#rsETHAttackUpdate

O recente incidente de segurança envolvendo o token rsETH do Kelp DAO ocorreu em 18 de abril de 2026. Os atacantes conseguiram drenar aproximadamente $292 milhão de (116.500 rsETH) do protocolo.

O exploit foi atribuído por analistas de segurança ao Grupo Lazarus, ligado à Coreia do Norte.

Como o Ataque Aconteceu

O incidente foi um ataque sofisticado à infraestrutura off-chain, e não uma vulnerabilidade nos contratos inteligentes em si.

Mensagem Cross-Chain Falsificada: Os atacantes contornaram a segurança da ponte forjando uma mensagem cross-chain que imitava uma transação legítima.

Comprometimento da Infraestrutura: O alvo foi o adaptador de ponte alimentado pelo LayerZero. Os atacantes comprometeram nós RPC internos associados à Rede de Verificadores Descentralizados (DVN) e, simultaneamente, lançaram um ataque DDoS contra nós externos.

Falha na Verificação: Ao envenenar o processo de verificação, eles forçaram o sistema a confiar em dados falsificados, levando a ponte a liberar 116.500 rsETH na Ethereum sem um "queima" real ou garantia de colateral a montante.

Exploração de Colateral: Após a cunhagem não autorizada desses tokens "fantasma", os atacantes os usaram como colateral na Aave para emprestar outros ativos, o que causou grande estresse e saídas de liquidez em todo o ecossistema DeFi.

Impacto Imediato e Resposta

Pausas no Protocolo: O Kelp DAO pausou rapidamente seus contratos de rsETH na mainnet e em várias redes Layer-2 ao identificar a atividade suspeita.

Precauções DeFi: Protocolos de empréstimo principais, incluindo Aave, moveram-se para congelar os mercados de rsETH para proteger suas plataformas e usuários. Outros protocolos com exposição, como os integrados ao Lido, também suspenderam depósitos ou tomaram medidas preventivas.

Tentativa de Segundo Ataque: Após o roubo inicial, os atacantes tentaram uma segunda drenagem menor de mais 40.000 rsETH (~$95 milhão), mas isso foi frustrado após o Kelp DAO colocar na blacklist os endereços dos atacantes e pausar os contratos relevantes.

Este evento gerou discussões significativas na indústria sobre a dependência de configurações de ponto único de falha na segurança de pontes e a necessidade de monitoramento em nível de invariantes, e não apenas na verificação de chamadas individuais.
‍$AAVE