Às 15h21 do dia 16 de maio, o ecossistema Pump.fun da plataforma de criação de moeda meme de Solana foi explorado. O incidente resultou na perda de aproximadamente 12.300 SOL, no valor de quase US$ 2 milhões a preços atuais de mercado.
Os invasores exploraram a plataforma de manipulação de empréstimos instantâneos da Margin.fi para obter SOL e comprar tokens Pump.fun sem usar seus próprios fundos. Esta última exploração enviou ondas de choque pela comunidade de criptomoedas.
Encontrando o invasor por dentro: falha de segurança do Pump.fun
O invasor, inicialmente identificado pelo endereço de carteira 7ihN8QaTfNoDTRTQGULCzbUT3PHwPDTu5Brcu4iT2paP, explorou o Pump.fun comprando todos os tokens para novos projetos lançados na plataforma em poucos minutos. Esta ação levou a curva de ligação ao seu limite.
No mundo das finanças descentralizadas (DeFi), uma curva de títulos é um contrato inteligente que cria um mercado para tokens sem depender de uma troca de criptomoedas. Então, como esperado, essa manipulação impediu que o token fosse listado na exchange descentralizada de Solana, Raydium DEX.
Em resposta ao ataque, a pump.fun atualizou seu contrato para evitar maior deterioração. Além disso, a equipe suspendeu a negociação e garantiu aos usuários que o Total Value Locked (TVL) do protocolo é seguro.
“Estamos comprometidos em garantir a segurança de nossos usuários e trabalhando com as partes relevantes, incluindo as autoridades, para minimizar os danos”, disse a equipe.
Curiosamente, o invasor é Jarrett, um ex-funcionário da Pump.fun que atende pelo pseudônimo STACCOverflow. Jarrett recorreu às redes sociais para expressar sua insatisfação com a empresa e disse que pretendia atrapalhar a plataforma.
“O tipo de chefe assustador que testemunha você quebrar sua mão e perguntar o que aconteceu e você disser que tropeçou em uma mesa de vidro dirá ‘Essa mesa está boa?'” Jarrett escreveu após o ataque. "
Ele esclareceu que tinha um plano para “mudar o curso da história”. Além disso, ele disse que não estava preocupado em ir para a cadeia.
Em outra postagem, Jarrett também afirmou que distribuirá seu saque por meio de lançamentos aéreos entre várias comunidades, incluindo Slerf, Stacc, Saga e Risklol. Alguns membros da comunidade criptográfica o apelidaram de “Web3 Robinhood” devido à sua decisão de realizar um lançamento aéreo.
Aproximadamente cinco horas após o anúncio inicial, pump.fun publicou uma autópsia. Eles reimplantaram o contrato e retomaram a negociação com taxas de 0% pelos próximos 7 dias. Eles também estão trabalhando no estabelecimento de um pool de liquidez (LP) para os tokens afetados, a fim de restaurar a funcionalidade de negociação.
“Os tokens que atingiram 100% entre 15h21 e 17h estão no limbo, o que significa que ninguém pode negociá-los até que o LP seja implantado para eles no Raydium. Para manter os usuários intactos, a equipe da pump.fun adicionará LP no próximo dia 24. horas para cada token afetado com um valor de liquidez SOL igual ou superior à liquidez desse token às 15h21 UTC.