SwapNet Perde US$ 13,4 Milhões em 2024 Devido a Falha Crítica na Validação de Entradas
- O Que Aconteceu com a SwapNet?
- O Caso Paralelo da Aperture Finance
- Lições e Medidas Pós-Ataque
- Perguntas Frequentes
SwapNet, agregador DEX, sofre um ataque explorando uma vulnerabilidade de validação de entrada, resultando em perdas de US$ 13,4 milhões em múltiplas blockchains. Enquanto isso, a Aperture Finance enfrenta um problema similar, perdendo US$ 3,67 milhões. Veja como aconteceu e o que isso revela sobre os riscos na flexibilidade de contratos inteligentes.
O Que Aconteceu com a SwapNet?
A SwapNet, plataforma que opera como agregador de exchanges descentralizadas (DEX), foi vítima de um ataque sofisticado que explorou uma falha na função 0x87395540(). O problema? Validação insuficiente de entradas críticas. Os hackers substituíram endereços legítimos de roteadores ou pools por endereços de tokens como USDC, enganando o contrato da vítima para executar chamadas maliciosas. Resultado: transferências não autorizadas de ativos aprovados pelos usuários.
O ataque começou na Base (bloco 41289829), mas rapidamente se espalhou para Ethereum, Arbitrum e Binance Smart Chain. A SwapNet pausou contratos em 45 minutos, mas não antes que 20 usuários perdessem fundos – incluindo uma vítima que teve US$ 13,34 milhões drenados. Detalhes do rastreamento mostram que muitos afetados haviam desativado a "Aprovação Única" do Matcha Meta, configurando aprovações infinitas diretamente nos contratos.
O Caso Paralelo da Aperture Finance
Quase simultaneamente, a Aperture Finance, que gerencia posições de liquidez concentrada no Uniswap V3, sofreu um ataque similar. A função 0x67b34120() permitia chamadas de baixo nível sem restrições adequadas, permitindo que invasores construíssem payloads maliciosos. Em um caso emblemático, um atacante gastou apenas 100 wei de ETH para invocar a função vulnerável, encapsulou ETH em WETH e depois chamou WBTC.transferFrom(), desviando tokens aprovados.
"Esses incidentes mostram que flexibilidade em contratos precisa ser balanceada com restrições rigorosas", analisa o time da BTCC. "Principalmente em sistemas de código fechado, onde auditorias externas são limitadas."
Lições e Medidas Pós-Ataque
Ambas as plataformas tomaram medidas emergenciais:
- SwapNet: Pausou contratos em todas as chains e está investigando com forenses blockchain. O Matcha Meta removeu a integração com a SwapNet e desativou a opção de desligar "Aprovação Única".
- Aperture Finance: Desativou funções vulneráveis na web app e está negociando com atacantes para recuperação de fundos.
Dados da CoinMarketCap mostram que o valor total bloqueado (TVL) na SwapNet caiu 62% após o incidente. Enquanto isso, especialistas recomendam que usuários revoguem aprovações usando ferramentas como Etherscan ou Revoke.cash.
Perguntas Frequentes
Como os atacantes exploraram a SwapNet?
Através de uma função com validação inadequada que permitia substituir endereços de contratos por endereços de tokens, executando depois chamadas maliciosas.
Quais chains foram afetadas?
Ethereum, Arbitrum, Base e Binance Smart Chain, com perdas totais de US$ 13,4 milhões.
A Aperture Finance foi hackeada da mesma forma?
Sim, por uma vulnerabilidade similar em chamadas de baixo nível sem restrições adequadas, resultando em perda de US$ 3,67 milhões.
