Taxas de câmbio da Swell são «legitimamente inflacionadas»: suspeita de vazamento da chave quente; swETH/rswETH têm taxas elevadas sem respaldo
Em 22 de outubro, Spreek revelou que uma chave quente operacional da Swell DAO teria sido comprometida. Alguém elevou as taxas de câmbio de swETH/rswETH em incrementos de até 1% por hora, sem que houvesse novos ETH por trás. Odysseus, fundador da Phylax, contabilizou cinco aumentos no total (três para swETH e dois para rswETH) e classificou o caso como «uso indevido da chave do BOT» — o oráculo só permite que a função BOT envie snapshots de reprecificação, e o robô opera com uma chave quente.
Os registros on-chain mostram que o mesmo endereço enviou snapshots continuamente desde 21 de outubro, às 23:02 (UTC). Até 22 de outubro, o swETH estava cerca de 3,0% acima da referência, com alta de 1,133254 ETH, e o rswETH, 2,0% acima de 1,082464 ETH.
Há poucas horas, a Railway admitiu que houve uma anomalia no sistema de armazenamento de variáveis de ambiente: pessoas externas podem ter tido acesso ao conteúdo das chaves após a descriptografia. Em seguida, congelou todas as implantações e instou os utilizadores a rodarem as chaves. No mesmo dia, o detetive on-chain Tay afirmou que os atacantes já tinham transferido cerca de 371 mil dólares de carteiras em pelo menos 19 redes EVM usando chaves relacionadas com a Railway, mas a ligação entre os dois casos ainda não foi confirmada.
Spreek também descobriu 4 contratos maliciosos de atualização que, se executados, poderiam drenar cerca de 2500 ETH (Odysseus estima que os contratos detêm 2513 ETH e salienta que são «perdas não confirmadas»). Felizmente, nenhum foi executado. A Swell afirmou a 22 de outubro que «não houve saída de ETH» dos contratos de depósito e levantamento; a 23 de outubro, suspendeu os depósitos e levantamentos dos dois tokens até à recuperação do valor líquido dos ativos.
O caminho de contágio exige ainda mais atenção: cada um dos dois produtos tem um TVL de cerca de 29 milhões de dólares. Se os mercados de empréstimo avaliarem as garantias com base numa taxa de câmbio inflacionada, o risco pode alastrar-se — o incidente do rsETH da KelpDAO já é um precedente.
As carteiras quentes controlam os oráculos, e os oráculos alimentam os mercados de empréstimo. Uma única fuga de chaves pode transformar-se numa variável sistémica para a DeFi. Quem será o próximo a ser «legitimamente valorizado»?
$ETH $SWELL $EIGEN
(Fonte: Cryptopolitan)
⚠️Aviso de risco: as informações acima são partilhadas apenas para fins informativos e não constituem aconselhamento de investimento. Investir envolve riscos; aja com prudência.