Em abril de 2026, o sector das criptomoedas enfrentou o seu desafio de segurança mais grave dos últimos anos. A Kelp DAO sofreu um ataque no valor de 293 milhões $ devido a uma vulnerabilidade num bridge cross-chain, tornando-se o maior incidente de segurança do mês. A 22 de abril, o montante total roubado em abril ultrapassava os 500 milhões $. Este facto não só estabeleceu um novo recorde de perdas mensais, como também expôs riscos sistémicos no design das interações cross-chain dentro dos protocolos DeFi. Ao contrário de incidentes anteriores, mais isolados, este ataque revelou caminhos altamente interligados—uma vez comprometido um único protocolo, o risco propagou-se rapidamente a vários mercados de empréstimo e pools de liquidez de grande dimensão.
Porque é que vulnerabilidades de validadores únicos são falhas fatais nos bridges cross-chain
A raiz técnica do ataque aponta para o mecanismo de validação do bridge cross-chain. O bridge utilizado pela Kelp DAO operava com uma arquitetura de validador único, ou seja, bastava a assinatura de um único nó para confirmar mensagens cross-chain. Os atacantes obtiveram acesso à chave privada deste validador, forjaram pedidos de levantamento cross-chain e transferiram ativos bloqueados em massa para endereços externos. A análise on-chain mostra que o atacante conseguiu ultrapassar, numa só transação, tanto as verificações multi-assinatura como as restrições de time-lock. Este vetor de ataque não é novo—o risco do validador único chamou a atenção do sector já em 2022, aquando do incidente do Ronin Bridge. No entanto, o caso da Kelp DAO demonstra que alguns protocolos continuam sem adotar a descentralização dos validadores como princípio básico de segurança.
Como é que o ataque à Kelp DAO impactou mercados de empréstimo como o Aave
As reservas da Kelp DAO incluíam grandes quantidades de stETH e wstETH, que também servem como garantia em protocolos de empréstimo como o Aave. Após o ataque, os fundos roubados foram rapidamente trocados por ETH, provocando uma forte desvalorização da taxa de câmbio stETH/ETH. Os utilizadores com posições colaterais relacionadas enfrentaram risco de liquidação, e a utilização do pool de stETH no Aave ultrapassou 85% em poucas horas. Embora os mecanismos de liquidação do Aave tenham absorvido parte da dívida incobrável, o pânico de mercado levou vários grandes detentores a desfazer posições, comprimindo ainda mais a liquidez. Segundo dados de mercado da Gate, a 22 de abril de 2026, o stETH estava cotado a 3 012,50 $, com o seu spread face ao spot ETH a aumentar cerca de 0,7 pontos percentuais em relação aos níveis anteriores ao incidente.
Existe um padrão de ataque coordenado por detrás das perdas superiores a 500 milhões $ em abril?
Ao enquadrar o incidente da Kelp DAO no panorama de eventos de segurança de abril, observa-se uma série de ataques com características semelhantes. Para além da Kelp DAO, três outros protocolos DeFi de média dimensão foram atacados este mês, sofrendo perdas de aproximadamente 85 milhões $, 62 milhões $ e 41 milhões $, respetivamente. Os pontos comuns incluem: todos envolveram bridges cross-chain ou protocolos de mensagens, os atacantes exploraram vulnerabilidades nos privilégios dos validadores e os fundos roubados acabaram por fluir para o mesmo conjunto de endereços de serviços de mixer. Empresas de rastreamento on-chain notaram que os caminhos de branqueamento utilizados em vários incidentes eram altamente consistentes, sugerindo uma possível coordenação pelo mesmo grupo de atacantes. Esta estratégia de ataque concentrada representa um desafio sem precedentes para o sector.
Porque é tão difícil bloquear completamente as rotas de branqueamento dos hackers norte-coreanos?
Um relatório conjunto do FBI e de empresas de análise blockchain revelou que cerca de 70% dos fundos roubados nos ataques DeFi de abril acabaram em endereços ligados ao Lazarus Group, amplamente considerado uma organização de cibercrime patrocinada pelo Estado norte-coreano. No caso da Kelp DAO, após obterem 293 milhões $, os atacantes dividiram os fundos por mais de 50 novos endereços, fizeram o bridge para a rede Bitcoin e recorreram a serviços de mixer para uma obfuscação em múltiplas camadas. Esta rota explorou diferenças nas capacidades regulatórias e de rastreamento entre blockchains, tornando os mecanismos tradicionais de congelamento ineficazes. Embora muitas exchanges partilhem agora dados de listas negras, a migração dos atacantes para agregadores cross-chain descentralizados reduziu significativamente as taxas de interceção.
Devem ser introduzidos mecanismos obrigatórios de isolamento nas auditorias de segurança de bridges cross-chain?
