O ataque ao KelpDAO provocou um choque sistémico no protocolo Aave

Uma vulnerabilidade crítica na infraestrutura de ponte do protocolo KelpDAO provocou um dos choques de liquidez mais significativos da história da DeFi. O atacante explorou uma falha para gerar 116 500 tokens rsETH falsos, representando aproximadamente 18% da oferta total.

Estes ativos sem lastro, com um valor de mercado de 292 milhões de dólares, foram posteriormente depositados no protocolo Aave como garantia. Isto permitiu ao atacante obter acesso a ativos reais na forma de ETH, wETH e stablecoins, que foram imediatamente retirados do sistema.

A lógica simples de «tokens falsos por dinheiro real» desencadeou uma reação em cadeia imediata. Seguiu-se uma enorme «corrida aos bancos», à medida que os investidores se apressavam a resgatar os seus fundos antes que o sistema ficasse sem dinheiro disponível.

Grandes intervenientes institucionais, incluindo a bolsa MEXC e Justin Sun, começaram a retirar os seus ativos em pânico. Isto levou a uma saída de liquidez da Aave superior a 6 mil milhões de dólares num único dia.

Esta retirada rápida fez com que a taxa de utilização dos pools principais — ETH, USDT e USDC — disparasse para uns críticos 100%. Nessa altura, o sistema ficou efetivamente bloqueado e os utilizadores regulares perderam a capacidade de levantar os seus depósitos.

Numa tentativa de aceder pelo menos a uma parte dos seus ativos, os utilizadores recorreram em massa a uma solução alternativa de emergência dispendiosa. Começaram a pedir empréstimos contra os seus próprios depósitos congelados apenas para obter alguma forma de dinheiro líquido.

Este fenómeno resultou num aumento anómalo de 300 milhões de dólares no volume de empréstimos. Os analistas salientam que isto não foi um sinal de uma procura de crédito saudável, mas um indicador claro de uma crise em que os utilizadores estão, essencialmente, a pagar juros para aceder às suas próprias poupanças.

Devido aos limites de Loan-to-Value (LTV) fixados em aproximadamente 75%, os utilizadores só conseguiram pedir emprestado uma parte do valor dos seus ativos. Nesta fuga desesperada em busca de liquidez, tiveram de aceitar perdas imediatas que variaram entre 10% e 25%.

A paralisia sistémica espalhou-se gradualmente para outros mercados. A liquidez esgotou-se nos pools de stablecoins como DAI, GHO e USDe, que ficaram totalmente indisponíveis em vários mercados DeFi.

Embora os contratos inteligentes da Aave não tenham sido diretamente comprometidos, os efeitos secundários do ataque ao KelpDAO foram devastadores. A Aave respondeu congelando imediatamente os mercados de rsETH nas versões V3 e V4 para impedir uma maior exploração do sistema.

Todo o incidente permanece como uma lembrança dos riscos associados à interdependência dos protocolos DeFi. Uma falha num único elo pode paralisar todo um ecossistema em poucas horas, obrigando os utilizadores a pagar um preço extremamente elevado para resgatar o seu próprio capital.