Criptomoedas, Hacks DeFi Aumentam em Abril – Exploração de Contrato Yearn, Drenagem de Bot MEV, Atualizações de Resgate da Euler e Sushi

PeckShield informou na manhã de quinta‑feira que o protocolo de mercado monetário não custodial Aave e a plataforma de yield farming DeFi Yearn Finance foram impactados por uma exploração. A equipe de segurança da blockchain postulou que um yUSDT configurado incorretamente resultou no comprometimento, permitindo que o agente malicioso cunhasse uma quantidade considerável de yUSDT a partir de USDT de $10 K.

Yearn Finance envolvida no mais recente incidente de hack DeFi

Avaliação inicial avaliação compartilhada pela PeckShield indicou que o indivíduo/equipe que explorou a vulnerabilidade “mal configurada” para mintagem infinita sacou até US$ 11 milhões em tokens Dai (DAI), Tether (USDT), USD Coin (USDC), Binance USD (BUSD) e Tru USD (TUSD). Uma atualização em tweet do líder de integrações da Aave, Marc Zeller, confirmou o incidente, esclarecendo que apenas a versão 1 do protocolo, congelada desde dezembro de 2022, foi afetada. A equipe da Yearn Finance também notificou os usuários de que estava ciente do incidente em um post separado.

“Estamos investigando um problema com o iearn, um contrato desatualizado anterior aos Vaults v1 e v2. Esse problema parece exclusivo ao iearn e não afeta os contratos ou protocolos atuais da Yearn. O iearn é um contrato imutável que antecede o YFI, foi descontinuado em 2020. Os Vaults v1, com estratégias atualizáveis, também foram descontinuados em 2021. Não há indicação de que estejam afetados. A versão atual v2 dos Vaults permanece igualmente não afetada.”

Notavelmente, a exploração de flash loan resultou em um resultado inesperado – o reembolso do USDT de usuários da Aave, com registros on‑chain mostrando que várias entidades de segurança como Otter Sec e outras equipes associadas à Aave ajudaram a decompor o ataque. A plataforma de monitoramento DeFi Nansen observou que o ator enviou o saque para três endereços. Dados on‑chain mostram que o explorador depositou 1 000 moedas ETH, representando uma parte significativa dos tokens roubados, no Tornado Cash, possivelmente para encobrir seus rastros. Uma segunda carteira recebeu mais de 4,7 milhões de DAI e 2,5 milhões de USDC. A exploração na plataforma de empréstimos Yearn Finance segue uma série de incidentes semelhantes relatados no espaço de finanças descentralizadas (DeFi) até agora neste ano.

Hackers e golpistas lesaram investidores em US$ 452 M no 1º trimestre, com taxa de recuperação de 29 %

O provedor de dados blockchain Chainalysis relatou anteriormente que hacks no nicho DeFi representaram 82 % das perdas de US$ 3,8 bilhões no setor cripto ao longo de 2022. Em uma atualização recente sobre o mesmo tema, o provedor de antivírus e aplicativos De.Fi observou que cibercriminosos saquearam US$ 452 milhões no trimestre recém‑concluído. Embora massivo, esse valor representa uma queda significativa em relação à perda de US$ 1,3 bilhão no mesmo período do ano passado. O relatório também destacou que quase metade das perdas do 1º trimestre ocorreu nas três primeiras semanas de março, com o ataque de flash loan à Euler Finance em 13 de março resultando na maior perda do trimestre – US$ 197 milhões.
O duo de plataformas blockchain BonqDAO e AllianceBlock sofreu um hack de contrato inteligente no início de fevereiro, perdendo US$ 120 milhões. Enquanto isso, o suposto golpe de US$ 45 milhões contra investidores da CoinDeal, o ataque de phishing de US$ 16,5 milhões do Monkey Drainer e um ataque de flash loan de US$ 8,5 milhões à Platypus Finance completaram a lista dos cinco principais exploits do trimestre.

