18 de abril de 2026 marcou um momento decisivo para a Aave — um dos principais protocolos de empréstimo, que até então nunca tinha sofrido qualquer violação de segurança nos seus contratos inteligentes — quando um ataque dirigido à ponte cross-chain da Kelp DAO deixou uma marca duradoura. O atacante criou aproximadamente 116 500 rsETH do nada, depositou-os como garantia na Aave, contraiu um empréstimo significativo em ETH real e desapareceu. O valor total bloqueado (TVL) da Aave caiu de cerca de 26,4 mil milhões $ para 18 mil milhões $ em apenas dois dias, evaporando mais de 8 mil milhões $. Simultaneamente, as taxas de juro dos empréstimos de stablecoins na Aave dispararam para 15%, e o CoinDesk Overnight Rate (CDOR), que utiliza a Aave como referência subjacente, atingiu o seu valor mais elevado desde o início de 2024.
Por um lado, o TVL caiu drasticamente e a ameaça de crédito malparado tornou-se evidente; por outro, as taxas de depósito em stablecoins aproximaram-se de um raro máximo de 14%.
Como um ataque sem tocar em contratos inteligentes abalou o maior protocolo de empréstimos DeFi
Às 17h35 (UTC) de 18 de abril de 2026, a ponte cross-chain de rsETH desenvolvida pela Kelp DAO sobre a tecnologia LayerZero foi alvo de um ataque. Em apenas 46 minutos, o atacante forjou mensagens cross-chain e libertou ilicitamente cerca de 116 500 rsETH da rede principal Ethereum, avaliados em aproximadamente 293 milhões $ à data — cerca de 18% da oferta circulante total do token.
Este incidente tornou-se, até ao momento, o maior ataque a um protocolo DeFi em 2026.
Logo após o ataque, os responsáveis e gestores de risco da Aave congelaram todas as reservas de rsETH e wrsETH em 11 mercados, definiram o LTV em zero, reduziram as taxas de WETH multi-chain e suspenderam os empréstimos em WETH. O fundador da Aave, Stani Kulechov, confirmou que os contratos inteligentes da Aave não foram comprometidos e que a lógica do protocolo permaneceu intacta.
Embora o ataque não tenha visado os contratos centrais da Aave, expôs um risco estrutural há muito subestimado na composabilidade DeFi: uma falha de configuração num protocolo externo pode propagar-se através das cadeias de garantias, desencadeando crises de liquidez e acumulação de crédito malparado em sistemas de empréstimo de grande escala como a Aave. O protocolo em si não foi violado, mas a falha de crédito de um ativo a montante afetou diretamente os pools de liquidez a jusante.
Da vulnerabilidade da ponte à contaminação sistémica
Cronologia completa dos acontecimentos:
| Hora (2026, UTC) | Evento principal |
|---|---|
| 18 de abril, 17h35 | Atacante envia mensagens cross-chain forjadas para o contrato da ponte Kelp DAO, libertando ilegalmente 116 500 rsETH |
| 6 minutos após o ataque | Atacante deposita rsETH nos mercados Aave V3 e V4 através de 8 endereços predefinidos e contrai empréstimos em WETH |
| 46 minutos após o ataque | O grupo multisig de emergência da Kelp DAO congela os componentes principais do protocolo, bloqueando com sucesso duas tentativas subsequentes de levantamento, num total de 40 000 rsETH (cerca de 100 milhões $) |
| Madrugada de 19 de abril | Responsáveis da Aave congelam todas as reservas de rsETH/wrsETH em 11 mercados e definem LTV em zero |
| 19 de abril | Segundo a DefiLlama, o TVL da Aave desce de cerca de 26,3 mil milhões $ para 18 mil milhões $, perdendo aproximadamente 8,3 mil milhões $ em dois dias |
| 20 de abril | LayerZero divulga investigação preliminar, atribuindo o ataque ao grupo Lazarus da Coreia do Norte (TraderTraitor) |
| 21 de abril | O Security Council da Arbitrum congela 30 766 ETH (cerca de 71 milhões $) envolvidos no ataque |
A rápida transmissão deste ataque aos principais pools de empréstimo da Aave esteve intimamente ligada à funcionalidade E-Mode da Aave V3, que permite empréstimos de alta eficiência. Ao utilizar rsETH como garantia em E-Mode, o atacante pôde contrair empréstimos em WETH até um rácio loan-to-value (LTV) de 93%, quase conseguindo uma troca de ativos 1:1. Embora este design otimize a eficiência de capital em condições normais, torna-se um amplificador de perdas quando a garantia perde crédito.
Escala de crédito malparado, volatilidade das taxas e fluxos de capital on-chain
Queda acentuada do TVL da Aave
Antes do incidente, o TVL da Aave situava-se em cerca de 26,4 mil milhões $. Em apenas dois dias, desceu para aproximadamente 18 mil milhões $, uma redução superior a 31%. Analistas on-chain reportaram saídas diárias de 6,6 mil milhões $ da Aave, sendo 3,3 mil milhões $ em stablecoins. Em todo o DeFi, o TVL total caiu de cerca de 99,49 mil milhões $ para 86,29 mil milhões $, uma descida de 13,2 mil milhões $.
