A Aave diz que as operações voltaram ao normal à medida que o $300M , backstop, substitui os ativos drenados

O protocolo de finanças descentralizadas Aave recentemente revelou que recuperou totalmente a liquidez de seus pools de empréstimos após um exploit cross-chain de US$ 300 milhões.

A anatomia do exploit

O pioneiro em finanças descentralizadas (DeFi) Aave restaurou com sucesso a liquidez total de seus pools de empréstimos, encerrando um esforço agressivo de estabilização de múltiplas semanas após um exploit cross-chain de US$ 300 milhões que ameaçou as reservas do protocolo, disseram os desenvolvedores em 1º de junho.

Aave afirmou em seu post-mortem que, ao mobilizar um fundo de resgate de US$ 300 milhões do setor e obter uma ordem judicial federal emergencial, conseguiu substituir os ativos drenados, proteger os depositantes contra perdas e restaurar as operações normais de tomar e emprestar em todo o protocolo.

A divulgação do post-mortem ocorreu mais de um mês depois que um atacante explorou uma ponte de terceiros operada pela Kelp e pela Layerzero. Ao fabricar mensagens cross-chain, o hacker cunhou 116.500 tokens rsETH contrafeitos e os depositou na plataforma V3 do Aave como colateral.

O atacante usou imediatamente o rsETH falso como colateral para desviar ativos altamente líquidos, tomando empréstimo de 82.650 ethereum embrulhado (WETH) e 821 staked ethereum embrulhado (wstETH). A retirada em massa repentina enfraqueceu estruturalmente os pools centrais de liquidez do Aave, forçando os gestores de risco a congelarem os mercados afetados para impedir uma corrida em cascata sobre o capital da plataforma.

Para tapar a “fenda”, a Aave Labs ajudou a mobilizar uma coalizão emergencial de grandes agentes do setor, incluindo Lido, Ether.fi, Ethena e Compound. Juntos, o grupo estruturou um fundo de recuperação de US$ 300 milhões. Essa injeção de capital deu suporte efetivo aos ativos rsETH comprometidos, garantindo que cada dólar dos depósitos dos usuários permanecesse totalmente lastreado por reservas autênticas.

Descongelando o capital

No entanto, o caminho para restaurar a liquidez enfrentou um obstáculo legal em 1º de maio, quando credores judiciais em um processo federal não relacionado interceptaram o processo de recuperação. Os credores obtiveram um aviso de restrição que congelou aproximadamente US$ 71 milhões em ethereum que haviam sido recuperados do atacante e estavam destinados a reabastecer os pools do Aave.

Aave respondeu protocolando um pedido emergencial na Justiça federal dos EUA em 4 de maio e, quatro dias depois, um juiz concedeu uma modificação crucial do congelamento, permitindo a transferência imediata dos US$ 71 milhões de volta para a custódia direta do Aave. Essa virada jurídica permitiu que os desenvolvedores direcionassem instantaneamente os recursos de volta para os pools ativos de empréstimos do protocolo, restaurando a profundidade de liquidez necessária para operações seguras de mercado.

Com as reservas de capital totalmente recompostas e os parâmetros de mercado anteriores ao exploit restabelecidos, o Aave está reformulando sua arquitetura de risco para isolar sua liquidez de futuras falhas sistêmicas de terceiros.

Para evitar que atacantes futuros convertam tokens explorados em ativos líquidos do protocolo, os desenvolvedores do Aave executaram 295 atualizações individuais de parâmetros, reduzindo fortemente os limites de captação e de fornecimento em 168 pools distintos de ativos.

Além disso, o protocolo está implementando um circuito “LTV0” (loan-to-value zero) automatizado. A partir de agora, se qualquer infraestrutura cross-chain subjacente a um ativo sofrer uma violação de segurança, o sistema removerá instantaneamente desse ativo o valor do seu colateral. Isso garante que tokens comprometidos não possam mais ser usados para contrair empréstimos ou drenar liquidez autêntica dos mercados do Aave.