Um relatório de incidente publicado pela Llamarisk no fórum do Aave explica que um exploit de ponte mirando a rota Layerzero V2 de KelpDAO para rsETH no sábado permitiu que um atacante extraísse 116.500 rsETH do adaptador OFT da Ethereum sem que qualquer token fosse queimado na cadeia de origem. O relatório da Llamarisk observa que o incidente expôs os mercados do Aave V3 a possíveis dívidas ruins que variam de US$ 123,7 milhões a US$ 230,1 milhões, dependendo de como as perdas são alocadas.
Principais lições:
- De acordo com a Llamarisk, um atacante explorou a ponte Layerzero V2 da Kelp em 18 de abril de 2026, cunhando 116.500 rsETH sem qualquer queima correspondente.
- A Llamarisk estima dívida ruim entre US$ 123,7 milhões e US$ 230,1 milhões em 7 mercados afetados, dependendo de como a Kelp socializa as perdas.
- O tesouro do Aave DAO detém $181M em 20 de abril de 2026, e provedores de serviços já estão garantindo compromissos indicativos de recuperação junto a participantes do ecossistema.
Detalhes da Llamarisk: cenários de exploração de rsETH após o adaptador Kelp OFT ser drenado
A análise publicada pela empresa de gestão de riscos Llamarisk e coautores do provedor de serviços do Aave explicou que o ataque ocorreu às 17:35 UTC no bloco 24.908.285 da Ethereum. A rota de Unichain para Ethereum foi configurada como um caminho DVN de 1-de-1, ou seja, um único verificador poderia atestar um pacote de entrada sem qualquer ação de saída correspondente, de acordo com o relatório.
Os autores da Llamarisk disseram que o atacante forjou um pacote que foi verificado, comprometido e entregue na Ethereum, liberando 116.500 rsETH do adaptador, observa o relatório do Aave. O saldo do adaptador caiu de 116.723 rsETH para 223 rsETH em um único bloco. O atacante espalhou o rsETH roubado de uma carteira de intake por sete endereços de ramificação. Dos 116.500 rsETH recebidos, 89.567 foram depositados nos mercados do Aave V3 na Ethereum e na Arbitrum como colateral.
Essas posições foram usadas para tomar emprestado aproximadamente 82.650 WETH e 821 wstETH, com fatores de saúde se estabelecendo entre 1,01 e 1,03. Todos os sete endereços do atacante permanecem ativos no Aave no momento da publicação.
Provedores de serviços do Aave coautoriaam o relatório completo de incidente da Llamarisk e confirmaram que os próprios contratos inteligentes do Aave não foram comprometidos. Toda a lógica do protocolo, incluindo mecanismos de fornecimento, repagamento e liquidação, continuou funcionando conforme projetado durante o evento.
O Protocol Guardian começou a congelar todas as reservas de rsETH e wrsETH em todas as implantações do Aave V3 por volta das 19:00 UTC em 18 de abril. A ação definiu LTV para zero e desativou novo fornecimento e empréstimo, mantendo as posições existentes elegíveis para repagamento e liquidação. Onze mercados em Ethereum, Arbitrum, Avalanche, Base, Ink, Linea, Mantle, MegaETH, Plasma e Zksync foram afetados, segundo a análise do fórum do Aave.
O relatório diz que o Risk Steward ajustou os modelos de taxa de juros do WETH na Arbitrum, Base, Mantle e Linea por volta das 14:30 UTC de 19 de abril, reduzindo a Slope 2 para 1,50% e cortando a taxa de empréstimo na utilização de 100% de entre 8,5% e 10,5% para 3,0% ao ano (APR). Um ajuste correspondente foi aplicado ao Core por volta das 05:00 UTC em 20 de abril, com Slope 1 em 2%, Slope 2 em 3% e utilização ótima em 94%.
O Protocol Guardian também congelou WETH no Core, Prime, Arbitrum, Base, Mantle e Linea por volta das 02:00 UTC em 20 de abril para impedir novos empréstimos e conter o estresse potencial de se espalhar para reservas de stablecoin.
Os 2 cenários
Os dois cenários modelados pela análise da Llamarisk refletem como a decisão de alocação de perdas da Kelp determinará a exposição final do protocolo. O Cenário 1 assume socialização uniforme dos 112.204 rsETH sem lastro em todo o fornecimento de rsETH, produzindo um deságio (depeg) de 15,12% e uma estimativa de US$ 123,7 milhões em dívida ruim, com o Ethereum Core absorvendo US$ 91,8 milhões em termos absolutos e Mantle enfrentando falta de reserva de WETH de 9,54%.
O Cenário 2 trata a perda como isolada apenas ao rsETH de L2, aplicando um haircut de 73,54% ao colateral em cadeias remotas enquanto mantém o rsETH do mainnet Ethereum totalmente intacto, gerando uma estimativa de US$ 230,1 milhões em dívida ruim concentrada em Mantle com falta de WETH de 71,45% e na Arbitrum em 26,67%.
O saldo atual do adaptador é de 40.373 rsETH, o único lastro confirmado para todo o rsETH das cadeias remotas em cada rota de L2, contra reivindicações remotas totais de 152.577 rsETH. A Kelp não confirmou publicamente como os fundos recuperados serão alocados.
Em 20 de abril de 2026, o relatório disse que o tesouro do Aave DAO detém US$ 181 milhões em ativos, incluindo US$ 62 milhões em participações correlacionadas à Ethereum, US$ 54 milhões em AAVE e US$ 52 milhões em stablecoins. A DAO gerou US$ 145 milhões em receita durante 2025 e US$ 38 milhões no acumulado de 2026 até o momento. A Llamarisk confirmou que vários compromissos indicativos de participantes do ecossistema já estão em vigor para endereçar cenários potenciais de dívida ruim.
As reservas de WETH na Ethereum, Arbitrum, Base, Linea e Mantle estão em 100% de utilização, com saldos ociosos abaixo de US$ 20 em cada cadeia. Na utilização total, liquidadores recebem aWETH em vez de WETH subjacente, o que reduz a capacidade de liquidação.
O relatório da Llamarisk destacou Base e Arbitrum como os mercados menos protegidos, com as primeiras liquidações disparadas por quedas no preço do WETH de 0,77% e 1,77%, respectivamente, devido a posições operando com fatores de saúde em torno de 1,03.
A Llamarisk recomendou uma pausa imediata no módulo de staking de WETH Umbrella sob o Cenário 1. No momento da publicação do relatório, 18.922 de 23.507 aWETH apostados haviam entrado no período de cooldown para desestacamento.
Uma pausa bloquearia depósitos, retiradas, transferências e slashing, mantendo ativa a distribuição de recompensas. Os quatro mercados listados com rsETH restantes, Ethereum Lido, MegaETH, Plasma e Zksync, têm saldos triviais e nenhuma dívida ruim. Doze mercados adicionais do Aave V3 não listam rsETH e não são afetados.
