#KelpDAO跨链桥遭攻击 Kelp DAO 2,9 bilhões de dólares em perdas: o ciclo de morte do empréstimo não isolado e a capela do DeFi

Na madrugada de abril de 2026, o bloco da blockchain ainda tinha um tempo de confirmação de dezenas de segundos, imutável, mas em poucos blocos alternados, os 2,9 bilhões de dólares em dinheiro real desapareceram como estrelas caindo em um buraco negro, sem sequer um estrondo. Isso não é uma transferência estratégica de um fundo soberano de algum país, mas o mais absurdo e frio roubo de um dia na história do DeFi — o Exploit do rsETH da Kelp DAO.
Quando todos estão admirando a habilidade do hacker em cortar códigos, veteranos de quantificação de Wall Street e jogadores hardcore do criptopunk só sentem um calafrio na espinha. Porque isso não é apenas um roubo técnico, é um golpe de redução de dimensão na lógica fundamental do DeFi. O hacker não arrombou um cofre, apenas provou que um pedaço de papel inútil valia uma fortuna, e então, com toda a legitimidade, esvaziou toda a reserva.

O fim do Matryoshka russo, com um retrato do mainnet pendurado

Para entender essa tragédia de 2,9 bilhões de dólares, você precisa primeiro compreender a mais headbanging e contra a lógica comum do mundo Web3: o token de reempréstimo de liquidez (LRT).
No mundo financeiro tradicional, garantia é garantia: você pega uma casa para um empréstimo bancário, a propriedade fica bloqueada. Mas no cassino do DeFi, com sua produção excessiva de hormônios, a eficiência do capital deve ser levada ao extremo. Você tem um Ethereum. Você o deposita na Lido, troca por stETH, aproveitando os rendimentos de staking básicos. Ainda não é suficiente, você deposita o stETH na EigenLayer, uma protocol de reempréstimo, tentando ganhar as taxas de segurança de outros networks. Nesse ponto, a liquidez deveria estar exaurida, mas a Kelp DAO surge e diz: irmão, me entregue seu comprovante, eu te dou um novo, chamado rsETH. Isso é o token de reempréstimo de liquidez. Com esse rsETH, você não só consegue triplicar seus rendimentos, como também pode usá-lo como ativo de garantia em protocolos de empréstimo, emprestando uma ETH adicional. Com o pé na frente e na trás, você está no céu, até querendo construir uma mansão na estratosfera.
Mas as leis da física financeira são extremamente frias: toda derivação de ativos aumenta exponencialmente o risco sistêmico subjacente (Risco de Contágio no DeFi). Você pensa que o rsETH que possui é um título de ferro, mas na verdade é uma bomba-relógio com cinco camadas de contratos aninhados. Se qualquer linha de código na Ethereum, na camada de staking do Lido, na camada de reempréstimo do EigenLayer ou na camada de empacotamento do Kelp DAO tiver uma vulnerabilidade, toda essa estrutura financeira gigante desmorona instantaneamente. E desta vez, a base que foi retirada é a própria Kelp DAO.
O hacker explorou vulnerabilidades na lógica do contrato inteligente, usando ataques de flash loan extremamente discretos e manipulação de oráculos, criando do nada uma quantidade massiva de “air rsETH” sem lastro algum. Se a história terminasse aqui, seria apenas um problema interno da Kelp DAO, uma moeda de ar que zerou, e os prejuízos ficariam com os gananciosos por altos juros. Mas o que transformou essa bomba em uma arma nuclear foi o “modelo de empréstimo não isolado” do mundo DeFi, considerado um paradigma.

Empréstimo não isolado: colocar a conta de todo mundo em uma gaveta sem trava

O hacker agora tem em mãos uma pilha de rsETH recém-impressos, sem custo algum. Ele não é burro de vendê-los na exchange descentralizada (DEX), pois a liquidez é insuficiente para absorver 2,9 bilhões de dólares de venda, e o slippage consumiria quase toda a margem de lucro. Com elegância, ele entra na gigante do empréstimo DeFi, Aave. Essa é a falha fatal do modelo de empréstimo não isolado (Non-isolated Lending Models). Para maximizar o “uso de capital”, os protocolos maiores preferem misturar o dinheiro de todos em um grande pool. Nesse caldeirão, não importa se você deposita USDC sólido como uma rocha ou uma altcoin instável, se os detentores do token de governança aprovarem, tudo pode ser usado como garantia para emprestar qualquer ativo do pool.
O hacker deposita sem cerimônia uma quantidade enorme de rsETH de ar no Aave. Na visão do oráculo do Aave, como o preço no DEX ainda não quebrou, esses rsETH continuam valiosos, brilhando com uma luz nobre. Assim, o contrato inteligente, esse cego sem emoções, de forma mecânica, de acordo com a taxa de garantia, abre o cofre de todo o pool para o hacker. Ele empresta USDC, USDT, WBTC e ETH real do pool, usando esses papéis inúteis.
Durante o processo, ninguém impede, tudo segue a lógica do código, até na hora de agrupar a transação, o sistema calcula os juros para o hacker. Quando ele cruza a ponte, lava os ativos reais e desaparece, tudo que sobra para o Aave e o ecossistema DeFi é um buraco negro sem fundo. Essa é a temida dívida ruim do Aave (Aave Bad Debt).
Os investidores que só queriam um rendimento de 4% ao ano com USDC, de repente descobrem que não podem sacar seu dinheiro. O pool foi drenado, e na reserva só restam rsETH cujo valor se aproxima de zero. O modelo de empréstimo não isolado é como uma corda de ferro grossa, que conecta navios que deveriam navegar sozinhos. Se um deles pegar fogo, toda a frota não consegue escapar.

