Exploração de vulnerabilidade drena US$ 7.8 milhões em rsETH da carteira segura do usuário por meio de executor de estratégia comprometido.
Empresas de segurança Blockchain Bloqueio, PeckShield e BlocoSec Confirmaram uma exploração que drenou aproximadamente US$ 7.8 milhões em rsETH, cerca de 2,900 tokens, de uma carteira Gnosis Safe na Ethereum. O incidente começou às 04:38 UTC com uma transação que movimentou a maior parte dos fundos, seguida por várias transações menores ao longo da hora seguinte, totalizando cerca de US$ 160,000 adicionais, de acordo com os relatórios das empresas.
A causa principal foi uma falha na verificação de autorização no contrato do executor, identificada pelos analistas como o endereço 0x4f0055926c839D1d960a82CBF84E2eE933958ebC.
O cofre alvo, pertencente a um grande detentor de rsETH alavancado, dependia de um módulo executor de estratégia autorizado que expunha um ponto de entrada de receita. Esse ponto de entrada encaminhava os dados de chamada fornecidos pelo chamador para a função `execTransactionFromModuleReturnData` do cofre, usando `operation=1` (DELEGATECALL), sem restringir o acesso do chamador externo. Definir o parâmetro de contrato fornecido para o próprio endereço do executor permitia a validação, o que significa que qualquer pessoa que conseguisse acessar o ponto de entrada poderia executar código arbitrário dentro do contexto do cofre — obtendo, efetivamente, controle total sobre seus ativos.
O atacante usou uma chamada múltipla pública para rotear o módulo autorizado Uni V4 LP Safe para um pool Uniswap V4 criado por ele e comprometido, executando a operação via Permit2 e PositionManager. O atacante implantou um token sem valor, apelidado de "Permissionless Attacker Token" (PAT), e forneceu aproximadamente 2,900 aEthrsETH como liquidez. Um gancho personalizado no pool converteu os aEthrsETH em rsETH e os retirou do Safe, que ficou com um LP sem valor. NFT.
Ataque frontal de bots MEV; KelpDAO impõe pausa temporária.
Notavelmente, a transação original do ataque nunca chegou ao seu beneficiário pretendido. O atacante lançou o exploit diretamente no mempool público, onde foi interceptado por um bot MEV chamado “yoink”, que capturou os ~2,882 rsETH — equivalentes a aproximadamente US$ 7.8 milhões — e os redirecionou para o endereço 0xC70f00CD7E461686b04B0E912E309becA8b80ea0. Na prática, um bot de valor máximo extraível (MEV), e não o atacante, ficou com os fundos roubados.
Em resposta, a KelpDAO anunciou ter detectado atividade suspeita no endereço de recebimento e o colocou em pausa preventiva de 24 horas, durante as quais rsETH não poderá entrar nem sair da carteira. A equipe afirmou estar trabalhando com especialistas em segurança na investigação e enfatizou que a medida se aplica apenas à carteira: os contratos da Kelp permanecem seguros, o rsETH continua totalmente lastreado e todas as operações de cunhagem, saque e integração continuam normalmente, sem necessidade de qualquer ação por parte dos usuários.
Analistas de segurança enfatizaram que se tratava de um abuso de autorização de módulo específico de uma unidade da Safe, e não de uma vulnerabilidade nos contratos principais ou nas chaves de proprietário da Safe. O incidente, contudo, destaca um risco persistente para usuários de carteiras de contratos inteligentes: o núcleo da Safe nunca sofreu uma exploração direta do protocolo, mas usuários têm perdido fundos repetidamente devido à infraestrutura comprometida e extensões vulneráveis de terceiros, incluindo mais de US$ 2 milhões roubados em ataques de envenenamento de endereço que afetaram 21 usuários da Safe em 2023.
Aviso Legal
Em linha com a Diretrizes do Projeto Trust, observe que as informações fornecidas nesta página não se destinam e não devem ser interpretadas como aconselhamento jurídico, tributário, de investimento, financeiro ou qualquer outra forma. É importante investir apenas o que você pode perder e procurar aconselhamento financeiro independente se tiver alguma dúvida. Para mais informações, sugerimos consultar os termos e condições, bem como as páginas de ajuda e suporte fornecidas pelo emissor ou anunciante. MetaversePost está comprometida com relatórios precisos e imparciais, mas as condições de mercado estão sujeitas a alterações sem aviso prévio.
Sobre o autor
Alisa, jornalista dedicada do MPost, é especializada em criptomoedas, IA, investimentos e no vasto campo de Web3. Com um olhar atento às tendências e tecnologias emergentes, ela oferece uma cobertura abrangente para informar e envolver os leitores no cenário em constante evolução das finanças digitais.
Mais artigos
Alisa, jornalista dedicada do MPost, é especializada em criptomoedas, IA, investimentos e no vasto campo de Web3. Com um olhar atento às tendências e tecnologias emergentes, ela oferece uma cobertura abrangente para informar e envolver os leitores no cenário em constante evolução das finanças digitais.
