Análise detalhada: O impacto setorial do evento de segurança da Aave Conclusões antecipadas: 1. A narrativa de segurança das L2 está quebrada. Antes dizia-se que eram tão seguras quanto a rede principal, mas agora parece que será necessário sacrificar o rsETH nas L2. 2. Todas as narrativas de restake no ETH estão completamente falidas. Após anos de camadas complexas no EigenLayer, descobriu-se que os retornos (supostos rendimentos de staking em nós de segurança AVS) são menores que os riscos introduzidos por essa estrutura em camadas. 3. O DeFi está ferido. Não está totalmente morto, mas uma contração significativa é inevitável, pois as pessoas perceberam que problemas de segurança na cadeia não podem ser evitados — e ainda que percam dinheiro, as plataformas simplesmente podem desaparecer (o clássico risco de agente). 4. Este evento certamente causou perdas aos usuários, pois a Kelp é pobre e não tem como pagar. --------------------------------------------------------- Não analisarei os detalhes do processo — outros já o fizeram com precisão. Em resumo: hackers da Coreia do Norte invadiram a Kelp, atravessaram a cadeia por meio do LayerZero nas L2 para criar moedas virtuais e saquearam o tesouro da Aave. Agora, Kelp, LayerZero e Aave estão se acusando mutuamente sobre a atribuição de responsabilidade. 1. A narrativa de segurança das L2 Anteriormente, todas as L2 — seja Optimistic Rollup ou ZK Rollup — afirmavam ter segurança equivalente à rede principal do ETH. Estritamente falando, o problema não foi uma falha no consenso ou no sequenciador da própria L2, mas os usuários não se importam se foi uma ponte comprometida ou uma queda da L2: o resultado é que o rsETH "impresso" na L2 tornou-se moeda vazia, enquanto a rede principal escapou ilesa porque não passou por nenhuma ponte cruzada. A resposta oficial da Aave foi: “rsETH na rede principal está totalmente lastreado”, ao mesmo tempo em que congelou todos os mercados L2 (Arbitrum, Base, Mantle, Linea etc.) com WETH e rsETH. Em outras palavras: usuários da rede principal e da L2 não são iguais — os usuários da L2 tornaram-se cidadãos de segunda classe https://t.co/14aPSMvLlJ 2. As narrativas de restake no ETH estão completamente falidas O serviço de validação de segurança AVS do EigenLayer Passaram-se dois anos e ainda não surgiu um modelo de receita viável. Sim, você vê declarações oficiais do EigenLayer sobre receitas significativas, mas ao analisar com cuidado, a maioria vem de subsídios em tokens Eigen — algo semelhante ao Filecoin: slogans grandiosos, mas aplicação real extremamente limitada... no fim, tudo se resume à venda de tokens. (“Te dou 4 milhões de dólares em tokens Eigen, liberados em dois anos, em troca de você pagar 1 milhão de dólares por serviços do EigenLayer...”) Para os usuários, com o problema da Kelp, perceberam que os 2% adicionais de taxa de staking não compensam o risco. Afinal, quanto mais camadas você adiciona, maior a probabilidade de falha. Em cenários extremos, os retornos são lineares, mas os riscos são exponenciais. 3. O DeFi está ferido A chamada “permissionless” (sem permissão) da Web3 só existe nos sonhos. Muitos problemas fundamentais são insolúveis. A maioria dos protocolos DeFi é, na realidade, “código controlado por carteiras multisig”. 1) Oposição entre agilidade e segurança Este é um dilema irresolúvel. Por que as transferências bancárias tradicionais são caras e lentas? Grande parte da razão é a segurança — exigem múltiplos controles de risco e aprovações manuais. (Você raramente ouve falar de alguém cuja conta bancária foi roubada?) Então, como o DeFi resolveria isso? Você não pode simplesmente escrever toda a lógica de risco nos contratos inteligentes e deixar que todos a analisem publicamente? 2) Oposição entre permissionless e combate à lavagem de dinheiro Assim como o controle de risco, as regras de combate à lavagem de dinheiro são definidas por humanos e possuem critérios acionáveis. É impossível ter ambos: total liberdade e combate eficaz à lavagem de dinheiro. Mesmo que a IA faça a análise, as regras da IA ainda são definidas por humanos. Claro, você pode dizer que o DeFi não precisa de combate à lavagem de dinheiro — mas claramente a maioria dos países não aceitará isso. Atualmente, apenas lhe dão uma chance — mas no século XXI, transações financeiras não conseguem escapar da lavagem de dinheiro; é apenas uma questão de tempo. 