A dança do ciclo de morte e a máquina de moer liquidez implacável

Quando a dívida ruim se forma, a espiral de morte do DeFi deixa de ser uma expressão econômica e vira um experimento sociológico brutal. Quando o mercado percebe que o rsETH sofreu um golpe devastador, seu preço começa a despencar livremente em direção ao centro da Terra. O mecanismo de liquidação do Aave é ativado, tentando liquidar as garantias deixadas pelo hacker para cobrir o prejuízo. Mas isso é uma armadilha ridícula. Os liquidadores não fazem caridade, precisam comprar esses rsETH depreciados com dinheiro de verdade e vendê-los no mercado para lucrar.
Porém, quando a verdade de que o rsETH não tem lastro real é revelada, não há mais um tolo disposto a pagar um centavo por ele. Sem liquidez, a liquidação não acontece; sem liquidação, a dívida ruim fica registrada; e com a dívida pendurada, o pânico se espalha como uma praga. Esse pânico provoca uma corrida de saques. Todos os usuários com ativos no Aave começam a clicar freneticamente no botão de retirada. A taxa de utilização do pool dispara para 100%, e as taxas de empréstimo sobem a níveis absurdos, tentando atrair novos depósitos. Mas só piora a situação — aqueles que usam ativos saudáveis como garantia, e que normalmente tomam empréstimos, de repente veem seus juros se tornarem astronômicos, suas garantias se deteriorarem e serem finalmente liquidados. Essa é a manifestação máxima do risco de contágio (DeFi Contagion Risk).
A vulnerabilidade do Kelp DAO não só matou a si mesma, como também, por meio do sangue do modelo de empréstimo não isolado, enviou veneno ao coração do DeFi. Pessoas que nem sabem o que é LRT ou reempréstimo, simplesmente por colocarem dinheiro e ativos de alto risco no mesmo pool, acabam pagando o preço da festa dos hackers.

Seu alto rendimento, na verdade, é o bônus de fim de ano antecipado para os hackers

Sobre as ruínas de 2,9 bilhões de dólares, não basta apenas analisar a fragilidade do código, é preciso enxergar além da narrativa do DeFi, por uma camada de ilusão. O setor todo vive gritando sobre descentralização, transparência, código como lei, mas na hora do jogo real, tudo se resume a extrair ao máximo aqueles poucos pontos de rendimento anual, abandonando qualquer ética. O modelo de empréstimo não isolado é, na essência, uma mecânica bandida que privatiza os lucros e socializa os riscos. Para atrair fundos, os projetos continuam propondo mudanças na governança, inserindo uma variedade de ativos sintéticos e bizarros na lista de permissões.
Eles enchem os olhos dos usuários com a profundidade do pool e a eficiência do capital, mas evitam falar sobre o enorme abismo de crédito entre diferentes ativos. Em mercados de alta, tudo é festa: você lucra com juros, eu com TVL; mas na crise, essa teia de contratos aninhados se vira contra todos, destruindo toda a riqueza aparente. O incidente do rsETH da Kelp DAO certamente não será o último.
Enquanto o DeFi continuar obcecado em usar ativos como garantia para gerar novos ativos, e enquanto os protocolos de empréstimo não abandonarem o apelo do pool não isolado, essa crise sistêmica se repetirá como uma gripe periódica, consumindo a liquidez do mercado uma e outra vez.
Na Wall Street, quando a alavancagem atinge o limite e provoca uma crise sistêmica, talvez o Federal Reserve venha a socorrer com planos de resgate e garantias públicas. Mas no Web3, em uma floresta escura, não há banco central, não há circuit breaker, e nem compaixão. Com 2,9 bilhões de dólares, os hackers deram uma aula de gestão de risco financeiro mais cara para todos os entusiastas do DeFi: quando você não entende de onde vem um rendimento de 20% ao ano, não duvide — esse rendimento é seu capital, e você é a presa presa na teia de códigos mais fundo.