SlowMist: Exploração do NEM esvazia US$ 822.000 enquanto atacante manipula reservas do pool de liquidez
A empresa de segurança blockchain SlowMist relatou uma exploração de tokens NEM no valor de US$ 821.920 em 22 de outubro de 2026, envolvendo uma vulnerabilidade no contrato inteligente NemTokenV2 e um pool de liquidez USDT/NEM do PancakeSwap. O atacante supostamente manipulou a contabilidade de tokens e os reservas de liquidez por meio de 42 operações repetidas, criando um preço de exchange artificialmente elevado antes de extrair USDT. O incidente destaca fraquezas de segurança em mecanismos de tokens personalizados interagindo com exchanges descentralizadas. Embora os prejuízos relatados sejam substanciais, o impacto financeiro final do ataque, o status de recuperação e a conexão com a blockchain original NEM exigem distinção cuidadosa.
SlowMist relata exploração de $822 mil em tokens NEM no PancakeSwap
A divulgação de segurança de 22 de outubro identificou uma vulnerabilidade de contabilidade de liquidação no NemTokenV2 que permitiu a um atacante manipular os reservas do pool de liquidez sem concluir as trocas de tokens correspondentes. O ataque visou o par de negociação USDT/NEM no PancakeSwap, onde saldos de reservas distorcidos afetaram o preço cotado do token. A SlowMist estimou os prejuízos resultantes em aproximadamente US$ 821.920, tornando o incidente mais um exemplo de como fraquezas na lógica de contrato específica de token podem expor a liquidez da finança descentralizada (DeFi).
Alerta de Segurança da SlowMist em 22 de outubro e perda estimada de $821.920
A SlowMist identificou o NemTokenV2 como o contrato inteligente afetado e descreveu uma sequência na qual o atacante explorou repetidamente inconsistências entre a atividade de venda registrada e o assentamento real na exchange. O ataque relatado envolveu 42 repetições de transferências de tokens e operações de gerenciamento de liquidez que alteraram progressivamente os saldos de reserva do pool. O atacante, em seguida, usou o desequilíbrio de preços resultante para trocar os tokens NEM restantes por USDT a uma taxa artificialmente elevada. Cada operação repetida contribuiu para as condições que tornaram a troca final financeiramente vantajosa.
A perda estimada de US$ 821.920 representa o impacto financeiro relatado pela SlowMist, e não um cálculo independentemente confirmado do lucro líquido do atacante. Embora as descobertas iniciais de segurança tenham identificado funções de contrato relevantes e o par de negociação afetado, uma análise financeira completa transação por transação ainda não foi estabelecida de forma independente. A quantia retida finalmente pelo atacante pode diferir das perdas estimadas do pool uma vez que os custos de transação, o capital inicial e quaisquer movimentos subsequentes de ativos sejam considerados. Qualquer retorno confirmado dos ativos extraídos também afetará o impacto financeiro restante.
Vulnerabilidade de Liquidação do NemTokenV2 e Exposição de Liquidez no PancakeSwap
A vulnerabilidade relatada dizia respeito à forma como o NemTokenV2 processava os tokens transferidos para seu pool de liquidez. A lógica do contrato contabilizava certas transferências recebidas como atividade de venda sem verificar adequadamente se uma exchange associada havia liquidado a transação. Isso criou uma inconsistência entre a contabilidade interna do token e a atividade de negociação real ocorrendo no pool. Para mecanismos de contabilidade vinculados ao volume de vendas, essa distinção pode determinar quando operações automáticas de liquidez são ativadas.
O incidente também demonstra por que mecanismos específicos de token exigem integração cuidadosa com liquidity pools. Esses pools dependem de saldos precisos de ativos para suportar negociações descentralizadas, mas funções personalizadas de token podem introduzir riscos adicionais quando suas suposições contábeis não correspondem às transações concluídas. A vulnerabilidade relatada envolveu o NemTokenV2 e não uma comprometimento demonstrado dos contratos padrão da exchange do PancakeSwap. Consequentemente, o incidente não deve ser interpretado como evidência de que todos os pares de negociação do PancakeSwap foram afetados.