Os pools de USDT e USDC da Aave V3 atingiram 100% de utilização, o que significa que todos os ativos disponíveis foram emprestados, impedindo temporariamente os depositantes de efetuarem levantamentos.
Estimativas duplas para a escala de crédito malparado
De acordo com um relatório da LlamaRisk, prestadora de serviços de risco à Aave, a dimensão do crédito malparado depende da forma como as perdas são alocadas:
- Cenário 1 (Proporcional global): Crédito malparado estimado em cerca de 123,7 milhões $, sendo o mercado Core Ethereum o mais afetado.
- Cenário 2 (Perdas limitadas ao L2): Crédito malparado estimado em cerca de 230,1 milhões $, com a Mantle a registar um défice de reservas WETH até 71,45% e a Arbitrum de 26,67%.
O tesouro da Aave DAO detém atualmente cerca de 181 milhões $ em ativos, cobrindo integralmente o cenário 1, mas deixando um défice de 49 milhões $ no cenário 2, o que exigiria reservas adicionais ou apoio externo.
CDOR dispara para 15%
As saídas massivas de capital fizeram com que as taxas de depósito de USDT e USDC na Aave subissem para 13,4%, enquanto as taxas de empréstimo atingiram 15%. O CoinDesk Overnight Rate (CDOR) — um índice de referência publicado pela CoinDesk Indices com base nos pools principais de stablecoins de taxa variável da Aave V3 — também disparou para o valor mais elevado desde 2024, atingindo 15%.
O CDOR foi concebido para fornecer uma taxa overnight padronizada para mercados monetários de stablecoins, suportando estratégias de cobertura de custos, fixação de rendimentos e taxas cruzadas de moedas. Normalmente, oscila entre 2% e 5%. A taxa atual de 15% é 3 a 7 vezes superior ao habitual, refletindo desequilíbrios extremos de liquidez.
Fluxos de capital — Migração estrutural da Aave para a Spark
Enquanto a Aave registou enormes saídas, outros grandes protocolos de empréstimo apresentaram tendências opostas:
- Aave: Depósitos totais caíram de 48,5 mil milhões $ para 30,7 mil milhões $ em três dias, uma saída líquida de cerca de 15,1 mil milhões $ (menos 31%).
- Morpho: Desceu de 11,7 mil milhões $ para 10,2 mil milhões $, uma saída líquida de 1,5 mil milhões $, com impacto limitado.
- Spark (SparkLend): TVL cresceu contra a tendência, subindo de 1,9 mil milhões $ para 3,2 mil milhões $, uma entrada líquida de 1,3 mil milhões $.
Estes números evidenciam perceções de risco divergentes entre os participantes de mercado. Alguns fundos institucionais que saíram da Aave migraram para plataformas consideradas alternativas mais seguras, com a Spark a emergir como a principal beneficiária.
Análise de sentimento de mercado: Como os stakeholders avaliam as perspetivas de recuperação da Aave
Avaliações dos principais analistas:
O fundador da DefiLlama, @0xngmi, delineou dois cenários. Dependendo da forma como forem tratados os 71 milhões $ em ETH congelados na Arbitrum, o crédito malparado da Aave pode variar entre 17 milhões $ e 341 milhões $. Considera que, com o tesouro do protocolo e os ajustamentos necessários, os protocolos afetados podem "recuperar totalmente".
O Managing Partner da Dragonfly, Haseeb Qureshi, afirmou: "AAVE poderá ter de absorver algum crédito malparado, mas possui ativos líquidos suficientes para reembolsar."
A Blockworks Research salientou que o incidente da Kelp expôs riscos estruturais nos pools de liquidez unificados — perdas num único pool de empréstimos podem ser "socializadas" entre todos os depositantes, conduzindo a uma subavaliação sistémica dos riscos de determinadas garantias.
Indicadores quantitativos do sentimento de mercado:
Segundo dados de mercado da Gate, a 23 de abril de 2026, o preço do token AAVE era de 91,64 $, uma descida de 1,95% em 24 horas, com um volume de negociação de 7,76 milhões $ nas últimas 24 horas. A capitalização bolsista da AAVE situava-se em 1,38 mil milhões $, a fully diluted market cap em 1,46 mil milhões $, e o rácio market cap/FDV em 94,85%. Nos últimos 7 dias, a AAVE caiu 13,81%; nos últimos 30 dias, menos 16,27%; e no último ano, menos 42,05%.
