O contrato Router da Aztec Network está em destaque após ser alvo de uma transação suspeita descoberta na blockchain Ethereum [ETH]. Isso resultou na perda de ativos avaliados em cerca de US$ 2,19 milhões.
Na verdade, o endereço da carteira “0x0f18….edd17” usou dinheiro do contrato Router do protocolo para realizar a transação.
De acordo com a CertiK, o ataque foi “suspicioso” porque o atacante pode ter aproveitado uma fraqueza no contrato inteligente, obtido acesso não autorizado aos fundos do protocolo ou alterado a lógica do contrato para desviar ativos.
Uma possível falha na validação do contrato inteligente
No entanto, algumas pistas sugeriram que o tratamento dos dados de prova pelo protocolo era falho no processo de validação do contrato inteligente. O problema parecia estar especificamente na função computeRootHashes(), que supervisionava a confirmação da legitimidade dos _proofData fornecidos, mas examinava apenas a primeira parte deles.
Contudo, a porção intermediária da mesma carga útil _proofData continha os dados que processDepositsAndWithdrawals() utilizou posteriormente para realizar transferências de tokens.
Portanto, um atacante pode ter criado uma prova maliciosa na qual a seção intermediária não verificada continha instruções de depósito ou retirada manipuladas, enquanto a parte verificada permaneceu válida e passou nas verificações de segurança do protocolo.
Por sua vez, o contrato acabou realizando transferências não autorizadas de tokens como resultado dessas instruções não serem devidamente autenticadas antes do processamento. Em termos simples, houve uma discrepância entre o que foi verificado e o que foi realmente executado.
Mais incidentes desse tipo
O timing aqui é interessante porque o Raydium também encontrou um erro de codificação em seu antigo programa AMM V3 que causou o roubo de criptomoedas no valor de US$ 1,34 milhão de cinco pools.
Enquanto isso, outro ataque de tomada de governança permitiu que um explorador roubasse cerca de US$ 1,5 milhão em Ethereum de um pool de liquidez do Balancer.
Uma nova exploração que visou o Alephium TokenBridge da Ethereum também foi descoberta recentemente. Nessa exploração, $815.000 foram esvaziados em sete minutos usando três das quatro chaves de guardião comprometidas que assinaram VAAs falsificadas (Verified Action Approvals).
Da mesma forma, segundo uma investigação independente da Quantstamp, Humanity Protocol vinculou um ataque de phishing direcionado a um de seus diretores à aquisição de credenciais administrativas pelo atacante, atualizações de contratos, transferências de tokens Ethereum e criação de novos tokens H na BNB Chain.
No geral, o Valor Total Roubado (USD) agora atingiu US$ 81,73 milhões em 30 dias, segundo dados da DeFiLlama. Com US$ 634,85 milhões perdidos apenas em 2026, abril registrou o maior valor drenado até agora.
Resumo Final
- A falha parece ter sido causada pela verificação incompleta de _proofData.
- O episódio é o mais recente em uma série de falhas de segurança em DeFi.