A Aave afirma que as operações voltaram ao normal, já que uma reserva de US$ 300 milhões substituiu os ativos esgotados

A anatomia da exploração

A Aave, pioneira em finanças descentralizadas (DeFi), restaurou com sucesso a liquidez total de seus pools de empréstimos, encerrando um esforço agressivo de estabilização de várias semanas após uma exploração entre cadeias de US$ 300 milhões que ameaçou as reservas de caixa do protocolo, anunciaram os desenvolvedores em 1º de junho.

A Aave afirmou em sua análise pós-incidente que, ao mobilizar um fundo de resgate de US$ 300 milhões em todo o setor e obter uma ordem judicial federal de emergência, conseguiu repor os ativos drenados, proteger os depositantes contra perdas e restaurar as operações normais de empréstimo e financiamento em todo o protocolo.

A divulgação da análise pós-incidente ocorreu mais de um mês depois que um invasor explorou uma ponte de terceiros operada pela Kelp e pela Layerzero. Ao fabricar mensagens entre cadeias, o hacker cunhou 116.500 tokens rsETH falsificados e os depositou na plataforma V3 da Aave como garantia.

O invasor imediatamente usou o rsETH falso como garantia para desviar ativos de alta liquidez, tomando emprestado 82.650 wrapped ethereum (WETH) e 821 wrapped staked ethereum (wstETH). A retirada em massa repentina enfraqueceu estruturalmente os principais pools de liquidez da Aave, forçando os gestores de risco a congelar os mercados afetados para evitar uma corrida em cascata ao capital da plataforma.

Para tapar o buraco, a Aave Labs ajudou a mobilizar uma coalizão de emergência dos principais participantes do setor, incluindo Lido, Ether.fi, Ethena e Compound. Juntos, o grupo estruturou um fundo de recuperação de US$ 300 milhões. Essa injeção de capital efetivamente respaldou os ativos rsETH comprometidos, garantindo que cada dólar dos depósitos dos usuários permanecesse totalmente garantido por reservas autênticas.

Descongelamento do capital

No entanto, o caminho para restaurar a liquidez enfrentou um obstáculo legal em 1º de maio, quando credores judiciais em um caso federal não relacionado interceptaram o processo de recuperação. Os credores obtiveram uma ordem de restrição que congelou aproximadamente US$ 71 milhões em ethereum que haviam sido recuperados do invasor e estavam destinados a reabastecer os pools da Aave.

A Aave respondeu entrando com uma moção de emergência no tribunal federal dos EUA em 4 de maio e, quatro dias depois, um juiz concedeu uma modificação crucial ao congelamento, permitindo a transferência imediata dos US$ 71 milhões de volta para a custódia direta da Aave. Esse avanço jurídico permitiu que os desenvolvedores redirecionassem instantaneamente os fundos de volta para os pools de empréstimo ativos do protocolo, restaurando a profundidade de liquidez necessária para operações de mercado seguras.

Com as reservas de capital totalmente repostas e os parâmetros de mercado pré-exploração restaurados, a Aave está reformulando sua arquitetura de risco para isolar sua liquidez de futuras falhas sistêmicas de terceiros.

Para impedir que futuros invasores convertam tokens explorados em ativos líquidos do protocolo, os desenvolvedores da Aave executaram 295 atualizações individuais de parâmetros, reduzindo drasticamente os limites de empréstimo e oferta em 168 pools de ativos distintos.
Além disso, o protocolo está implementando um disjuntor automatizado LTV0 (loan-to-value zero). Daqui em diante, se a infraestrutura cross-chain subjacente de qualquer ativo sofrer uma violação de segurança, o sistema retirará instantaneamente o valor de garantia desse ativo. Isso garante que tokens comprometidos não possam mais ser usados para tomar empréstimos ou drenar liquidez autêntica dos mercados da Aave.