Um hacker identificou uma falha no protocolo de finanças descentralizadas (DeFi) da Resupply na manhã de quinta-feira que os ajudou a desviar quase $9,6 milhões em ativos digitais. O atacante supostamente manipulou os preços dos tokens através de uma vulnerabilidade em um contrato inteligente.
De acordo com analistas de segurança em blockchain, a Resupply, uma plataforma de stablecoin DeFi integrada com Convex Finance e Yearn Finance, foi o principal alvo da exploração. O atacante usou uma elaborada tática de manipulação de preços em cvcrvUSD, um token vinculado ao Convex, para enganar o sistema e obter um empréstimo usando colateral praticamente sem valor.
Bug em contrato inteligente leva a taxa de câmbio zero
O principal ponto da violação foi encontrado no contrato ResupplyPair, implantado na quinta-feira no endereço Ethereum “0x6e…6bd6”. O contrato usou o preço de cvcrvUSD para calcular uma taxa de câmbio interna para empréstimos colateralizados.
Mais um protocolo de empréstimo explorado por meio de manipulação de taxas de câmbio em mercados de baixa liquidez—até mesmo vazios!
Especificamente, os atacantes inflacionaram artificialmente o preço das ações do #cvcrvUSD através de doações. O contrato ResupplyPair da @ResupplyFi (https://t.co/yo2N5lScHi, criado há ~2h) usa… https://t.co/MelEYFLr98 pic.twitter.com/2qXC9IiREL
— BlockSec Phalcon (@Phalcon_xyz) 26 de junho de 2025
O atacante usou essa dependência ao inflacionar artificialmente o preço do token cvcrvUSD por meio de transações de doação coordenadas. Quando o valor do token disparou, o preço inserido no contrato ResupplyPair disparou.
No entanto, uma falha no código do protocolo, especificamente o uso da divisão inteira, fez com que a taxa de câmbio arredondasse para zero uma vez que o preço ultrapassasse um limite medido.
Com a taxa de câmbio definida como zero, o atacante conseguiu pegar emprestado uma quantidade massiva da stablecoin nativa da Resupply, reUSD, usando apenas 1 wei de cvcrvUSD como colateral. Os cheques de insolvência da plataforma, que dependem dessa taxa de câmbio, foram efetivamente contornados.
“O atacante manipulou os preços dos tokens, acionando um bug (taxa de câmbio zero) no contrato inteligente da Resupply, permitindo que eles pegassem emprestado uma grande quantia de dinheiro por quase nada”, explicou Hakan Unal, líder sênior de operações de segurança na empresa de riscos em blockchain Cyvers.
Tornado Cash usado para anonimato de transações
A atividade na blockchain mostra que o hacker inicialmente financiou sua carteira através do Tornado Cash, um misturador de protocolo de privacidade descentralizado que criminosos usam para ocultar a origem dos fundos. O ponto de entrada do ataque foi uma transação no Cow Swap envolvendo 2 ETH, de acordo com uma análise da empresa de segurança em blockchain PeckShield.
Após a violação, eles liquidaram os ativos roubados convertendo reUSD em stablecoins e Ethereum através do Curve e Uniswap, ambas exchanges descentralizadas.
Os $9,6 milhões em lucro foram divididos entre dois endereços Ethereum separados. O atacante usou tanto USDC quanto Ethereum embrulhado (wETH) para armazenar os lucros finais.
Mais tarde naquele dia, a Resupply confirmou a violação e admitiu que a exploração havia afetado seu mercado wstUSR. A plataforma imediatamente pausou todos os contratos para evitar mais danos.
“Os usuários devem evitar os cofres de reUSD e retirar fundos, se possível”, aconselhou Unal aos investidores que usam o protocolo.
Hacks relacionados a criptomoedas em 2025 se tornam rampantes
A violação da Resupply se soma a uma série de hacks de alto valor que visam tanto finanças descentralizadas quanto plataformas centralizadas. A empresa de análise forense em blockchain Chainalysis relata que mais de $2,3 bilhões já foram roubados em hacks de criptomoedas desde o início de 2025, um número que supera o total do ano passado até o meio do ano.
Apenas dias antes do incidente da Resupply, em 18 de junho, a exchange de criptomoedas baseada no Irã, Nobitex, sofreu uma violação devastadora. Hackers levaram mais de $90 milhões em ativos digitais de várias blockchains, incluindo Bitcoin, Ethereum, Dogecoin, Ripple, Solana, Tron e Ton.
Investigações anteriores ligaram carteiras na Nobitex a atores afiliados ao Corpo da Guarda Revolucionária Islâmica (IRGC), e redes ligadas a rebeldes Houthi no Iémen e operativos do Hamas.
O Escritório Nacional de Combate ao Financiamento ao Terrorismo (NBCTF) de Israel identificou a plataforma como um canal para fundos para várias entidades sancionadas. Estas incluem a mídia pró-Hamas Gaza Now, um suposto braço de propaganda da al-Qaeda, e as exchanges de criptomoedas russas sancionadas Garantex e Bitpapa.
Academia Cryptopolitan: Quer fazer seu dinheiro crescer em 2025? Aprenda como fazer isso com DeFi em nossa próxima webclass. Reserve seu lugar