Brechas visam novatos com FOMO

Em termos de prevalência, exploits de contratos inteligentes foram o tipo de ataque mais comum, contabilizando 17 incidentes, seguidos por oito casos de rug pull. Exploits de flash loan permaneceram frequentes, contribuindo para uma perda de US$ 200 milhões no período mencionado. A De.Fi também estimou que, quanto aos vetores de ataque, os tokens eram a escolha preferida dos agentes maliciosos – são simples de lançar e exploram a vulnerabilidade de novatos que temem perder oportunidades.
Empréstimos e empréstimos foram alvos principais, de modo que, embora representassem apenas cinco incidentes, suas perdas líquidas totalizaram US$ 336 milhões. O BNB foi a maior vítima entre as cadeias, sendo alvo em 18 ataques. Em termos de recuperações, US$ 130 milhões dos fundos roubados foram devolvidos às vítimas, mas ainda assim representou uma queda na taxa de recuperação vista no mesmo período do ano passado, 40 % dos US$ 1,29 bilhão.

Exploração relacionada a bug da SafeMoon

Em um incidente isolado, a plataforma SafeMoon teria sido comprometida em 29 de março por meio de uma função pública de queima incluída em uma atualização recentemente lançada. O suposto atacante capitalizou essa brecha de bug para roubar até 27 000 moedas BNB do pool de liquidez SFM WBNB comprometido. O explorador deixou a mensagem, “Ei, relaxem, nós acidentalmente frontrunamos um ataque contra vocês, gostaríamos de devolver os fundos, abrir um canal de comunicação seguro, vamos conversar.” A SafeMoon twittou na semana passada que as negociações haviam sido retomadas em sua plataforma.

A atualização de 5 de abril também descreveu alguns refinamentos de tokenomics e informou que uma interface SWaP atualizada havia sido implantada.

“Continuamos trabalhando na recuperação dos fundos do LP […] Fizemos grande progresso e continuamos trabalhando arduamente para voltar ao normal para todos os nossos usuários,” disse a SafeMoon na comunicação mais recente desta semana.

Brechas de segurança DeFi em abril

No início deste mês, a ponte multichain Allbridge sofreu um ataque em 2 de abril. O hacker usou técnicas de provisão de liquidez e swap para inflar o preço do pool e roubar fundos. Isso foi possível pois ele manipulou o preço de swap dos pools da BNB Chain da Allbridge atuando simultaneamente como provedor de liquidez e swapper.

Protocolo cross‑chain Allbridge explorado

O auditor de contratos inteligentes CertiK relatou que o protocolo cross‑chain perdeu até US$ 549.874. Por outro lado, a empresa de segurança blockchain PeckShield estimou que um total de US$ 573.000 foi explorado – US$ 282.889 em BUSD e US$ 290.868 em USDT. Na época, a Allbridge afirmou que estava trabalhando com parceiros e comunidade para rastrear o hacker nas redes sociais e garantir que ele fosse responsabilizado. O protocolo ofereceu ao hacker uma recompensa e imunidade legal caso ele se apresentasse como white hat – para incentivá‑lo a devolver os fundos roubados.

1.500 BNB devolvidos

Parece que o hacker aceitou a opção e devolveu 1.500 BNB (US$ 465.000), que foram convertidos em BUSD para ajudar a liquidar os indivíduos afetados, enquanto o restante do dinheiro roubado ficou como recompensa de white hat. A equipe da Allbridge também observou que um segundo atacante usou a mesma técnica para drenar fundos e ainda não entrou em contato para discutir a liquidação – a Allbridge compartilhou o endereço de carteira desse suposto explorador, com saldo de 0,97 BNB, equivalente a US$ 302,5. Na terça‑feira, a Allbridge compartilhou em um tweet que havia concluído a primeira rodada de pagamentos de recuperação para o lote de submissões registradas até 9 de abril, ao mesmo tempo que incentivava aqueles com questões pendentes a seguir o processo de compensação do exploit.

O desdobramento do exploit da SushiSwap

Em um incidente diferente, a empresa de segurança e inteligência blockchain PeckShield relatou no início de domingo que a SushiSwap foi explorada, com um indivíduo, usuário do Twitter oxSifu, perdendo cerca de US$ 3,3 milhões. A empresa de segurança e o Head Chef da SushiSwap, Jared Grey, pediram aos afetados que revogassem em todas as cadeias. Além disso, o ataque aparentemente afetou pessoas que usaram a DEX nos últimos quatro dias. O exploit afetou o contrato “RouterProcessor2” da SushiSwap, que facilita o roteamento de trades. Segundo a PeckShield, o bug estava relacionado ao mecanismo “approve”.

