Erro de 3 anos provoca drenagem de 1,3 milhões de dólares e força paragem da blockchain por 10 dias

Uma refatoração de código rotineira da Radix criou uma falha no cofre que permitiu um roubo de aproximadamente 1,3 milhões de dólares e, posteriormente, forçou os validadores a interromper a blockchain.

A Fundação Radix afirmou no dia 17 de setembro que uma equipe de desenvolvimento da RDX Works introduziu o defeito durante uma limpeza do Radix Engine em junho de 2023, a camada de software que executa transações e impõe a propriedade de ativos em toda a rede. A vulnerabilidade permaneceu indetectada por mais de três anos antes que um atacante a explorasse em 31 de agosto.

Uma reconstrução comunitária do livro-razão mostra que o atacante retirou cerca de 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 Bitcoin embrulhados, 536,16 SOL e 32,91 BNB em 26 transações. Os ativos valiam aproximadamente 1,26 milhões de dólares com base nos preços de mercado de 31 de agosto, e os atacantes retiraram mais 13.000 XRD de um cofre para pagar taxas de transação. As duas stablecoins sozinhas representaram cerca de 531.335 dólares.

Os ativos roubados foram enviados através do Hyperlane para Ethereum, BNB Chain e Solana, e depois vendidos por ETH, disse a Radix. O Hyperlane funcionou como projetado: o atacante já havia obtido os ativos através do Radix Engine antes de usar a ponte para movê-los para outro lugar. Nenhuma chave privada foi comprometida.

No entanto, a perda imediata subestimou a exposição potencial. Investigadores da Radix concluíram que a falha poderia ter sido usada contra qualquer cofre na rede, colocando tokens e outros ativos além das participações transferidas visadas pelo atacante em risco.

Como resultado, os validadores da rede deliberadamente retiraram participação suficiente para evitar que ela alcançasse consenso e interrompessem transações adicionais enquanto os desenvolvedores trabalhavam em uma correção.

Falha de auditoria da Radix transforma erro de manutenção em falha sistêmica

A vulnerabilidade já havia sobrevivido a uma revisão de segurança independente antes que o atacante a encontrasse.

A Zellic auditou o protocolo Radix em 2024, incluindo o núcleo do motor que continha o defeito. A revisão não detectou a falha de autorização, mesmo que o código vulnerável tivesse sido introduzido durante a refatoração do ano anterior.

O erro alterou a forma como o motor lidava com referências de cofres. Uma transação poderia identificar o cofre de outro usuário pelo seu endereço interno e passar essa referência para um código de contrato inteligente projetado para esse fim. O motor então permitia que funções de retirada comuns fossem chamadas sem impor adequadamente a fronteira de propriedade que deveria ter rejeitado o pedido.

Isso deu ao atacante acesso a ativos mantidos por contas de usuários, aplicativos e pools de liquidez sem obter as assinaturas dos proprietários.

A Fundação disse que o atacante completou 26 transações de exploração entre as 16:02 e as 16:57 UTC em 31 de agosto. Assim que os investigadores determinaram que a vulnerabilidade existia na camada de execução e não em um único aplicativo, os validadores coordenaram para parar a finalização das transações.

A paralisação durou mais de 10 dias. Uma correção do protocolo adicionou verificações que impediam uma referência de cofre restrita de ser usada para uma retirada comum, e as transações dos usuários foram retomadas em 11 de setembro, de acordo com a reconstrução do livro-razão comunitário.

O incidente também produziu perdas secundárias em pools de liquidez após o atacante remover ativos transferidos de um lado dos pares de negociação. Os preços distorcidos permitiram que outra conta extraísse milhões de XRD de pools afetados, mostrando como uma falha na camada de execução pode continuar causando danos econômicos mesmo após os ativos iniciais terem deixado a rede.

A Radix disse que está adicionando testes de regressão, fortalecendo seu processo de revisão de segurança e formalizando o procedimento de emergência que os validadores usaram para interromper a atividade da rede.

A Fundação também afirmou que o trabalho de segurança futuro deve levar em conta ferramentas de análise de código assistidas por IA cada vez mais capazes, que acredita que podem ter ajudado o atacante a identificar o defeito de anos.

Para desenvolvedores e validadores, o próximo desafio é evitar que trabalhos de manutenção rotineiros alterem silenciosamente as suposições de segurança que auditorias externas podem perder.

Essa tarefa se estende além da reparação do código explorado. A Radix agora precisa fortalecer o processo de revisão em torno das mudanças na lógica de autorização, enquanto restaura a confiança entre os usuários e provedores de liquidez cujos ativos dependem, em última análise, da aplicação correta dessas fronteiras pelo motor.

Este conteúdo é disponibilizado apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou fiscal. Quaisquer eventos, recompensas, promoções online ou informações relacionadas aqui mencionados não devem ser interpretados como uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar quaisquer outras operações com criptoativos. Os criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar consoante a região. O utilizador é responsável por garantir que a sua participação está em conformidade com a legislação e os regulamentos locais aplicáveis.