Um hacker drenou mais de $49M em USDC do banco de stablecoin Infini. A exploração pode ser devido ao acesso interno a um contrato inteligente, onde o desenvolvedor manteve o acesso após a entrega ao Infini.
O acesso administrativo a um contrato inteligente permitiu que um explorador drenasse US$ 49 milhões do protocolo Infini, um banco DeFi de stablecoin. O próprio Infini não reagiu à exploração ou explicou a natureza do hack. O Infini é um emissor de cartão de criptomoeda, que recebe stablecoin como garantia para realizar pagamentos diários.
A Infini anunciou seus serviços de pagamento como um neobanco, misturando criptomoedas e finanças tradicionais. O produto atraiu 500% mais usuários nas últimas semanas, quando começou suas campanhas de cartão. O neobanco também oferece produtos de ganhos de alto rendimento, levando a um aumento na liquidez disponível para o explorador.
Foi precisamente os produtos de rendimento que criaram as condições para a exploração, uma vez que os fundos teriam sido retirados do Cofrinho Usual USDC da Morpho MEV Capital. A Morpho não emitiu nenhum aviso ou relatou fundos perdidos.
A exploração foi notada após uma transação de baleia de aparência normal, onde uma nova carteira retirou todos os fundos bloqueados no contrato. A carteira do atacante era conhecida pela Infini, uma vez que o projeto supostamente ordenou ao explorador que criasse o contrato inteligente. Desconhecido pelo projeto, o atacante reteve direitos de administrador e poderia fazer a chamada para drenar toda a liquidez.
🚨ALERTA🚨Hoje, @0xinfini sofreu uma exploração de $49M em $USDC devido a um atacante abusando de privilégios administrativos retidos.
O atacante, operando de 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, havia inicialmente desenvolvido o contrato como parte do projeto Infini. No entanto, após… pic.twitter.com/olguOyNCJr
— 🚨 Alertas Cyvers 🚨 (@CyversAlerts) 24 de fevereiro de 2025
A ação imediata do explorador foi trocar USDC para comprar 17.696 ETH. O explorador passou pelo DAI, que estava disponível através de protocolos descentralizados. Os fundos se moveram através do Uniswap, Sky Protocol e 0x Protocol. Trocar de USDC o mais rápido possível permitiu ao hacker mover fundos para ETH, que não pode ser congelado, apenas colocado na lista negra das exchanges.
Após isso, o atacante dividiu os lucros em quantias menores e múltiplos endereços. O explorador usou uma nova carteira para enviar uma pequena quantidade de ETH para gás e completar a transação. O financiamento inicial da carteira veio do Tornado Cash, encobrindo uma parte da presença on-chain do hacker.
Após isso, o ETH foi transferido através de uma série de transferências. No momento da redação, os fundos ainda não estavam misturados.
Os hackers da RPDC atacaram novamente?
A identidade do criador do contrato permanece desconhecida, uma vez que a Infini não revelou quem foi ordenado a construir o contrato inteligente.
O hack da Infini segue a maior exploração de 2025, onde a exchange Bybit perdeu até $1,5B em Ethereum (ETH). O hacker da Bybit teve uma abordagem semelhante de dividir o ETH antes de misturá-lo. O investigador on-chain ZachXBT apontou múltiplos exemplos de que essa abordagem é uma das jogadas características do grupo de hackers Lazarus. Por enquanto, a Infini não vinculou nenhuma das carteiras do explorador a outros endereços conhecidos do Lazarus.
Desta vez, nenhuma chave privada foi vazada, e a Infini não parou os saques e depósitos.
O fundador da Infini, @christianeth, assumiu total responsabilidade pela exploração, afirmando que foi negligente no processo de transferência de autoridade do desenvolvedor para o projeto. O fundador tranquilizou os usuários de que o protocolo permanece líquido e emitirá compensação total no pior cenário.
“Minha chave privada pessoal não foi vazada, então não há necessidade de se preocupar muito. Eu fui negligente ao transferir a autoridade antes. É, em última análise, minha responsabilidade. Isso soou o alarme… Não há problema com a liquidez. Compensação total pode ser paga e os fundos estão sendo rastreados,” escreveu @christianeth no X.
Outra análise on-chain mostra um potencial vazamento de chave privada, que permitiu ao hacker acessar o contrato. A PeckShield observou que o engenheiro que se tornou hacker foi identificado. Após o ataque, uma das co-fundadoras da Infini, @0xsexybanana, deletou sua conta no X. O atual roubo é um ataque suspeito de insider, uma vez que o engenheiro era confiável o suficiente para criar um contrato inteligente.
As recentes explorações e acúmulo de ETH levantaram a questão do uso da cadeia para lavagem de dinheiro e potencial financiamento de regimes hostis. Ao mesmo tempo, as explorações catalisaram um pequeno rali de ETH, onde o ativo subiu acima de $2.800 pela primeira vez em semanas. As perdas de ETH significaram que as exchanges tiveram que recuperar suas reservas, levando a uma demanda adicional.
Academia Cryptopolitan: FOLHA DE DICAS GRATUITA PARA CURRÍCULO WEB3 - Baixe Agora