Aave reforça as regras de garantia após exploração de $230M em rsETH por meio da ponte LayerZero

Aave está reescrevendo as regras após o maior exploit DeFi de 2026 expor um risco sistêmico oculto: não código de empréstimo com falhas, mas uma ponte cross-chain comprometida. O que aconteceu - Em abril, atacantes exploraram o rsETH da KelpDAO — um token de "restaking" de ether que representa ETH stakeado reutilizado pelos usuários — forjando uma mensagem cross-chain por meio da ponte LayerZero. - Um único verificador na rede LayerZero aprovou a mensagem falsa, permitindo que o atacante cunhasse 116.500 rsETH não lastreados na cadeia receptora. - Esses tokens rsETH falsos foram depositados no Aave v3 como garantia, permitindo empréstimos de aproximadamente US$ 230 milhões que o Aave não pôde recuperar uma vez que os tokens foram revelados como sem valor. - Crucialmente, os contratos inteligentes do Aave funcionaram conforme projetado; a falha ocorreu no processo de verificação da ponte. A LayerZero reconheceu que "cometeu um erro" ao operar um sistema de verificação de alto valor em configuração única. Resposta do Aave: critérios de risco ampliados e defesas mais rápidas - Em um detalhado pós-mortem, o Aave anunciou uma revisão completa de todos os ativos listados na V3 e uma reescrita de seus padrões de listagem. O protocolo afirma que avaliações tradicionais — volatilidade, liquidez e auditorias de contratos inteligentes — já não são suficientes. - A partir de agora, as aprovações de garantia avaliarão explicitamente infraestrutura off-chain e cross-protocolo: segurança de pontes e modelos de verificação, dependências de oráculos, arranjos de custódia, contratos de terceiros, segurança operacional e liquidez no mercado secundário, além dos riscos financeiros e de código. - O Aave também está desenvolvendo proteções automatizadas para agir rapidamente quando ativos apresentarem sinais de estresse. Uma medida proposta seria reduzir automaticamente a relação empréstimo/valor (LTV) de um ativo a zero se limiares de risco pré-definidos forem ultrapassados, efetivamente removendo seu poder de empréstimo antes que perdas se propaguem. Medidas imediatas de gerenciamento de risco - Desde o exploit, a equipe de risco do Aave já implementou aproximadamente 295 alterações de parâmetros nos mercados da V3, incluindo 168 reduções de limite de oferta e 66 reduções de limite de empréstimo para limitar a exposição a ativos vulneráveis. Por que isso importa - O incidente destaca como a infraestrutura DeFi cada vez mais interconectada — pontes, redes mensageiras e outros verificadores off-chain — pode criar superfícies de ataque que revisões tradicionais focadas apenas em contratos inteligentes ignoram. - A reforma do Aave sinaliza uma mudança mais ampla na indústria: protocolos precisarão avaliar não apenas contratos de tokens, mas também a infraestrutura externa na qual esses tokens dependem. À medida que o DeFi se torna mais composto, essas dependências se tornarão centrais para medir risco sistêmico. Conclusão: o exploit foi um alerta. O Aave está usando isso para impulsionar revisões de garantia e mecanismos automatizados de segurança que consideram ameaças cross-chain e operacionais — um modelo que outros protocolos poderão precisar seguir em breve.