3) O fator humano nunca será eliminado A maioria dos protocolos DeFi é, na realidade, “código controlado por carteiras multisig”, e a razão é simples: a) Em protocolos de empréstimo e empréstimo: novas moedas, parâmetros de empréstimo e configurações de oráculos são definidas por humanos — e podem ser alteradas. b) A maioria dos protocolos é upgradeável — se as chaves privadas forem roubadas, tudo pode ser perdido como no caso Drift. c) O site frontend é controlado pela equipe. Por exemplo: @pendle_fi, @Morpho e todos os protocolos DeFi podem desativar, ocultar ou marcar um mercado como risco — basta um dispositivo do desenvolvedor ser comprometido, envenenamento da cadeia de suprimentos ou ataque ao domínio (como ocorreu recentemente com o domínio do CoW Swap). Você pergunta se existe algum protocolo DeFi puro Web3, ideal? Consigo pensar em um: Tornado Cash — e todos sabem como terminou. Se você diz que esse é o futuro do DeFi, então não tenho mais nada a dizer. 4) Risco de agente profissional desalinhado Quando protocolos Web3 são invadidos, os desenvolvedores e gestores enfrentam perdas limitadas — nem sequer ameaças criminais. Vou dar um exemplo típico: @arc — a blockchain L1 emitida pela Circle, matriz do USDC — oferece qual recompensa máxima para hackers éticos que descobrem vulnerabilidades? : 5.000 dólares. https://t.co/OJ0Zo6KynS Uma vulnerabilidade de nível máximo pode causar perdas de centenas de milhões — e oferecer apenas 5 mil dólares em recompensa é algo que nem uma pessoa com raciocínio normal conseguiria conceber. A razão é simples: a recompensa para hackers éticos sai do próprio bolso do desenvolvedor; já as perdas causadas por invasões são suportadas por outros. Veja o setor financeiro tradicional — bancos e empresas de títulos: - Se um hacker realmente roubar dinheiro, os gestores responsáveis podem ser condenados por negligência ou crime profissional... - Níveis de proteção 3/4... classificam dados financeiros em 5 níveis, definindo claramente medidas de proteção para cada nível; dados contábeis críticos devem ser periodicamente exportados para bibliotecas físicas de fitas magnéticas ou discos ópticos offline e armazenados异地... E o DeFi? Nenhuma regulamentação — tudo depende da boa vontade dos protocolos. No fim das contas, após toda essa volta, as pessoas perceberam que o DeFi ainda é apenas CeDeFi.Quando você ganha dinheiro, é o xxx Lab que está recebendo o dinheiro; quando você perde, é você que não fez DYOR, dizendo que é DeFi. Sim, protocolos DeFi podem adicionar lock-ups de tempo, diversos controles de risco, atrasos de auditoria, combate à lavagem de dinheiro e até KYC (questão de tempo). Mas depois de decorar o lixo por um tempo, percebe-se que tudo acaba se tornando cada vez mais parecido com o sistema financeiro tradicional. (Além disso, poucos investidores institucionais virão para um setor que sofre roubos a cada dois dias. Então, pare de sonhar com a narrativa de RWA institucional.) Se você acredita na narrativa Web3, é melhor acreditar que o comunismo vai se realizar. 4. Este evento certamente causou perdas aos usuários. O consenso do setor é que a Kelp assume pelo menos 40% da responsabilidade. Aave e LayerZero podem compensar parcialmente, mas não cobrirão a parte da Kelp. A equipe da Kelp é pobre: quando o rsETH se desvinculou, eles próprios entraram no mercado para arbitrar, bloqueando a resgate de outros usuários — ou seja, roubando até o pouco que os usuários tinham. Diante da situação atual, é altamente provável que a Kelp simplesmente declare o fechamento/insolvência do protocolo. Há apenas esse dinheiro; se quiser, vá processá-los. Portanto, pelo menos a parte da responsabilidade da Kelp será suportada pelos usuários. Além disso, vi alguém mencionar Sun, CZ etc., pedindo que atuem como cavaleiros brancos... Isso parece que ainda não acordou. A última vez que a Tether emprestou dinheiro ao Drift também foi uma distração; quando o plano de compensação for anunciado, vocês vão entender — já havia mencionado isso anteriormente. Resumo: Este evento atingiu simultaneamente três narrativas principais — L2, Restaking e confiança em DeFi — sendo um “triplo golpe narrativo”. Mais tarde, as pessoas podem passar a chamar abril de 2026 de “Abril Negro” para Web3 ou DeFi (e ainda faltam 10 dias para o fim de abril...). Minha sugestão para você: por enquanto, não opere em DeFi. Coloque seu dinheiro na exchange e ganhe juros.