Dois exploits em bridges drenaram $606M e provocaram $13B em saques. Veja como o contágio cross-chain quase quebrou o DeFi, e o que a indústria está fazendo a respeito.
Marcus Webb
Líder de Pesquisa DeFi
Abril de 2026 se tornou o pior mês do DeFi em exploits desde fevereiro de 2025. Doze hacks drenaram $606 milhões em 18 dias, desencadeando uma cascata de saques de $13 bilhões que expôs o quão profundamente interconectada a infraestrutura moderna do DeFi se tornou.
Os números são impressionantes. Em apenas 18 dias, 12 exploits separados drenaram $606 milhões de protocolos DeFi. Dois incidentes respondem por 95% do prejuízo: o hack do Drift Protocol na Solana ($285 milhões, 1 de abril) e o exploit da bridge do Kelp DAO no Ethereum ($292 milhões, 18 de abril). Juntos, eles representam 75% de todo cripto roubado em 2026.
Mas as perdas diretas contam apenas parte da história. A verdadeira crise foi o contágio: $8,45 bilhões saíram do Aave em 48 horas, o TVL do DeFi caiu 25% em relação ao pico de janeiro de $110 bilhões para cerca de $82 bilhões, e o termo "DeFi morreu" foi tendência nas redes sociais cripto por três dias consecutivos.
Este artigo detalha o que aconteceu, por que aconteceu e o que vem a seguir.
Em 1 de abril, atacantes drenaram $285 milhões do Drift Protocol, o maior DEX de futuros perpétuos da Solana com $550 milhões em TVL. O ataque levou 12 minutos para ser executado, mas três semanas de preparação.
O método não foi um bug de smart contract. Os atacantes se passaram por uma firma de trading quantitativo, construindo confiança com membros do Conselho de Segurança do Drift ao longo de semanas. Eles exploraram o recurso "durable nonces" da Solana, que permite que transações sejam pré-assinadas para execução posterior, enganando signatários legítimos para que autorizassem transações dormentes que depois seriam usadas contra o protocolo.
Uma vez no controle, os atacantes adicionaram um token fabricado sem valor como colateral em whitelist, depositaram 500 milhões de unidades dele e sacaram $285 milhões em USDC, SOL e ETH. O contágio se espalhou para mais de 20 protocolos na Solana. O Carrot Protocol pausou suas funções de mint e redeem após perder 50% do seu TVL. O Pyra Protocol desativou saques completamente.
A firma de análise blockchain Elliptic vinculou o ataque a agentes afiliados à DPRK, consistente com o padrão de exploração patrocinada por estados que se acelerou ao longo de 2025 e 2026.
Dezessete dias depois, em 18 de abril, a bridge do Kelp DAO foi explorada por $292 milhões em um tipo fundamentalmente diferente de ataque que expôs uma fraqueza sistêmica na arquitetura de bridges cross-chain.
Às 17:35 UTC, um atacante mintou 116.500 rsETH na mainnet do Ethereum, aproximadamente 18% do supply circulante do Kelp DAO, no valor de cerca de $292 milhões. Os tokens não tinham lastro. A mensagem forjada do LayerZero foi aceita porque a bridge dependia de uma única Decentralized Verifier Network (DVN) para validar transferências cross-chain.
O atacante comprometeu a infraestrutura desse único verificador, envenenando os servidores que ele usava para checar transações. Sem uma segunda camada de verificação, a bridge aceitou a mensagem fabricada como legítima e liberou rsETH sem lastro no Ethereum.
O LayerZero confirmou que o exploit teve origem em uma configuração DVN 1-de-1. A análise pós-incidente revelou que 40% dos protocolos que usam a infraestrutura do LayerZero operam com a mesma configuração de verificador único.
O jogo de culpa que se seguiu expôs uma verdade desconfortável sobre a infraestrutura DeFi. O LayerZero apontou para as escolhas de configuração do Kelp. O Kelp respondeu que o próprio guia de início rápido e os templates padrão do GitHub do LayerZero direcionavam desenvolvedores para configurações 1-de-1. Ambos têm parcialmente razão: os padrões eram inseguros, e o Kelp não os substituiu.
O LayerZero anunciou em seguida que não assinará mais mensagens para aplicações rodando configurações de verificador único, forçando uma migração em todo o protocolo para configurações multi-DVN (2/3, 3/5 ou similar).
O exploit do Kelp DAO não parou em $292 milhões. Como o rsETH era amplamente usado como colateral em todo o DeFi, os tokens sem lastro desencadearam uma falha em cascata em múltiplos protocolos.
O Aave sofreu o impacto secundário mais pesado. O protocolo de empréstimos congelou seus mercados de rsETH, mas não antes que os depositantes já tivessem começado a sacar. Em 48 horas, $8,45 bilhões em depósitos saíram do Aave, derrubando seu TVL de $26,4 bilhões para $17,9 bilhões. O próprio Aave enfrenta perdas estimadas de até $230 milhões em potencial dívida inadimplente caso o rsETH permaneça sem lastro.
| Protocolo | Impacto | Resposta |
|---|---|---|
| Aave | $8,45B em saques, $230M potencial dívida inadimplente | Congelou mercados de rsETH, proposta de governança pendente |
| Pendle | Mercados de rsETH PT/YT afetados | Pausou pares de negociação de rsETH |
| Compound | Exposição via colateral rsETH | Congelou mercados afetados |
| Euler | Exposição indireta via rsETH | Pausou depósitos |
| Ether.fi | Exposição à bridge LayerZero | Pausou bridges weETH/eETH |
O mecanismo é o contágio clássico. O rsETH era usado como colateral em dezenas de protocolos. Quando perdeu o lastro, todo protocolo que o aceitava como colateral enfrentou potencial dívida inadimplente. A resposta racional dos depositantes era sacar, mesmo de protocolos sem exposição direta, porque as interconexões eram difíceis de avaliar em tempo real.
