A Kelp DAO perdeu cerca de US$292 milhões em um ataque à sua ponte cross-chain no dia 18 de abril, o maior roubo em finanças descentralizadas de 2026. O invasor explorou uma falha no protocolo LayerZero e drenou cerca de 116,5 mil tokens rsETH. A LayerZero culpou a configuração de segurança da Kelp, que usava apenas um verificador em vez de múltiplos.

O dano se espalhou: o atacante usou os tokens roubados como garantia para pegar empréstimos na Aave, maior protocolo de empréstimos em cripto. Após a Kelp congelar o rsETH, a Aave ficou com entre US$170 milhões e US$200 milhões em dívida impagável. Mais de US$5,4 bilhões saíram da Aave em poucas horas em meio ao pânico. A LayerZero atribuiu o ataque ao grupo Lazarus, ligado à Coreia do Norte.