Aave revisa regras de listagem após exploração de $230M rsETH

Título: Aave reescreve regras de listagem após exploração de $230 milhões em rsETH expõe vulnerabilidades em pontes Aave lançou uma revisão abrangente de todos os ativos da V3 e está reformulando seus padrões de listagem após a exploração de $230 milhões em rsETH em abril — o maior ataque DeFi de 2026 — que mostrou que o elo mais fraco pode ser a infraestrutura entre cadeias ao redor de um token, e não o próprio código do protocolo de empréstimo. O que aconteceu - A exploração teve origem no rsETH da KelpDAO — um token de “restaking” de ether que representa uma reivindicação sobre ETH que usuários stakaram e reutilizaram como garantia para ganhar rendimento adicional. - Para mover o rsETH entre cadeias, a KelpDAO confiou no LayerZero, um sistema de mensagens/ponte entre cadeias que usa múltiplos verificadores para validar mensagens. Neste incidente, um único verificador aprovou uma mensagem falsificada. - Essa aprovação permitiu que o atacante cunhasse 116.500 rsETH sem qualquer suporte em ETH subjacente. O atacante então depositou esses tokens na Aave e retirou empréstimos que o protocolo não pôde recuperar uma vez que o rsETH foi revelado como sem valor. - O pós-mortem da Aave enfatiza que os contratos inteligentes da Aave funcionaram conforme esperado; a causa raiz foi uma falha na verificação da ponte. O LayerZero reconheceu que “cometeu um erro” ao confiar em uma configuração de verificação única para ativos de alto valor. Resposta da Aave e novas regras - A Aave afirma que reformulará os padrões de listagem de garantias para ir além das verificações clássicas (volatilidade, liquidez, auditorias de contratos inteligentes) e avaliar explicitamente a infraestrutura externa na qual os tokens dependem. - Novos fatores de avaliação incluirão segurança da ponte e modelos de verificação, dependências de oráculos, contratos e custódios de terceiros, segurança operacional e liquidez no mercado secundário. - A Aave também está desenvolvendo defesas automatizadas para reagir mais rapidamente quando um ativo apresentar sinais de dificuldade. Uma medida proposta seria reduzir automaticamente a relação empréstimo/valor de um ativo para zero se limiares de risco pré-definidos forem ultrapassados, cortando o poder de empréstimo antes que perdas se propaguem. - Operacionalmente, a equipe de risco da Aave já realizou aproximadamente 295 alterações de parâmetros nos mercados da V3 desde a exploração — incluindo 168 reduções de limite de oferta e 66 cortes de limite de empréstimo — para limitar a exposição a ativos individuais. Por que isso importa - O incidente destaca uma lição mais ampla para o DeFi: à medida que os protocolos se tornam mais interconectados, a infraestrutura fora da cadeia e entre cadeias (pontes, relayers, redes de verificação) deve ser tratada como vetores de risco de primeira classe, juntamente com contratos inteligentes e risco de mercado. - A mudança da Aave em direção a listagens conscientes da infraestrutura e defesas automatizadas mais rápidas pode estabelecer um novo padrão da indústria sobre como plataformas de empréstimo avaliam e gerenciam garantias que dependem de sistemas de terceiros. Conclusão: A exploração do rsETH não quebrou o código da Aave — quebrou uma ponte. O pós-mortem da Aave argumenta que o remédio não é apenas correções, mas uma reavaliação fundamental de como o DeFi mede e responde ao risco em toda a pilha.