O resultado: o TVL total do DeFi caiu para cerca de $82,4 bilhões, seu nível mais baixo em um ano e uma queda de 25% em relação aos $110 bilhões do início de 2026. O Fear and Greed Index caiu para 27.
Os exploits de abril se encaixam em um padrão bem estabelecido. Bridges cross-chain têm sido consistentemente a superfície de ataque mais perigosa do DeFi:
Bridge Wormhole explorada por $320 milhões
Bridge Ronin drenada de $625 milhões (Lazarus Group)
Bridge Orbit Chain perdeu $81 milhões
Hack da exchange Bybit, $1,5 bilhão (Lazarus Group)
Drift Protocol, $285 milhões (vinculado à DPRK)
Bridge Kelp DAO, $292 milhões (Lazarus Group)
O ataque ao Kelp DAO compartilha a causa raiz com quase todos os grandes exploits de bridges: um ponto único de falha no processo de verificação. Seja uma multisig comprometida (Ronin), uma checagem de validação ausente (Wormhole) ou uma DVN única (Kelp), o padrão é o mesmo. A segurança das bridges depende de redundância na verificação, e os protocolos repetidamente entregam soluções com redundância insuficiente.
Hackers patrocinados pelo estado norte-coreano roubaram um total estimado de $577 milhões em cripto apenas em abril de 2026, por meio dos ataques ao Drift e ao Kelp DAO. A sofisticação desses ataques está aumentando: a abordagem de engenharia social do Drift e o comprometimento de infraestrutura do Kelp exigiram semanas de preparação e profundo conhecimento técnico.
A resposta da indústria tem sido mais rápida do que em ciclos anteriores. Diversas mudanças concretas já estão em andamento.
A política obrigatória de multi-DVN do LayerZero elimina o modo de falha mais óbvio. Ao se recusar a assinar mensagens para configurações de verificador 1-de-1, o LayerZero força os 40% de integradores que atualmente operam com configurações inseguras a fazer upgrade. Esta é a mudança individual de maior impacto, embora não previna todos os vetores de ataque.
As propostas de governança do Aave estão abordando o risco estrutural de liquid restaking tokens (LRTs) como colateral. O incidente expôs que os protocolos de empréstimo DeFi tinham parâmetros de risco insuficientes para ativos LRT cujo valor depende da integridade de bridges externas.
O monitoramento em tempo real está melhorando. Empresas de segurança on-chain como Blockaid e Chainalysis publicaram análises técnicas pós-incidente em poucas horas, e diversos protocolos implementaram circuit breakers automatizados que foram acionados antes da necessidade de intervenção manual.
A pressão regulatória está crescendo. As perdas de abril adicionam urgência aos pedidos de auditorias de segurança obrigatórias para DeFi. O framework SEC-CFTC estabelecido em março de 2026 já fornece uma base jurisdicional, e o incidente do Kelp DAO dá aos reguladores um exemplo concreto de por que os padrões de segurança importam.
Dados históricos fornecem alguma base para otimismo. Após o hack do Wormhole em 2022, o TVL do DeFi caiu cerca de 15% antes de recuperar 80% da perda dentro de um mês. A leitura atual de 27 no Fear and Greed Index sugere um sentimento mais frágil, o que pode estender a recuperação além da janela típica de quatro a seis semanas.
Vários fatores apoiam uma eventual recuperação. Os contratos de restaking subjacentes no incidente do Kelp DAO não falharam. As delegações do EigenLayer permanecem intactas. O rsETH na mainnet ainda é lastreado por depósitos legítimos. O problema foi a bridge, não o protocolo de restaking em si.
Os $13 bilhões em saques do DeFi foram motivados por medo, não por insolvência real dos protocolos. A maioria dos protocolos que sofreram saques não tinha exposição direta ao rsETH. À medida que o mercado assimila essa distinção, o capital tende a retornar para protocolos com posturas de segurança mais robustas.
A métrica-chave a acompanhar é a resolução de governança do Aave. Se o protocolo conseguir gerenciar a potencial dívida inadimplente sem um evento de liquidação desordenado, a confiança deve se recuperar. Se forem necessárias medidas emergenciais ou se houver perdas adicionais, o contágio pode se aprofundar.
Para investidores navegando as consequências, três sinais importam mais:
Auditorias de configuração de bridges. Acompanhe quais protocolos migraram para configurações multi-DVN. Esses dados são publicamente verificáveis on-chain. Protocolos que se movem rapidamente sinalizam uma cultura de segurança forte.
Resultados de governança do Aave. A forma como a comunidade lida com a dívida inadimplente de rsETH define o precedente de como protocolos DeFi com receita real gerenciam eventos de cisne negro.
Estabilização do TVL. Quando os saques líquidos dos principais protocolos de empréstimo pararem, a fase movida por medo terá acabado. Os dados semanais de TVL DeFi do DefiLlama são o sinal mais claro.
Os $606 milhões em perdas diretas são dolorosos. Os $13 bilhões em saques motivados por medo são ainda mais dolorosos. Mas as mudanças estruturais, bridges com multi-verificadores obrigatórios, melhores parâmetros de risco de colateral e monitoramento em tempo real, representam progresso genuíno. A infraestrutura do DeFi está sendo testada sob estresse, e os protocolos que sobreviverem sairão mais fortes.
Aviso Legal: Este artigo é apenas para fins informativos e não constitui aconselhamento financeiro. Investimentos em criptomoedas envolvem riscos significativos. Sempre faça sua própria pesquisa e consulte um consultor financeiro qualificado antes de tomar decisões de investimento.
Análise de mercado e insights acionáveis. Sem spam, nunca.