As auditorias de bridges no sector concentram-se atualmente sobretudo na correção do código, raramente abordando o isolamento de risco ao nível do modelo económico. O incidente da Kelp DAO expôs um problema crítico: mesmo que o smart contract do bridge não tenha bugs, um ponto de falha único nos privilégios do validador pode resultar na perda total dos ativos bloqueados. Algumas equipas de segurança recomendam agora mecanismos obrigatórios de isolamento, como a definição de limites de risco independentes para cada transação cross-chain e a adoção de esquemas de assinatura threshold multi-validador. Outra abordagem passa por distribuir os ativos bloqueados por vários pools de seguro independentes, de modo a que a violação de um pool não comprometa todo o sistema. Embora estas soluções possam aumentar os custos de gas, são essenciais para a mitigação de riscos sistémicos.
Como podem os protocolos DeFi alcançar interoperabilidade cross-chain sem depender de bridges de terceiros?
Um dos impactos a longo prazo do incidente da Kelp DAO é a renovada atenção do sector às premissas de confiança subjacentes aos bridges cross-chain de terceiros. Mais protocolos estão a explorar soluções nativas cross-chain, como redes de validação descentralizadas (exemplo: LayerZero) ou a implementação direta em ambientes de execução multi-chain unificados. Outra via consiste em abandonar o wrapping de ativos cross-chain em favor de trocas diretas, suportadas por exchanges atómicas ou oráculos descentralizados. Embora estas abordagens possam sacrificar alguma liquidez e experiência do utilizador, eliminam o bridge como ponto único de falha. Olhando para o futuro, 2026 poderá assinalar uma mudança decisiva no DeFi, da "dependência de bridges" para arquiteturas "multi-chain nativas".
Dos 293 milhões $ aos 500 milhões $: onde está o ponto crítico para o investimento em segurança?
As perdas acumuladas em abril, superiores a 500 milhões $, já ultrapassaram o orçamento total de segurança investido pelos protocolos DeFi no mesmo período. Isto significa que, mesmo com auditorias de segurança abrangentes, os níveis atuais de investimento não são suficientes para cobrir as perdas potenciais. Do ponto de vista económico, quando o retorno esperado dos ataques supera largamente o custo da defesa, as forças de mercado por si só não conseguem dissuadir os hackers. O sector precisa não só de melhores auditorias de código, mas também de sistemas de monitorização e alerta on-chain, fundos de resposta de emergência e mercados de seguros descentralizados. Após o incidente da Kelp DAO, vários protocolos líderes anunciaram planos para aumentar o investimento em segurança de 5% para mais de 15% dos seus orçamentos anuais. Se este ajuste será suficiente para reduzir eficazmente futuras perdas dependerá da disposição do sector em investir sistematicamente para lá das camadas funcionais.
Conclusão
O ataque de 293 milhões $ à Kelp DAO e as perdas acumuladas de mais de 500 milhões $ em abril representam um momento decisivo para a segurança DeFi em 2026. A raiz técnica foi uma falha de validador único num bridge cross-chain, cujos efeitos se propagaram dos mercados de empréstimo como o Aave ao ecossistema de liquidez mais amplo. As rotas de branqueamento associadas a hackers norte-coreanos evidenciaram ainda mais os desafios do rastreamento cross-chain. O sector deve, em simultâneo, elevar os padrões de auditoria, as arquiteturas de bridges, os sistemas de monitorização e alerta e os orçamentos de segurança para conter a crescente frequência e escala dos ataques.
FAQ
Q: O ataque à Kelp DAO resultou em perdas permanentes de ativos dos utilizadores?
A: A equipa da Kelp DAO contactou empresas de segurança para rastrear os fundos roubados e planeia compensar os utilizadores afetados. A 22 de abril, a maioria dos fundos roubados ainda não foi recuperada, estando as perdas a ser cobertas conjuntamente pelo tesouro do protocolo e pelo fundo de seguro.
Q: O Aave registou dívida incobrável real devido a este incidente?
A: Os mecanismos de liquidação do Aave conseguiram gerir a maioria das posições de risco, e o protocolo não ficou insolvente. Contudo, a volatilidade de curto prazo provocada pela desvalorização do stETH levou alguns liquidadores a obter recompensas de liquidação mais elevadas, mantendo-se as operações gerais do protocolo estáveis.
Q: Como podem os utilizadores regulares mitigar os riscos associados a bridges cross-chain?
A: Recomenda-se aos utilizadores que minimizem o tempo de armazenamento de ativos de elevado valor num único bridge cross-chain, que privilegiem bridges submetidos a várias auditorias e com um número suficiente de validadores, ou que recorram a protocolos multi-chain nativos ou exchanges centralizadas para transferências cross-chain, reduzindo assim os riscos de smart contract e validador.
Q: Porque é que hackers norte-coreanos visam frequentemente protocolos DeFi?
A: Dados de rastreamento on-chain mostram que, desde 2022, o Lazarus Group já roubou mais de 2 mil milhões $ em ativos de criptomoedas. Acredita-se que estes fundos apoiam o desenvolvimento de armas da Coreia do Norte e ajudam a contornar sanções internacionais. A anonimidade e a composabilidade cross-chain do DeFi tornam-no um canal ideal para o branqueamento destes ativos.