‘Bug relacionado a approve deixa alguns usuários da SushiSwap em déficit’

Usuários que aprovaram esse contrato defeituoso inadvertidamente permitiram que o explorador retirasse tokens dos usuários sem receber aprovação do proprietário – ou “yoink” eles, como se diz. De acordo com Brad Kay, analista da The Block Research, o atacante inicial, aparentemente um hacker white hat, utilizou a função “yoink” para explorar o contrato router da SushiSwap por 100 ETH, após o que um segundo indivíduo aproveitou o mesmo contrato para roubar aproximadamente 1.800 ETH, desta vez usando a função “notyoink”.

Esforços de recuperação

Grey confirmou em uma atualização que mais de 300 ETH dos ativos perdidos de oxSifu foram recuperados, com planos de recuperar mais de 700 ETH. O CTO da SushiSwap, Matthew Lilley, também atualizou que várias iniciativas de resgate continuam e pediu aos usuários que verifiquem duas vezes suas aprovações e escaneiem para desautorizar quaisquer endereços maliciosos possivelmente permitidos para quaisquer de seus tokens. No entanto, ele assegurou que o Sushi Protocol está seguro para uso, pois a exposição ao RouterProcessor2 foi desativada no front‑end, garantindo que a atividade de provedores de liquidez e swaps esteja segura.

Vítimas foram integralmente ressarcidas

O chefe da Sushi disse no Discord que a equipe pretende lançar um site de reivindicações para tokens vestidos no contrato Merkle Distributor do protocolo. O site permanecerá ativo até a data de expiração das reivindicações em 23 de abril, após a qual os tokens SUSHI não reclamados serão enviados ao tesouro da SushiSwap. Em uma atualização posterior compartilhada na quarta‑feira, a exchange descentralizada baseada em Ethereum indicou que planeja devolver os reclamantes afetados.“Se seus fundos estiverem no contrato whitehat contrato, então isso significa que especialistas em segurança coletaram seus fundos, eles estão seguros e serão reivindicáveis em breve. Se seus fundos não residirem no contrato whitehat, você deve enviar um e‑mail ou abrir um ticket em nosso Discord e incluir: o(s) ID(s) da transação e os dados da blockchain para os fundos perdidos. Fundos blackhat levarão mais tempo para serem processados, pois a equipe terá que verificar manualmente a legitimidade contra os dados on‑chain que validam a reivindicação e então pagarão de acordo,” twittou a SushiSwap.

Ataque de bot MEV na Ethereum

Em outro incidente, um validador desonesto fugiu com US$ 25 milhões após um exploit de bot MEV na Ethereum em 3 de abril. Vários bots de valor máximo extraível (MEV) da Ethereum, que ajudam arbitradores e traders a otimizar oportunidades de lucro, foram vítimas de um ataque complexo que resultou na perda de US$ 25 milhões para um validador desonesto.

Aqui está o que aconteceu

A CertiK explicou que oito transações MEV foram alvejadas, pois estavam executando trades sanduíche – que envolvem identificar traders tentando adquirir tokens e interpor-se entre a trade para obter lucro. Com todos esses eventos ocorrendo dentro de um único bloco Ethereum – 6964664, a CertiK observou que os trades sanduíche começaram com poucos tokens e, quando estavam trocando milhões, o validador desonesto substituía as transações reversas.

Um total de US$ 25,39 milhões caiu em mãos erradas, com detalhamento publicado pela empresa de segurança mostrando – 64,9 WBTC, 7.460,8 WETH, 5.297.649,9 USDC, 3.027.396 USDT e 1.698.384 DAI. No momento da escrita, os fundos permanecem majoritariamente em três carteiras. A CertiK qualificou-o como um dos maiores exploits de bots MEV já vistos, sendo o último grande hack desse tipo em setembro 2022, quando 800 ETH em ganhos de arbitragem MEV foram roubados devido a uma vulnerabilidade de bot.