Como a vulnerabilidade NemTokenV2 permitiu 42 manipulações de pool de liquidez
A exploração do NemTokenV2 centrou-se em uma discrepância entre as vendas de tokens registradas e o assentamento real no exchange. O contrato afetado supostamente permitia transferências para o pool de liquidez para influenciar sua contabilidade relacionada à venda, mesmo quando nenhuma troca correspondente havia sido confirmada. O atacante utilizou essa fraqueza juntamente com operações repetidas no contrato para alterar os saldos de reservas e criar condições de negociação favoráveis. Compreender o mecanismo exige distinguir o comportamento ordinário do automated market maker da lógica do token vulnerável que interage com ele.
Falha na Verificação de Liquidação na Contabilidade de Tokens do NemTokenV2
Em uma exchange descentralizada, transferir tokens para um pool de liquidez não implica automaticamente que uma venda concluída tenha ocorrido. Uma troca válida envolve o contrato da exchange processar a transação e registrar os ativos envolvidos. O NemTokenV2 supostamente falhou em fazer essa distinção ao registrar certas transferências como atividade de venda. Como resultado, sua contabilidade interna pode refletir atividade que não produziu uma exchange concluída correspondente. A verificação adequada do assentamento exigiria que o contrato distinguisse transferências recebidas de trocas que realmente tenham sido executadas.
O atacante explorou essa inconsistência por meio de operações envolvendo skim() e flushLpSellRecycle(). No PancakeSwap V2, skim() transfere os saldos de tokens que excedem as reservas registradas de um par, enquanto sync() atualiza essas reservas registradas para corresponder aos saldos reais. Essas funções têm propósitos diferentes e não são intrinsicamente vulneráveis. O ataque relatado dependeu de como a lógica personalizada de reciclagem do token afetado interagiu com o pool, permitindo manipulação repetida das reservas. Essa distinção é importante porque chamar skim() sozinho normalmente não reduz as reservas registradas de um pool de liquidez.
Reduções Repetidas de Reserva e Inflação Artificial de Preço do NEM
A SlowMist relatou que o atacante repetiu a sequência de manipulação 42 vezes, combinando transferências de tokens com operações skim() e flushLpSellRecycle(). A sequência reduziu supostamente as reservas de NEM do pool em relação às suas holdings de USDT. Em um pool de liquidez de produto constante, as quantidades relativas de dois ativos influenciam a taxa de câmbio cotada, portanto, reduzir as reservas de um ativo em relação ao outro pode aumentar seu preço implícito. O atacante utilizou esse desequilíbrio para vender suas holdings restantes de NEM por USDT sob condições de precificação distorcidas. As 42 repetições relatadas não devem ser automaticamente tratadas como 42 transações separadas na blockchain, pois uma única transação pode executar múltiplas chamadas de contrato. Alterações exatas nas reservas e quantias individuais das transações exigiriam uma reconstrução completa na blockchain.
Extração de USDT, distorção de preço e a distinção entre o token NEM e o XEM
As consequências financeiras da exploração se estenderam além da manipulação relatada das reservas. Ao alterar o saldo de ativos dentro do pool de negociação afetado, o atacante criou uma taxa de câmbio que poderia diferir substancialmente dos preços sustentados pela atividade de mercado comum. A extração final de USDT refletiu esse desequilíbrio de preços local, e não um crescimento verificado independentemente do valor de mercado mais amplo do token. Identificar o ativo afetado é igualmente importante, pois o token mencionado no relatório de segurança não foi conclusivamente vinculado ao XEM nativo.
