Um erro de programação em uma ferramenta de automação permitiu que um invasor retirasse cerca de US$ 7,8 milhões em criptomoedas de uma carteira Safe na rede Ethereum. O problema não estava no protocolo principal da carteira, mas sim em uma falha em contrato inteligente auxiliar configurado pelo próprio investidor.
De acordo com as empresas de segurança BlockSec, Blockaid e SlowMist, o ataque drenou aproximadamente 2.900 tokens rsETH. A brecha ocorreu porque o sistema de checagem do contrato de suporte aprovava automaticamente qualquer chamada que apontasse para a própria ferramenta como destino.
Com a permissão concedida, o explorador depositou os tokens em uma pool de liquidez criada minutos antes e atrelada a um ativo sem valor, batizado de “Permissionless Attacker Token”. Essa manobra deixou a carteira da vítima com um comprovante que não valia nada.
O caso ganhou um desfecho inusitado quando um robô conhecido como “yoink” interceptou a operação. O bot pagou cerca de US$ 47 mil em taxas para furar a fila de processamento da rede, tomou os ativos e enviou 2.882 rsETH para um endereço diferente.
Análise do setor sobre a falha em contrato inteligente
Em nota divulgada no X, a empresa AstraSec destacou que a causa raiz do incidente foi a falha em contrato inteligente do tipo Multicall. Outras consultorias especializadas confirmaram que o código nativo da Safe permaneceu intacto e seguro durante todo o processo.
A equipe da Kelp DAO, responsável pela emissão do rsETH, afirmou que seus sistemas continuam protegidos e que o token possui colateralização total. Por precaução, a organização aplicou uma pausa temporária de 24 horas nas transferências do endereço que recebeu os valores drenados.
O evento serve como um aviso importante para investidores que utilizam scripts de automação no mercado DeFi. Garantir que cada integração passe por auditorias antes de autorizar movimentações é fundamental para evitar contratempos desse porte.