Ao mesmo tempo, o auditor de blockchain OtterSec qualificou o ataque como planejado, dado que o atacante havia pré‑carregado sua carteira mais de duas semanas antes. A CertiK determinou que os bots não identificaram o validador de nó como malicioso e atribuiu a fraqueza explorada à centralização de poder entre validadores.

Flashbots implementou correção de recurso

A Flashbots, criadora do principal programa MEV da Ethereum, MEV‑Boost, tomou medidas para impedir que problemas semelhantes ocorram novamente. A equipe implementou um novo recurso que exige que relayers (que servem como intermediários confiáveis entre construtores de blocos e validadores) assinem um bloco e o publiquem na Beacon Chain antes de ser passado ao proponente. Essa etapa, antes ausente, agora pode ajudar a reduzir as chances de um proponente desviar do conteúdo recebido de um relay. Além disso, a CertiK informou ao CoinTelegraph que outros buscadores de MEV podem ficar relutantes em adotar estratégias não atômicas, incluindo trades sanduíche, pois parecem ser o alvo principal.

Listas negras da Tether vinculadas a um exploit MEV

Esta semana, a emissora de stablecoin Tether escreveu em um tweet de 10 de abril que bloqueou o endereço ‘Sandwich the Ripper’ associado ao recente exploit MEV. O endereço da Tether continha US$ 3 milhões em USDT, que não podem mais ser movimentados. O explorador possui uma soma maior do saque, incluindo US$ 14,3 milhões em Wrapped Ethereum (WETH) e mais de US$ 3,6 milhões em outros ativos.
A Tether parece ter agido em bons interesses e em bases razoáveis. No entanto, a decisão foi criticada por setores que acreditam que a medida cria um “precedente ruim” no espaço cripto. As ações de bloqueio da Tether poderiam ser interpretadas como censura de transações, implicando uma autoridade centralizada por parte da emissora da stablecoin. Os críticos apontaram preocupações sobre o potencial abuso de poder e as implicações para o nicho DeFi.

Euler abre resgates após negociar devolução de todos os fundos roubados

A Euler Finance informou esta semana que recebeu a última tranche de reembolsos após negociações sobre US$ 197 milhões em cripto roubados no mês passado. O protocolo afirmou que todos os fundos recuperáveis foram restaurados, encerrando efetivamente o programa de recompensa de US$ 1 milhão por informações sobre o hack. A empresa de análise blockchain Arkham Intelligence confirmou que o protocolo de empréstimo sem permissão recebeu 10.580 ETH, equivalentes a US$ 19 milhões, na segunda‑feira, e mais US$ 12 milhões em DAI divididos em três transações.

Após o incidente de 21 de março, a Euler propôs uma recompensa de US$ 19,7 milhões – equivalente a 10 % do valor roubado – ao culpado responsável pelo roubo. Além disso, advertiu que uma recompensa de US$ 1 milhão seria concedida a quem fornecesse informações sobre o atacante caso os 90 % restantes dos fundos roubados não fossem devolvidos. Embora inicialmente tenha lavado US$ 1,8 milhão via Tornado Cash, o atacante começou a devolver o dinheiro em 18 de março – começando com US$ 1,8 milhão. O explorador continuou enviando o dinheiro, com o maior retorno sendo um montante único de 58.737 ETH, equivalentes a US$ 102 milhões, em 24 de março.

No momento da escrita, um total de 95.556 ETH e 43 milhões de DAI foram recuperados, enquanto um total de 1.100 ETH foi considerado irrecuperável por ter sido enviado ao mixer de moedas sancionado. No meio de tudo isso, o hacker pediu desculpas em uma série de mensagens on‑chain há cerca de duas semanas e prometeu entregar todos os fundos restantes. Os tokens devolvidos na segunda‑feira elevaram o total de fundos recuperados do hack para mais de US$ 177 milhões. Isso representa 90 % dos fundos recuperáveis esperados após contabilizar a recompensa de 10 % oferecida pela equipe da Euler.
O protocolo de empréstimo não custodial baseado em Ethereum declarou posteriormente que já permitiu que usuários resgatem os fundos recuperados, pondo fim ao exploit de flash loan que envolveu todo tipo de caos. A seguradora DeFi Nexus Mutual, que pagou US$ 2,4 milhões em sinistros por perdas atribuídas ao hack, exigiu que a Euler fizesse um reembolso. A Nexus alegadamente apoiou a Euler cobrindo as perdas, exceto que nenhum usuário perdeu tecnicamente seus ativos com a devolução dos fundos.

