Roubo de US$ 292 milhões na KelpDAO começou em nós RPC comprometidos do verificador da ponte LayerZero

A KelpDAO, protocolo de restaking que emite o token rsETH, sofreu em abril de 2026 um roubo de cerca de US$ 292 milhões, e o relatório divulgado pela LayerZero atribui o ataque ao grupo Lazarus, ligado à Coreia do Norte.

O que foi roubado

O rsETH circula entre blockchains por uma ponte construída sobre a infraestrutura da LayerZero, e o ataque movimentou 116.500 rsETH sem a queima correspondente do token na rede de origem.

Esse volume equivale a cerca de 18% do fornecimento total de rsETH, estimado em 630.000 tokens, segundo a reportagem que cita o relatório da LayerZero.

As fontes divergem sobre a data exata, e algumas indicam o sábado, 18 de abril de 2026, enquanto a Merkle Science aponta o dia 19 do mesmo mês.

Como o verificador foi enganado

Segundo a LayerZero, os atacantes identificaram os nós RPC usados pela rede verificadora descentralizada da ponte e comprometeram dois deles, trocando os binários de software.

Os demais nós limpos sofreram ataques de negação de serviço (DDoS) para forçar a troca para os nós adulterados, que passaram a responder ao verificador.

Os nós maliciosos mostravam dados falsos apenas ao verificador e pareciam normais para os demais observadores, o que dificultava a detecção pelo monitoramento.

Depois do ataque, a infraestrutura maliciosa apagou os próprios binários, registros e arquivos de configuração, o que deixa a reconstrução dependente de outras fontes.

A configuração de um único verificador

A KelpDAO usava uma configuração 1/1, com um único verificador, e a LayerZero afirma ter recomendado antes uma configuração com vários verificadores, sem que a recomendação fosse seguida.

Depois do caso, a LayerZero disse ter restaurado sua infraestrutura de verificação, começado a contatar todas as aplicações com verificador único e passado a recusar assinar mensagens de aplicações com essa configuração.

Congelamento e investigação

O Conselho de Segurança da Arbitrum congelou 30.766 ETH, avaliados em cerca de US$ 71 milhões, que estavam em um endereço do atacante na rede Arbitrum One, e esses fundos ficam bloqueados até uma decisão de governança.

Segundo a Merkle Science, o restante dos fundos continuava se movendo na rede Ethereum na época da análise.

A KelpDAO pausou os contratos do rsETH na rede principal e em várias redes de segunda camada, e disse trabalhar com auditores e especialistas na análise da causa raiz.

A LayerZero afirma ainda ter acionado autoridades de vários países e trabalhar com a Seal911 para rastrear os fundos roubados.

O que fica para a perícia

O caso mostra que a segurança de uma ponte entre blockchains depende também da infraestrutura que lê as redes, e não só do código dos contratos.

Para a perícia, a pergunta central é de onde veio a mensagem falsa, quais nós estavam na cadeia de leitura e desde quando a configuração de um único verificador estava em uso.

Enquanto a KelpDAO não publicar a análise da causa raiz feita com os auditores, a explicação técnica depende do relatório da LayerZero, que é parte interessada no caso.

Por isso, o valor de US$ 292 milhões e a atribuição ao grupo Lazarus devem ser lidos como posição das partes envolvidas, até que haja uma análise independente completa.