você enxergar além dessa camada envolvente de vestimentas financeiras, perceberá que tudo não é mais do que um jogo de gato e rato sem fim entre a ganância humana e as imperfeições tecnológicas.

A próxima rodada já está distribuindo as cartas. Você ainda está na mesa?

Fonte:

1. Aave Governance Forum. (2026). "Atualização do incidente: Congelamento do mercado rsETH e avaliação de dívida ruim."
2. Blog Oficial do Fluid Protocol. (2026). "Apresentando aWETH: Resgate de Liquidez para Prestadores de ETH."
3. Morpho Labs Security Post. (2026). "Análise Pós-Morte: Por Que Mercados Isolados Protegeram o Morpho do Exploração rsETH."
4. LayerZero Communications. (2026). "Resposta ao exploit da Kelp DAO rsETH e atualizações de segurança do OFT."
5. Documentação do Reserve Protocol. (2026). "Compreendendo o Capital de Primeira Perda nas Mecânicas de DTF."