LayerZero faz commits $23M para o Fundo de Recuperação de Exploração da Kelp DAO

A LayerZero prometeu 10,000 ETH (aproximadamente $23 milhão) para apoiar a coalizão de resgate DeFi United após o exploit de $292 milhão do Kelp DAO, comprometendo 5,000 ETH diretamente no fundo de recuperação e mais 5,000 ETH para o Aave enquanto prometia suporte adicional para liquidez do GHO. O compromisso veio cinco dias depois que plataformas e entidades concorrentes já haviam anunciado grandes contribuições para o esforço de recuperação. A DeFi United, formada como uma coalizão de resgate, desde então publicou um plano técnico de recuperação com base em depósitos escalonados de ETH no contrato do cofre do Kelp e na liquidação das posições restantes do atacante.

O Exploit de $292 milhão: Mecânica e Impacto

Em 18 de abril de 2026, os atacantes roubaram $292 milhão do Kelp DAO ao alimentar dados falsos em sua ponte para imitar uma transação real. O Kelp interrompeu novas tentativas 46 minutos depois, mas o sistema já havia liberado o primeiro 116,500 rsETH em uma única transação. A LayerZero culpou TraderTraitor, uma subunidade do Grupo Lazarus da Coreia do Norte, que estava ligado a outro hack de $285 milhão em 1 de abril de 2026. Quando somados, o Grupo Lazarus drenou mais de $575 milhão do DeFi em apenas 18 dias usando dois métodos de ataque diferentes.

Em vez de despejar os tokens roubados no mercado aberto, o atacante depositou aproximadamente 90,000 rsETH no Aave e tomou empréstimo de cerca de $190 milhão em ETH real e outros ativos, deixando o Aave com dívida ruim que o protocolo não conseguiu corrigir. O valor total bloqueado do Aave (TVL) caiu aproximadamente $13 bilhão, de $32 bilhão para US$ 20.3 bilhões, dentro de dias, e os usuários não conseguiram sacar USDC ou USDT devido à liquidez esgotada.

Prestação de Contas e Resposta Atrasada da LayerZero

A culpa pelo exploit foi atribuída tanto ao Kelp DAO quanto à LayerZero. O Kelp DAO tinha uma configuração fraca de verificador 1-of-1, tornando-o um único ponto de falha, já que apenas um verificador da LayerZero podia validar mensagens. Embora a LayerZero tenha alertado que opções com múltiplos verificadores são mais seguras, o Kelp afirmou que a configuração padrão usada era a descrita pela LayerZero.

David Schwartz, CTO Emérito da Ripple, levantou preocupações sobre a explicação da LayerZero, citando comentários anteriores do CEO da LayerZero Bryan Pellegrino de que nenhuma aplicação usava apenas a rede de validadores distribuídos (DVN) da LayerZero, chamando-os de falsos. Usuários do X reagiram de forma agressiva, com muitos rotulando a LayerZero como responsável pelo incidente e criticando a empresa por não doar ajuda imediatamente ao Aave enquanto outras entidades contribuíram com grandes cheques.

O atraso de cinco dias da LayerZero em comprometer fundos ocorreu apenas depois que o fundo de recuperação havia cruzado $300 milhão em promessas totais. A Consensys e Joe Lubin prometeram 30,000 ETH, e a Mantle fez um empréstimo de 30,000 ETH com baixa taxa de juros antes que a LayerZero agisse. Stani Kulechov (fundador) do Aave publicou no X e prometeu 5,000 ETH, enquanto o Kelp contribuiu 2,000 ETH—justo antes do compromisso da LayerZero.

DeFi United: Estrutura da Coalizão e Plano de Recuperação

A DeFi United é a coalizão de resgate formada para apoiar o Aave após os ataques. De acordo com reportagens, 14 entidades se juntaram e contribuíram com grants, depósitos e linhas de crédito para resgatar os usuários do Aave.

Promessas para a DeFi United

O plano de recuperação tem dois componentes principais. Primeiro, os apoiadores irão converter lentamente seu ETH prometido em rsETH e depositá-lo na ponte do Kelp DAO. Segundo, eles irão liquidar as posições restantes do atacante no Aave e no Compound por meio de procedimentos especiais para recuperar fundos adicionais. A Arbitrum também congelou 30,766 ETH da carteira do atacante, então a maior parte dos fundos que faltam será recuperada se a governança aprovar.

Implicações Sistêmicas para o DeFi

De acordo com a Galaxy Research, o DeFi perdeu mais de $605 milhão em apenas 20 dias em 12 ou mais protocolos. As aplicações construídas sobre a LayerZero agora devem atualizar para uma configuração mais forte com múltiplos verificadores, já que a LayerZero agora rejeita qualquer aplicação que use um verificador 1-of-1.

Enquanto o DeFi opera com princípios de que nenhum único grupo controla o sistema, o esforço de recuperação revelou dependência de poderes centralizados: a Arbitrum aprovou ações de emergência, a Circle congelou carteiras e o Aave acelerou votos de governança. A questão que permanece é se o sistema provou que consegue lidar com uma auto-recuperação, ou se ele só sobreviveu porque atores centrais entraram. A resposta depende de se os protocolos vão atualizar seus sistemas antes do próximo ataque que chegar.