O aviso que a própria LayerZero ignorou: como a Coreia do Norte limpou US$ 292 milhões em cripto

Em 18 de abril de 2026, um grupo ligado à Coreia do Norte drenou 116.500 rsETH, cerca de US$ 292 milhões, de uma bridge que conectava o protocolo de restaking líquido Kelp DAO a outras blockchains. O método não foi um bug de contrato inteligente. Foi a exploração de uma configuração com verificador único (1-de-1 DVN) que a própria LayerZero já recomendava não usar para ativos de alto valor.

O caso virou o maior exploit de DeFi de 2026 e hoje é processo na Justiça canadense. Para quem acompanha a infraestrutura cripto, ele é também um raio-x de como um ator estatal ataca sistemas de verificação cross-chain, e de quem paga a conta quando a arquitetura de segurança falha.

Como o ataque funcionou

Segundo o post-mortem técnico publicado pela LayerZero Labs em 20 de maio de 2026, a bridge da Kelp DAO usava um verificador único (Decentralized Verifier Network), com a própria LayerZero como único validador das mensagens entre cadeias. Essa configuração contradizia a recomendação padrão da empresa, que orienta o uso de múltiplos verificadores independentes para reduzir o risco de um ponto único de falha.

Os atacantes não romperam o protocolo da Kelp DAO. Eles comprometeram a infraestrutura de RPC — os servidores que alimentam o verificador com dados brutos das transações — substituindo o software desses nós para reportar informações falsas sobre o que estava acontecendo nas cadeias de origem. Enquanto isso, lançaram um ataque de DDoS contra os endpoints RPC não comprometidos, forçando o sistema a fazer failover para os nós já envenenados. Os dados verdadeiros continuaram sendo enviados aos serviços de monitoramento, mascarando o ataque em tempo real.

A emergência multisig da Kelp DAO pausou os contratos 46 minutos após o primeiro drenamento, o que bloqueou duas tentativas seguintes de roubo que somariam outros 40.000 rsETH, cerca de US$ 100 milhões.

A LayerZero atribuiu o ataque, com "confiança preliminar", à Lazarus Group e sua célula TraderTraitor, historicamente ligada a operações de roubo de cripto do governo norte-coreano.

O que dizem os estudos

LayerZero Labs (relatório de empresa, 2026) — análise forense interna da própria infraestrutura de mensageria cross-chain concluiu que os dois nós RPC do verificador foram comprometidos e tiveram o software substituído, em paralelo a um DDoS que forçou o failover para os nós maliciosos. A atribuição à Lazarus/TraderTraitor foi classificada pela empresa como preliminar. Limitação central: a LayerZero é parte interessada, já que está sendo processada pela Kelp DAO pela responsabilidade do design que permitiu o ataque, o que pode influenciar como ela descreve os fatos.

Chainalysis (relatório de empresa, 2026) — rastreamento on-chain assistido por IA mostra que grupos ligados à Coreia do Norte já roubaram mais de US$ 1 bilhão em criptoativos somente em 2026, incluindo US$ 387 milhões subtraídos da exchange Bitget em 24 de setembro, movimentados em três horas por Ethereum, XRP, Zcash e Tron. A metodologia usa automação para reconstruir fluxos entre pontes e protocolos de liquidez cross-chain, reduzindo de 20 horas para menos de 10 minutos a reconciliação manual de uma bridge, segundo a empresa. Limitação: a atribuição a atores estatais parte de heurísticas comportamentais e de infraestrutura, não de confirmação de inteligência governamental independente, e a Chainalysis vende serviços de compliance cripto, o que cria incentivo comercial para destacar o problema.

O contra-argumento: de quem é a culpa pelo design

A Kelp DAO, por meio da controladora Evercrest Technologies, processou a LayerZero Labs e seu CEO, Bryan Pellegrino, em 24 de setembro de 2026 na Colúmbia Britânica. A tese da Kelp DAO inverte a narrativa de "ataque estatal inevitável": segundo a ação, a configuração de verificador único era o padrão documentado da própria plataforma LayerZero, que teria revisado e aprovado por escrito a implementação da Kelp. A LayerZero contesta, dizendo que recomendou múltiplos verificadores e que a Kelp optou pelo modelo único por conta própria.

O detalhe que pesa contra a LayerZero: em maio, a empresa reconheceu publicamente ter "cometido um erro ao permitir que seu DVN atuasse como 1/1 para transações de alto valor". Ou seja, parte da falha que abriu a porta para a Lazarus Group não foi um ataque estatal imbatível, mas uma escolha de governança de infraestrutura que a própria LayerZero já admite ter sido equivocada.

O que observar

Para quem acompanha segurança de infraestrutura DeFi, o caso Kelp DAO-LayerZero é um teste de como o setor trata verificadores únicos em pontes de alto valor daqui para frente: quantos protocolos ainda usam configuração 1-de-1 e quando migram para multi-verificador. Vale acompanhar o andamento do processo na Colúmbia Britânica, que pode estabelecer precedente sobre responsabilidade de provedores de infraestrutura cross-chain. E, no quadro mais amplo, o total acumulado por grupos ligados à Coreia do Norte em 2026, já acima de US$ 1 bilhão segundo a Chainalysis, é o indicador para medir se a pressão de sanções e rastreamento on-chain está de fato encarecendo o roubo estatal de cripto ou apenas deslocando o alvo para a próxima falha de design.