# Roubo de US$ 292 milhões na KelpDAO começou em nós RPC comprometidos do verificador da ponte LayerZero

- Publicado: 07.Nov.2026
- Assunto: Perícia digital
- Endereço: https://nexocausal.eng.br/artigos/kelpdao-292-milhoes-nos-rpc-do-verificador-layerzero/
- Fonte original: Cryptobriefing, https://cryptobriefing.com/kelpdao-exploit-layers-of-compromise/, 20.Abr.2026 (inglês)
- Marcadores: KelpDAO, LayerZero, rsETH, ataque hacker, ponte entre blockchains, Lazarus
- Como citar: NEXO CAUSAL, "Roubo de US$ 292 milhões na KelpDAO começou em nós RPC comprometidos do verificador da ponte LayerZero", 07.Nov.2026, https://nexocausal.eng.br/artigos/kelpdao-292-milhoes-nos-rpc-do-verificador-layerzero/

## O que importa

- A KelpDAO perdeu cerca de 116.500 rsETH, avaliados em US$ 292 milhões, em um ataque de abril de 2026 que a LayerZero atribui ao grupo Lazarus, ligado à Coreia do Norte.
- Segundo o relatório da LayerZero, os atacantes atingiram a infraestrutura de nós RPC que alimenta o verificador da ponte, e não apenas o token em si.

A KelpDAO, protocolo de restaking que emite o token rsETH, sofreu em abril de 2026 um roubo de cerca de US$ 292 milhões, e o relatório divulgado pela LayerZero atribui o ataque ao grupo Lazarus, ligado à Coreia do Norte.

## O que foi roubado

O rsETH circula entre blockchains por uma ponte construída sobre a infraestrutura da LayerZero, e o ataque movimentou 116.500 rsETH sem a queima correspondente do token na rede de origem.

Esse volume equivale a cerca de 18% do fornecimento total de rsETH, estimado em 630.000 tokens, segundo a reportagem que cita o relatório da LayerZero.

As fontes divergem sobre a data exata, e algumas indicam o sábado, 18 de abril de 2026, enquanto a Merkle Science aponta o dia 19 do mesmo mês.

## Como o verificador foi enganado

Segundo a LayerZero, os atacantes identificaram os nós RPC usados pela rede verificadora descentralizada da ponte e comprometeram dois deles, trocando os binários de software.

Os demais nós limpos sofreram ataques de negação de serviço (DDoS) para forçar a troca para os nós adulterados, que passaram a responder ao verificador.

Os nós maliciosos mostravam dados falsos apenas ao verificador e pareciam normais para os demais observadores, o que dificultava a detecção pelo monitoramento.

Depois do ataque, a infraestrutura maliciosa apagou os próprios binários, registros e arquivos de configuração, o que deixa a reconstrução dependente de outras fontes.

## A configuração de um único verificador

A KelpDAO usava uma configuração 1/1, com um único verificador, e a LayerZero afirma ter recomendado antes uma configuração com vários verificadores, sem que a recomendação fosse seguida.

Depois do caso, a LayerZero disse ter restaurado sua infraestrutura de verificação, começado a contatar todas as aplicações com verificador único e passado a recusar assinar mensagens de aplicações com essa configuração.

## Congelamento e investigação

O Conselho de Segurança da Arbitrum congelou 30.766 ETH, avaliados em cerca de US$ 71 milhões, que estavam em um endereço do atacante na rede Arbitrum One, e esses fundos ficam bloqueados até uma decisão de governança.

Segundo a Merkle Science, o restante dos fundos continuava se movendo na rede Ethereum na época da análise.

A KelpDAO pausou os contratos do rsETH na rede principal e em várias redes de segunda camada, e disse trabalhar com auditores e especialistas na análise da causa raiz.

A LayerZero afirma ainda ter acionado autoridades de vários países e trabalhar com a Seal911 para rastrear os fundos roubados.

## O que fica para a perícia

O caso mostra que a segurança de uma ponte entre blockchains depende também da infraestrutura que lê as redes, e não só do código dos contratos.

Para a perícia, a pergunta central é de onde veio a mensagem falsa, quais nós estavam na cadeia de leitura e desde quando a configuração de um único verificador estava em uso.

Enquanto a KelpDAO não publicar a análise da causa raiz feita com os auditores, a explicação técnica depende do relatório da LayerZero, que é parte interessada no caso.

Por isso, o valor de US$ 292 milhões e a atribuição ao grupo Lazarus devem ser lidos como posição das partes envolvidas, até que haja uma análise independente completa.