Esta reportagem foi atualizada para informar que “Um possível exploit envolvendo US$ 290 milhões em rsETH pode ter deixado a Aave V3 com dívida não coberta em sua reserva de WETH.” Trata-se de uma apuração em andamento e, assim que houver mais informações, atualizaremos esta matéria.
A reserva de Wrapped Ether (WETH) da Aave V3 apresenta dívida não coberta após invasores explorarem o token líquido de restaking rsETH da KelpDAO e utilizá-lo como garantia para empréstimos na plataforma.
O desenvolvedor e auditor Solidity 0xQuit alertou para o caso no X, chamando atenção dos depositantes de que o pool de WETH está comprometedido e retiradas parciais só poderão acontecer após a liquidação do déficit pela proteção Umbrella da Aave.
Como o esgotamento de rsETH gerou dívida não coberta na Aave?
O incidente teve início quando o invasor financiou carteiras usando Tornado Cash. Cerca de 116.500 rsETH foram retirados da KelpDAO, totalizando mais de US$ 290 milhões.
O responsável então forneceu esses rsETH roubados como garantia na Aave V3 e contraiu expressivo volume de WETH em empréstimos.
Como o rsETH ficou sem lastro após o ataque, as posições se tornaram impossíveis de liquidar. Isso deixou a Aave com obrigações em WETH que não podem ser recuperadas por meio dos mecanismos de liquidação tradicionais.
“Gostaria de ter melhores notícias, mas parece que o WETH na Aave está comprometido. Retire se possível, mas provavelmente já é tarde”, alertou 0xQuit, desenvolvedor e auditor Solidity.
Os mercados de rsETH na Aave V3 e na Aave V4 foram congelados. A Aave assegura que contratos não sofreram exploit, pois o episódio envolveu apenas o rsETH.
“O congelamento dos mercados de rsETH impede novos depósitos e empréstimos com rsETH como garantia enquanto o caso é avaliado. Estamos investigando os empréstimos com rsETH na Aave após o incidente… se houver dívida não coberta decorrente deste episódio, ativos Umbrella podem ser usados para compensar o déficit”, declarou a Aave em seu perfil.
O que Umbrella representa para depositantes de WETH?
O sistema Umbrella da Aave, que substituiu o antigo Safety Module no fim de 2025, foi projetado justamente para situações como essa.
Usuários que fizeram staking de aWETH no cofre Umbrella podem sofrer cortes automáticos para cobrir o déficit.
Concluído o ciclo de corte, os fornecedores remanescentes de WETH terão acesso a retiradas parciais.
No entanto, a recuperação integral não está garantida, e os depositantes devem enfrentar perdas em suas posições.
O incidente é o primeiro grande teste prático do mecanismo automatizado de cobertura de dívida não coberta do Umbrella. Também gera novos debates sobre os riscos de aceitar tokens líquidos de restaking como garantia em protocolos de empréstimo.
Enquanto isso, a equipe da Upshift, especializada em cofres não custodiais para gestão de ativos tokenizados, informou que não possui exposição a rsETH.
“Estamos em contato com a KelpDAO sobre um possível exploit de rsETH. Como medida preventiva, a equipe da Kelp decidiu pausar temporariamente depósitos e saques nos cofres High Growth ETH e Kelp Gain até a conclusão das investigações. Os cofres Upshift USDC, Core USDC e EarnAUSD não têm exposição a rsETH. Atualizaremos assim que recebermos informações da equipe Kelp”, comunicou a Upshift.
