Ontem, uma onda de choque passou pela indústria de finanças descentralizadas (DeFi) quando a Swaprum, uma exchange descentralizada baseada na blockchain Arbitrum, supostamente fugiu com cerca de US$ 3 milhões de fundos de investidores. A Swaprum, conhecida por prometer rendimentos percentuais anuais potenciais de até 100% e oferecer altas recompensas de farming e baixas taxas de swap, atraiu recentemente mais de 22.000 carteiras contendo o token do protocolo, SAPR.
O investidor DeFi, Damicale Shilling, foi o primeiro a soar o alarme após observar um padrão alarmante de atividade on-chain vinculado aos esforços promocionais do protocolo. A DeFi Security, uma empresa de segurança, logo validou as preocupações, confirmando que o roubo dos desenvolvedores do Swaprum estava em andamento, estimando inicialmente as perdas em cerca de US$ 1 milhão.
Ao final do dia, a empresa de segurança de blockchain PeckShield revisou a perda estimada, colocando-a em US$ 3 milhões. Os criminosos exploraram o protocolo de privacidade Tornado Cash, um serviço projetado para obscurecer a rastreabilidade de fundos, para lavar o saque roubado.
#PeckShieldAler#rugpull@Swaprum no#Arbitrumrugged ~$3M, $SAPR caiu -100%. @Swaprum já deletou suas contas/grupos sociais. Os golpistas fizeram uma ponte de ~1.628 $ETH para#Ethereume lavaram 1.620 $ETH para Tornado Cashhttps://t.co/tUNgbwGQCd pic.twitter.com/UH8V9RyFHy
— PeckShieldAlert (@PeckShieldAlert) 19 de maio de 2023
Uma auditoria falha e as consequências
As consequências do incidente do rug-pull foram rápidas e devastadoras. O valor do SAPR despencou quase completamente, levando a uma preocupação generalizada entre os investidores de varejo que eram os principais detentores do token do protocolo.
Após o incidente, a atenção rapidamente se voltou para a CertiK, a empresa de auditoria de contratos inteligentes que assinou os protocolos da Swaprum. O papel da CertiK na auditoria da Swaprum destacou a importância de padrões robustos de auditoria de contratos inteligentes, um ponto enfatizado por Dyma Budorin, CEO da empresa de segurança de blockchain Hacken.
Budorin observou: “A falta de padrões de relatórios de auditoria de contratos inteligentes leva a esses tapetes fracos.” No entanto, a história pode não ser tão direta quanto parece inicialmente. Parece que os desenvolvedores do Swaprum exploraram um recurso de atualização deixado em seu contrato inteligente para drenar fundos do usuário – um problema que não foi detectado no relatório de auditoria.
A credibilidade dos auditores de contratos inteligentes está novamente em evidência, pois este incidente segue o evento rug-pull do mês passado envolvendo o protocolo Merlin, que perdeu US$ 1,8 milhão apesar de ter passado recentemente por uma auditoria CertiK. Tais incidentes ressaltam a necessidade de estabelecer uma camada de infraestrutura que consolide informações de segurança abrangentes em todos os projetos, ajudando assim a proteger contra tais atividades fraudulentas.
O site da CertiK sinalizou o Swaprum como um exit scam. Além disso, as contas de mídia social do Swaprum desapareceram, deixando um silêncio assustador onde antes havia uma bolsa movimentada. A comunidade DeFi agora espera por respostas e ações para evitar ocorrências semelhantes no futuro. Afinal, a reputação e a confiança que sustentam o cenário DeFi estão em jogo