A exploração do Stake DAO na quarta-feira comprometeu a chave de implantação do protocolo no Arbitrum. Um atacante cunhou aproximadamente 5,4 trilhões de tokens falsos de Vote-Boosted sdCRV (vsdCRV) antes de trocá-los por ether por meio de um roteador público.
A violação contornou todos os controles de contrato inteligente em vigor. Uma única chave privada com direitos privilegiados causou centenas de milhões em perdas no DeFi este ano.
Como ocorreu a exploração do Stake DAO
Alertas on-chain da Blockaid rastrearam a violação até uma carteira de implementador do Stake DAO. O atacante usou a chave para redefinir o par da ponte LayerZero v2 para vsdCRV.
Cerca de 25 segundos depois, uma mensagem transfronteiriça falsificada cunhou 5,4 trilhões de vsdCRV no Arbitrum.
O atacante descarregou os tokens para ether através do roteador público da MetaMask. Nenhuma falha no contrato inteligente foi encontrada.
Notavelmente, um recente exploit da LayerZero na KelpDAO ocorreu por meio de abuso semelhante de configuração entre pares.
Um padrão familiar de comprometimentos de chaves
A exploração do Stake DAO segue o mesmo modelo do esvaziamento do Wasabi Protocol em abril. Uma carteira de implementador comprometida retirou cerca de US$ 4,5 milhões de vaults em quatro cadeias.
O Drift Protocol perdeu US$ 285 milhões na Solana no mesmo mês. Arbitrum’s KelpDAO freeze ocorreu semanas depois, após uma exploração de ponte de US$ 292 milhões.
Cada protocolo havia passado por auditorias. A falha estava acima do código, nas chaves que definiam pares de ponte ou implementações de atualização. Resolv’s $80 million mint no início deste ano se encaixava no mesmo padrão
“A pergunta que a DeFi precisa responder em 2026 já não é se os protocolos são auditados, pois quase todos o são. É se o pequeno conjunto de chaves operacionais por trás desses contratos auditados… ainda será permitido permanecer como um único objeto em um único laptop”, disse Shalev Keren, co-fundador da Sodot, à BeInCrypto, acrescentando que as auditorias já não respondem à pergunta central.
Para o Stake DAO e seus pares, proteções de carteira multisig precisam estar entre as chaves do implementador e as cunhagens forjadas. Caso contrário, a próxima compromisso de plataforma DeFi será rastreada até um único laptop, não até código ruim.