Como o atacante extraiu USDT da pool do PancakeSwap
A etapa final envolveu a troca dos tokens NEM restantes do atacante após a estrutura de reserva do pool ter sido alterada. Com menos tokens NEM disponíveis em relação ao USDT, o pool ofereceu uma taxa de câmbio implícita mais alta para o NEM. O atacante supostamente aproveitou esse desequilíbrio para receber USDT a um preço que não refletia condições normais de negociação. Essa atividade contribuiu para a perda estimada de aproximadamente US$ 821.920 nas descobertas de segurança da SlowMist.
Determinar os ganhos reais do atacante exige mais do que o valor da perda relatada. Os investigadores precisariam examinar registros de transações verificadas, saldos iniciais de ativos, transferências de USDT, custos de execução e quaisquer ativos restantes. Eles também precisariam distinguir o valor removido da piscina de liquidez da quantia finalmente controlada pelo atacante. Analisar esses movimentos cronologicamente ajudaria a separar transferências temporárias de ativos que o atacante retém finalmente. Sem essas informações, descrever toda a perda estimada como lucro realizado exageraria o que as evidências disponíveis estabelecem.
Inflação de preço do pool de liquidez versus valor de mercado real do NEM
O preço de um token dentro de um pool de liquidez descentralizado depende dos ativos disponíveis nesse par de negociação específico. Quando os saldos de reserva mudam bruscamente, a taxa de câmbio cotada pode divergir dos preços disponíveis em outros lugares. A manipulação relatada do NemTokenV2 criou tal distorção dentro do pool afetado USDT/NEM, mas isso não estabelece um aumento comparável na avaliação de mercado mais ampla do token. Uma comparação confiável em todo o mercado exigiria preços executados em outros locais de negociação durante o mesmo período.
A profundidade de liquidez pode intensificar esses efeitos. Um pool com relativamente poucos ativos disponíveis geralmente experimenta maior impacto de preço em decorrência de mudanças nas reservas do que um mercado mais profundo que realiza transações comparáveis. Isso significa que um preço do pool fortemente elevado pode não representar uma taxa na qual traders comuns poderiam executar grandes vendas. Nenhum dado de preço verificado independentemente em todo o mercado estabeleceu um aumento correspondente em outras plataformas de negociação, portanto, o incidente não deve ser apresentado como um rally mais amplo do mercado NEM.
NemTokenV2 e XEM Nativo Não São Automaticamente o Mesmo Ativo
A distinção entre NemTokenV2 e XEM, a criptomoeda nativa da blockchain original NEM, é essencial. A documentação oficial da NEM identifica XEM como a moeda digital nativa da rede. Os relatórios do incidente de 22 de outubro, no entanto, descrevem um contrato inteligente chamado NemTokenV2 associado a um par de negociação no PancakeSwap. Um nome ou ticker de projeto compartilhado não estabelece que dois ativos sejam idênticos ou oficialmente conectados.
Confirmar o relacionamento exigiria examinar o endereço do contrato verificado do token afetado, a documentação de emissão e declarações dos operadores do projeto relevante. O histórico de implantação do contrato também poderia ajudar a estabelecer sua origem e qualquer conexão documentada com o projeto NEM. Até que essa conexão seja estabelecida, as perdas relatadas devem ser atribuídas ao contrato afetado e ao pool de liquidez, e não à blockchain original do NEM ou a todos os detentores de XEM. Essa distinção ajuda os investidores a evitar confundir uma exploração específica de um token com uma falha de segurança que afete toda uma rede de blockchain.
Consequências da exploração do NEM: Riscos de segurança no DeFi, status da recuperação e perspectivas
As consequências da exploração do token NEM levantam preocupações sobre a recuperação de fundos, a exposição dos provedores de liquidez e a segurança dos mecanismos de contrato inteligente personalizados. Após a divulgação da SlowMist em 22 de outubro de 2026, as perguntas mais importantes não resolvidas envolvem o status da correção do contrato afetado, o movimento dos ativos extraídos e a confiabilidade da liquidez de negociação restante. Embora os relatos iniciais estabeleçam a natureza da vulnerabilidade alegada, eles não fornecem um relato completo dos esforços subsequentes de recuperação ou dos acordos de compensação.