Principais pontos de discórdia:
O debate sobre as perspetivas de recuperação da Aave centra-se em três áreas principais:
Em primeiro lugar, os limites de cobertura do crédito malparado. Os otimistas acreditam que o tesouro da Aave (181 milhões $) é suficiente para cobrir os 123,7 milhões $ do cenário 1. Os pessimistas receiam que, se se concretizar o cenário 2, com perdas de 230,1 milhões $, o défice do tesouro possa obrigar os stakers de stkAAVE a absorver as perdas remanescentes.
Em segundo lugar, o horizonte de recuperação da liquidez. Alguns analistas antecipam que o bloqueio de utilização total dos pools (100%) possa durar várias semanas, durante as quais os direitos de levantamento dos depositantes ficam, na prática, "suspensos". Outros argumentam que a taxa CDOR de 15% é o regulador de mercado mais eficaz, atraindo capital em busca de rendimento.
Em terceiro lugar, a permanência da perda de quota de mercado. A Aave perdeu cerca de 15,1 mil milhões $ em depósitos em 3,5 dias, enquanto a Spark absorveu 1,3 mil milhões $. Resta saber se isto assinala uma reconfiguração estrutural do mercado de empréstimos DeFi.
Impacto na indústria: Mecânica da janela de arbitragem CDOR e perspetivas estruturais
Desagregação on-chain da lógica de arbitragem:
Com o CDOR a 15%, abre-se uma rara janela de arbitragem para detentores de stablecoins na história do DeFi. A lógica básica é a seguinte:
Depositar USDC/USDT gera um rendimento anualizado de cerca de 13,4%, enquanto os mercados financeiros tradicionais oferecem rendimentos equivalentes (como fundos do mercado monetário) de 4% a 5%. Esta diferença de 8 a 9 pontos percentuais constitui a base da arbitragem.
Contudo, os arbitradores devem avaliar três dimensões de risco fundamentais:
Em primeiro lugar, risco de bloqueio de liquidez. Os pools de stablecoins da Aave V3 estão a 100% de utilização. Novos depósitos obtêm rendimentos elevados de imediato, mas os levantamentos dependem do reembolso dos mutuários ou de novas entradas de capital. Isto significa que os arbitradores enfrentam risco de desfasamento de maturidade — o preço dos altos retornos é a imprevisibilidade do momento de saída.
Em segundo lugar, incerteza nos mecanismos de cobertura do crédito malparado. Se a Aave cobrir o crédito malparado através do módulo de segurança Umbrella ou dos fundos do tesouro, o capital dos depositantes permanece seguro. Se as perdas forem socializadas entre depositantes, as taxas elevadas atuais podem não compensar eventuais perdas de capital. Esta incerteza é o maior obstáculo à entrada de capital de arbitragem em larga escala.
Em terceiro lugar, duração das taxas elevadas. As taxas elevadas resultam de uma crise de liquidez, não da rentabilidade do protocolo. Assim que surgirem soluções para o crédito malparado ou a confiança de mercado for restaurada, as taxas de depósito podem normalizar em poucas horas. Os arbitradores devem avaliar corretamente a longevidade desta janela.
Mudanças estruturais na concorrência entre protocolos de empréstimo DeFi:
O impacto do incidente Kelp no DeFi pode ir muito além de um ataque isolado. A Blockworks Research assinalou que as enormes saídas de depósitos da Aave podem marcar a primeira verdadeira brecha no seu fosso de liquidez. Se os depositantes começarem a valorizar cada vez mais a "isolação de risco" como uma funcionalidade a pagar, os acontecimentos recentes poderão acelerar a realocação estrutural de capital entre protocolos de empréstimo.
Entretanto, espera-se que a Aave V4 seja lançada em meados de 2026, com uma arquitetura "hub-and-spoke" destinada a reforçar os mecanismos de liquidação cross-chain e os quadros de conformidade institucional. O momento do lançamento da V4, em comparação com a recuperação da crise atual, será um indicador-chave da restauração competitiva da Aave.
Conclusão
A crise enfrentada pela Aave constitui, essencialmente, um teste de stress extremo ao paradigma de composabilidade DeFi. Os contratos centrais do protocolo permaneceram intactos, mas as falhas de crédito de ativos a montante propagaram-se pelas cadeias de garantias, desencadeando uma reação em cadeia num sistema de empréstimos de vários milhares de milhões de dólares. Isto recorda ao setor que, no DeFi, a segurança de um protocolo depende não só do seu código, mas também da forma como se integra no ecossistema e desenha os seus canais de transmissão de risco.
A subida do CDOR para 15% é simultaneamente um alerta e um sinal de autorregulação do mercado. Taxas elevadas funcionam como reguladores de liquidez — penalizam o excesso de endividamento, recompensam depositantes dispostos a aceitar risco de bloqueio de liquidez e, em última instância, orientam o regresso do capital. O equilíbrio entre a resolução do crédito malparado e a restauração da confiança irá moldar a evolução da Aave e do setor de empréstimos DeFi em geral. Para os participantes de mercado, compreender toda a cadeia lógica deste evento será, a longo prazo, muito mais valioso do que perseguir oscilações de taxas de curto prazo.
