Aave reformula padrões de listagem após exploração de $230 milhões em rsETH expor riscos na ponte
Um comunicado oficial pós-incidente rastreou a exploração a uma falha de verificação na ponte LayerZero e delineou uma revisão abrangente dos padrões de listagem de ativos da Aave, à medida que os riscos no DeFi se deslocam além dos bugs em contratos inteligentes.
- Aave afirmou que a exploração recorde de rsETH em 2026 decorreu de uma falha na ponte KelpDAO, que utiliza o LayerZero, e não de um erro nos próprios contratos inteligentes da Aave, o que motivou uma revisão abrangente de todos os ativos da V3 e dos critérios de listagem.
- Em seu relatório pós-incidente, a Aave detalhou como atacantes abusaram de um único verificador LayerZero para forjar uma mensagem cross-chain e cunhar 116.500 rsETH não lastreados na Ethereum, expondo riscos ocultos em pontes e outras infraestruturas off-chain.
- Aave planeja reformular sua estrutura de risco para examinar pontes, oráculos, custodians e segurança operacional, adicionar defesas automatizadas que possam instantaneamente retirar o poder de empréstimo do colateral, e já realizou centenas de alterações de parâmetros para reduzir a exposição.
O mais caro Ataque DeFi de 2026 começou com a ponte do ether restacado (rsETH) da KelpDAO, não com um erro no código da Aave. Isso, argumenta o protocolo de empréstimos em um postmortem oficial publicado esta semana, é exatamente por isso que a indústria precisa repensar a forma como mede o risco.
Aave anunciou que está iniciando uma revisão de todos os ativos listados na V3 e reescrevendo seus padrões de listagem após a exploração de US$ 230 milhões em ETH restaked em abril, que expôs uma nova classe de risco no DeFi.
O postmortem do protocolo atribuiu o ataque não a uma falha nos contratos inteligentes da Aave, mas a uma falha na verificação da ponte LayerZero, onde um único verificador aprovou uma mensagem forjada entre cadeias que liberou 116.500 rsETH sem lastro.
No futuro, a Aave afirma que as avaliações de garantias considerarão pontes, dependências de oráculos, custodiante e segurança operacional, juntamente com os riscos financeiros e de contratos inteligentes que tradicionalmente têm sido analisados.
KelpDAO é um serviço de "restaking", que permite aos usuários utilizar seu ether já bloqueado no Ethereum para ganhar recompensas de staking e reutilizá-lo como garantia para obter rendimento adicional de outros protocolos. O token rsETH representa a reivindicação do usuário sobre esse ether restacado. Para mover o rsETH entre blockchains, a KelpDAO usa o LayerZero, uma peça de infraestrutura conhecida como ponte cross-chain que transmite mensagens entre redes, permitindo que um token emitido em uma cadeia possa aparecer em outra.
As pontes dependem de um conjunto de verificadores independentes que confirmam se cada mensagem é autêntica antes que a cadeia receptora libere os tokens equivalentes.
No ataque de abril, apenas um desses validadores aprovou uma mensagem falsa, o que permitiu ao atacante cunhar 116.500 rsETH na cadeia receptora sem ter qualquer ether real como lastro.
Esses tokens foram então depositados na Aave, um protocolo de empréstimos onde os usuários tomam empréstimos contra garantias que fornecem, e foram usados para contrair empréstimos que a Aave não conseguiu recuperar uma vez que o rsETH foi revelado como sem valor. O próprio código da Aave funcionou exatamente como projetado. A garantia que aceitou acabou sendo falsa porque a ponte que a entregou foi comprometida.
Enquanto a LayerZero reconheceu no início deste mês que ela "cometeu um erro" ao permitir que seu próprio sistema de verificação assegure ativos de alto valor em uma configuração única, o postmortem da Aave vai além ao usar o incidente para justificar uma reformulação mais ampla da gestão de riscos no DeFi.
O protocolo argumenta que as análises tradicionais focadas em volatilidade, liquidez e auditorias de contratos inteligentes não conseguiram captar os riscos criados por pontes, redes de verificação e outras infraestruturas que estão fora do código do aplicativo.
Além das auditorias de contratos inteligentes e da análise de risco financeiro, a Aave afirmou que agora avaliará a infraestrutura de pontes, dependências de oráculos, contratos de terceiros, acordos de custódia, práticas de segurança operacional e liquidez no mercado secundário antes de aprovar ou expandir as listagens de garantias.
O protocolo também está desenvolvendo novas defesas automatizadas, projetadas para reagir mais rapidamente quando os ativos colaterais apresentarem sinais de estresse. Entre as propostas destacadas no post-mortem está um sistema que reduziria automaticamente a relação empréstimo-valor de um ativo a zero assim que os limites de risco pré-definidos forem ultrapassados, removendo seu poder de empréstimo antes que perdas possam se espalhar pelo mercado mais amplo.
Desde o exploit, a Aave afirma que seus gerentes de risco já executaram aproximadamente 295 alterações nos parâmetros dos mercados V3, incluindo 168 reduções no limite de fornecimento e 66 reduções no limite de empréstimo, com o objetivo de limitar a exposição a ativos individuais.
À medida que os protocolos DeFi se tornam mais interconectados, o postmortem da Aave sugere que a indústria pode precisar examinar não apenas os ativos que lista, mas também a infraestrutura da qual esses ativos dependem
- 1
- 2
- 3
- 4
- 5
- 6
- 7
- 8
- 9
- 10
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Por que é importante:
Diversified RWA stablecoins sustain 5-7% yield from real credit as crypto funding compresses to ~4%. GENIUS pushes yield off-chain; TAM grows to $4B in 3 years.
Bitcoin se aproxima de US$ 81.000 antes da decisão do Fed enquanto ZEC sobe 8%
A receita de criptomoedas da Robinhood caiu 55% em relação ao ano passado, mas superou as previsões do mercado