Status da Recuperação de Fundos e Remediação do NemTokenV2
Em 23 de outubro de 2026, os relatórios de incidentes revisados não estabeleceram uma quantia verificada de fundos recuperados, um plano de compensação confirmado ou uma correção de segurança concluída para o NemTokenV2. A SlowMist supostamente publicou endereços associados ao atacante, ao contrato de exploração e ao token afetado, fornecendo pontos de partida potenciais para uma investigação adicional na blockchain. No entanto, identificar esses endereços não estabelece que os fundos tenham sido congelados ou devolvidos. Qualquer recuperação confirmada exigiria transações na cadeia de suporte ou declarações confiáveis das partes responsáveis. A ausência de informações verificadas sobre recuperação nas fontes revisadas não deve ser interpretada como prova de que nenhuma atividade de recuperação tenha ocorrido.
Riscos do Provedor de Liquidez DeFi e Implicações para Negociação
Provedores de liquidez e comerciantes enfrentam riscos diferentes quando as reservas de um pool se distorcem. Os provedores podem experimentar variações no valor e na composição de suas posições de liquidez, enquanto os comerciantes podem enfrentar derrapagem significativa, profundidade de negociação limitada e cotações de exchange não confiáveis. As perdas exatas sofridas pelos participantes individuais não foram quantificadas independentemente. Qualquer pessoa avaliando exposição deve verificar o endereço do contrato afetado e revisar as transações da carteira relevante, em vez de confiar apenas no nome do token. Também há evidências insuficientes para conectar o incidente a uma queda ou recuperação mais ampla do preço do XEM, tornando conclusões de mercado prematuras.
Melhorias na segurança de contrato inteligente e investigação adicional
A vulnerabilidade relatada destaca a importância de validar exchanges concluídas antes de atualizar os registros de vendas específicos de tokens. Desenvolvedores que revisam mecanismos semelhantes devem examinar como a contabilidade de transferências interage com funções de gerenciamento de liquidez, especialmente quando chamadas repetidas podem desencadear alterações nas reservas. auditorias independentes de contratos inteligentes, simulações de transações e testes de operações repetidas podem ajudar a identificar fraquezas que verificações isoladas de transações ignoram. Mais geralmente, compreender como explorações de contratos inteligentes surgem pode ajudar a explicar por que a lógica de contabilidade específica de tokens exige escrutínio, mesmo quando as funções de exchange subjacentes operam conforme projetado. Para o NemTokenV2, uma correção técnica confirmada e uma implementação revisada independentemente forneceriam evidências mais fortes de correção do que uma garantia sem suporte.
Perspectiva futura para a liquidez do token NEM e a confiança dos investidores
Os próximos desenvolvimentos importantes seriam uma resposta técnica documentada, movimento verificado ou recuperação do USDT extraído, e informações confiáveis sobre a condição do pool de negociação afetado. Uma correção de contrato confirmada ou uma investigação transparente poderiam ajudar os participantes do mercado a avaliar se a vulnerabilidade identificada foi resolvida. Por outro lado, fraquezas contábeis não resolvidas e liquidez instável poderiam complicar a negociação e a descoberta de preços. Esses são cenários potenciais, e não previsões estabelecidas, e nenhum prazo de recuperação verificado ou meta de preço do token foi identificado. A importância de longo prazo do incidente dependerá de evidências de remediação eficaz e relatórios transparentes, e não de previsões especulativas do mercado.
Conclusão
A exploração do token NEM de 22 de outubro de 2026 demonstra como fraquezas na contabilidade personalizada de contratos inteligentes podem expor a liquidez de exchanges descentralizadas a perdas financeiras. A SlowMist estimou o dano em aproximadamente US$ 821.920, com o ataque relatado envolvendo 42 operações repetidas que manipularam reservas antes da extração de USDT.