Outros incidentes relatados de brechas de segurança

A MetaPoint, projeto de metaverso, informou esta semana que foi explorado por um atacante que fugiu com 2.515 BNB. O hacker enviou os fundos para o Tornado Cash, segundo a PeckShield. O projeto de metaverso confirmou o incidente no Telegram, acrescentando que suspendeu todas as operações.

A Terraport Finance também parece ter sido vítima de uma brecha de segurança, apenas duas semanas após o lançamento. Relatos surgidos em 10 de abril detalharam que a carteira de liquidez do protocolo foi hackeada por US$ 2 milhões. A Terraport disse em uma atualização que estava ciente do incidente e procurava investigar o emissor após assegurar a plataforma.

Fora do DeFi, a exchange cripto sul‑coreana GDAC esta semana disse que foi hackeada por quase US$ 14 milhões. A exchange suspendeu depósitos e retiradas temporariamente para realizar a remediação necessária, informou o CEO Han Seunghwan, confirmando que os fundos perdidos representavam pouco mais de 20 % de seus ativos custodiais totais. O hacker teria obtido controle de algumas das hot wallets da exchange no início de 9 de abril (horário padrão da Coreia) antes de mover os fundos para a carteira que controla. A GDAC perdeu cerca de 61 BTC, 350,5 ETH, 220.000 USDT e 10 milhões da moeda de jogos WEMIX.

Os serviços de saque permanecem indisponíveis: Seunghwan afirmou que a exchange está dedicada a investigar o caso e ainda não formulou um plano para retomar os serviços atualmente desativados. O ataque à GDAC marca o primeiro grande hack de exchange cripto centralizada deste ano, ocorrendo pouco mais de um ano após o hack da Crypto.com, que resultou em mais de US$ 15 milhões em janeiro passado.

HTX e Gala Games comprometeram US$ 50 M para compensar partes afetadas pelo incidente pGALA

Após uma recente colaboração entre a Gala Games e a exchange cripto HTX para reforçar o ecossistema Web3 da primeira, o duo anunciou um plano para distribuir cripto e licenças de software no valor de até US$ 50 milhões a detentores do token GALA que sofreram perdas em um golpe de token utilitário na plataforma em novembro passado.

Os dois dividirão igualmente os US$ 50 milhões de compensação a serem emitidos – a parte da HTX será de US$ 25 milhões, compreendendo dinheiro e benefícios ao usuário que totalizam 15 milhões de USDT e 10 milhões de ações. Por outro lado, a Gala Games emitirá US$ 25 milhões em licenças de nós, e o programa está programado para iniciar esta semana.

O incidente em questão envolveu hackers que cunharam US$ 1 bilhão em pGALA – um token encapsulado de GALA emitido pelo pNetwork na BNB Chain. Como os tokens foram despejados no PancakeSwap, os atacantes conseguiram drenar US$ 4,5 milhões do pool de liquidez e prejudicaram massivamente o preço do token GALA.

Uma ação judicial contra a pNetwork está a caminho

O projeto GameFi iniciou no mês passado uma ação legal contra a pNetwork por seu papel no ataque. A ação alegou que o incidente causou US$ 25 milhões em danos à Gala Games e requereu US$ 27,7 milhões para cobrir as despesas diretas relacionadas à brecha, compensação adicional por lesões, danos punitivos e outras reparações. Além disso, a plataforma convidou outras partes afetadas a contatar sua equipe jurídica para se juntarem à busca por compensação. A HTX indicou no anúncio recente que está apoiando esses esforços. No caso de um veredicto favorável, quaisquer danos concedidos, menos os custos legais, serão convertidos em tokens GALA e subsequentemente queimados.