Falha em carteira cripto causa perda de US$ 7,8 milhões

A seguir:

1. A falha em carteira cripto permitiu retirar cerca de 2.900 rsETH.
2. O erro estava em um contrato auxiliar autorizado, não no núcleo da Safe.
3. Um bot antecipou a transação e transferiu 2.882 rsETH para outro endereço.

Uma falha em carteira cripto permitiu que um invasor retirasse aproximadamente 2.900 rsETH, avaliados em cerca de US$ 7,8 milhões, de uma carteira Gnosis Safe na rede Ethereum. O incidente ocorreu na terça-feira e chamou a atenção de diferentes empresas especializadas em segurança blockchain.

Apesar do envolvimento de uma carteira Safe, as análises iniciais descartam uma vulnerabilidade nos contratos principais da plataforma. Segundo as empresas que investigaram o caso, o problema surgiu em um contrato auxiliar autorizado pelo próprio proprietário da carteira.

As companhias BlockSec, Blockaid e SlowMist acompanharam as movimentações e identificaram a origem da falha. Além disso, um bot automatizado conhecido como “yoink” antecipou a transação maliciosa e conseguiu capturar os ativos antes do invasor original.

Falha em carteira cripto começou em contrato auxiliar

O proprietário da carteira havia permitido que um contrato auxiliar movimentasse fundos em seu nome. Esse tipo de configuração aparece com frequência em operações que envolvem estratégias automatizadas, execução de várias transações e gerenciamento de posições em protocolos descentralizados.

Entretanto, o contrato precisava verificar corretamente se cada solicitante possuía autorização para movimentar o dinheiro. De acordo com as análises da SlowMist e da BlockSec, o mecanismo de validação continha um erro que comprometia todo o controle de acesso.

Na prática, a verificação aceitava qualquer solicitante que indicasse o próprio contrato auxiliar como destino. Assim, o sistema interpretava uma chamada não autorizada como válida. Esse detalhe aparentemente simples abriu o caminho para a retirada de milhões de dólares em rsETH.

A empresa AstraSec classificou o problema como uma falha na verificação de autorização do contrato Multicall. Portanto, a falha em carteira cripto não atingiu diretamente a infraestrutura central da Safe, mas explorou um componente externo que o usuário havia autorizado anteriormente.

Invasor trocou rsETH por um token sem valor

Depois de obter acesso aos recursos, o atacante direcionou aproximadamente 2.900 rsETH para um pool de negociação criado poucos minutos antes. O invasor montou o pool com um ativo chamado Permissionless Attacker Token, que não possuía valor econômico relevante.

A operação entregaria os rsETH ao pool e deixaria a carteira da vítima com um recibo relacionado ao token sem valor. Dessa maneira, o contrato reconheceria a execução da troca, embora o proprietário perdesse ativos avaliados em milhões de dólares.

No entanto, o invasor original não concluiu o plano exatamente como esperava. Um bot chamado “yoink” detectou a transação pendente e pagou cerca de US$ 47 mil para conquistar prioridade na rede Ethereum. Com isso, o bot executou a operação primeiro e assumiu os tokens.

Esse tipo de ação ocorre quando sistemas automatizados monitoram transações antes que os validadores as incluam em um bloco. Ao identificar uma oportunidade, o bot oferece uma taxa maior e tenta ocupar a primeira posição. Neste caso, o “yoink” enviou 2.882 rsETH para outro endereço.

Falha em carteira cripto não comprometeu a Safe

As empresas responsáveis pela investigação destacaram uma diferença importante: o incidente envolveu uma carteira configurada na infraestrutura Safe, mas não revelou uma vulnerabilidade nos contratos principais da Safe.

O proprietário autorizou um componente adicional a movimentar os recursos. Consequentemente, a segurança da operação também passou a depender das regras e das verificações implementadas nesse contrato auxiliar.

Esse ponto mostra que uma carteira multisig ou uma solução amplamente reconhecida não elimina todos os riscos. Quando o usuário concede permissões a contratos externos, cada integração adiciona novas condições de segurança ao conjunto.

Portanto, auditorias e revisões precisam analisar não apenas a carteira principal, mas também módulos, contratos Multicall, sistemas de automação e permissões antigas. Uma única validação incorreta pode anular outras barreiras de proteção existentes.

Kelp DAO restringiu endereço que recebeu os ativos

A Kelp DAO, responsável pela emissão do rsETH, informou que detectou movimentações potencialmente suspeitas no endereço que recebeu os tokens. Como medida preventiva, o projeto aplicou uma pausa temporária de 24 horas sobre o endereço identificado.

Durante esse período, o endereço não poderia enviar nem receber rsETH. A Kelp DAO também afirmou que seus contratos permaneciam seguros e que o ativo continuava totalmente colateralizado.

A restrição não altera a causa central da falha em carteira cripto. Ainda assim, a medida busca limitar novas movimentações enquanto as equipes analisam os endereços, as transações e o destino dos recursos.

O caso reforça a necessidade de acompanhar permissões concedidas a aplicações descentralizadas. Além disso, usuários e empresas precisam revisar contratos auxiliares antes de autorizar movimentações de alto valor, sobretudo quando o código controla fundos sem exigir novas confirmações.

Embora o prejuízo tenha alcançado aproximadamente US$ 7,8 milhões, o episódio não indica uma invasão generalizada da Safe ou da Kelp DAO. As evidências disponíveis apontam para uma falha específica em um contrato escolhido e autorizado pelo proprietário da carteira.