As perguntas mais importantes ainda sem resposta dizem respeito ao impacto financeiro final, aos fundos recuperados, à segurança do contrato afetado e à sua relação com o XEM nativo. Até que esses detalhes sejam verificados independentemente, o incidente deve ser compreendido como um exploit relatado no pool de liquidez NemTokenV2, e não como evidência de uma violação que afete a blockchain original do NEM. Para participantes de DeFi, isso reforça a importância da verificação de liquidação, da identificação confiável de contratos e da transparência nos relatos de segurança.
Perguntas frequentes
Como os usuários podem verificar o contrato afetado NemTokenV2?
Os usuários podem comparar o endereço do contrato publicado no alerta de segurança da SlowMist com os registros do Explorador da blockchain, incluindo código-fonte verificado, transferências de tokens e interações com o contrato. Verificar o endereço exato é mais confiável do que usar apenas o nome do token, pois projetos de criptomoedas não relacionados podem usar nomes ou símbolos de ticker semelhantes.
Como os traders podem verificar se suas carteiras interagiram com o pool de liquidez afetado?
Os traders podem revisar o histórico de transações de sua carteira no Explorador da blockchain relevante e identificar trocas anteriores, depósitos de liquidez ou retiradas envolvendo o par USDT/NEM afetado. Endereços de contrato e registros de transação podem ajudar a determinar se uma carteira interagiu com esse mercado. No entanto, interação anterior não estabelece automaticamente uma perda financeira.
A exploração do token NEM comprometeu a stablecoin USDT em si?
Não há evidência verificada de que o contrato inteligente subjacente ao USDT tenha sido comprometido. O incidente relatado envolveu a extração de USDT por meio de precificação manipulada em um pool de liquidez específico da PancakeSwap. Uma vulnerabilidade em um contrato de token ou par de negociação não estabelece uma falha de segurança que afete o USDT em outras redes ou exchanges.
Uma aprovação de token significa que uma carteira foi afetada pela exploração?
A aprovação de token concede a um contrato inteligente permissão para transferir uma quantia especificada de criptomoeda, mas a aprovação sozinha não estabelece que os fundos foram movidos ou perdidos. Os usuários podem revisar as permissões de gasto existentes e revogar aprovações que já não precisam. Revogar a permissão não recupera ativos já removidos de um pool de liquidez.
Os traders podem vender tokens a um preço artificialmente inflado no pool de liquidez?
Nem necessariamente. Uma taxa de câmbio exibida pode diferir do preço real de execução, pois cada negociação altera os saldos de ativos do pool e pode envolver derrapagem e taxas. Vendas grandes podem receber significativamente menos do que a cotação inicial, especialmente em pools com liquidez limitada. Um preço artificialmente elevado não deve ser considerado uma indicação confiável do valor de mercado realizável.
As 42 manipulações relatadas representam 42 transações separadas na blockchain?
Nem necessariamente. O valor relatado pela SlowMist refere-se a 42 repetições da sequência de manipulação, não a um número independentemente verificado de transações separadas. Uma única transação na blockchain pode executar múltiplas chamadas de contrato. Confirmar a contagem de transações exige revisar os hashes relevantes e os rastros de execução.
Isenção de responsabilidade: Esta informação geral de mercado, possivelmente proveniente de fontes terceirizadas, comerciais ou patrocinadas, é fornecida apenas para referência e fins educacionais e não constitui aconselhamento financeiro ou de investimento, oferta, solicitação ou garantia. Renunciamos à responsabilidade por sua precisão, completude, confiabilidade e quaisquer perdas decorrentes. Investimentos/operações envolvem riscos; desempenho passado não garante resultados futuros. Os usuários devem pesquisar, julgar com prudência e assumir total responsabilidade. Para mais detalhes, consulte os Termos de Uso e o Descarte de Risco da KuCoin.
Aviso legal: Esta página foi traduzida usando tecnologia de IA para sua conveniência. Para informações mais precisas, consulte a versão original em inglês.