Erro de 3 anos provoca drenagem de $1,3 milhão e força pausa de 10 dias na blockchain

Uma refatoração de código rotineira da Radix criou uma falha no cofre que possibilitou um roubo de aproximadamente $1,3 milhão e, posteriormente, forçou os validadores a interromper a blockchain.

A Fundação Radix disse em 17 de setembro que uma equipe de desenvolvimento da RDX Works introduziu o defeito durante uma limpeza do Radix Engine em junho de 2023, a camada de software que executa transações e impõe a propriedade de ativos em toda a rede. A vulnerabilidade permaneceu indetectada por mais de três anos antes que um atacante a explorasse em 31 de agosto.

Uma reconstrução comunitária do livro-razão mostra que o atacante retirou cerca de 458.915 USDC, 72.420 USDT, 61,08 ETH, 6,35 Bitcoin embrulhados, 536,16 SOL e 32,91 BNB em 26 transações. Os ativos valiam aproximadamente $1,26 milhão com os preços de mercado de 31 de agosto, e os atacantes retiraram mais 13.000 XRD de um cofre para pagar taxas de transação. As duas stablecoins sozinhas representaram cerca de $531.335.

Os ativos roubados foram enviados através do Hyperlane para Ethereum, BNB Chain e Solana, e depois vendidos por ETH, disse a Radix. O Hyperlane funcionou como projetado: o atacante já havia obtido os ativos através do Radix Engine antes de usar a ponte para movê-los para outro lugar. Nenhuma chave privada foi comprometida.

No entanto, a perda imediata subestimou a exposição potencial. Investigadores da Radix concluíram que a falha poderia ter sido usada contra qualquer cofre na rede, colocando tokens e outros ativos além das participações transferidas visadas pelo atacante em risco.

Como resultado, os validadores da rede deliberadamente retiraram participação suficiente para evitar que ela alcançasse consenso e pararam transações adicionais enquanto os desenvolvedores trabalhavam em uma correção.

Falha de auditoria da Radix transforma erro de manutenção em falha sistêmica

A vulnerabilidade já havia sobrevivido a uma revisão de segurança independente antes que o atacante a encontrasse.

A Zellic auditou o protocolo Radix em 2024, incluindo o núcleo do motor que continha o defeito. A revisão não detectou a falha de autorização, mesmo que o código vulnerável tivesse sido introduzido durante a refatoração do ano anterior.

O erro alterou a forma como o motor lidava com referências de cofres. Uma transação poderia identificar o cofre de outro usuário pelo seu endereço interno e passar essa referência para um código de contrato inteligente projetado. O motor então permitia que funções de retirada comuns fossem chamadas sem impor adequadamente a fronteira de propriedade que deveria ter rejeitado o pedido.

Isso deu ao atacante acesso a ativos mantidos por contas de usuários, aplicativos e pools de liquidez sem obter as assinaturas dos proprietários.

A Fundação disse que o atacante completou 26 transações de exploração entre 16:02 e 16:57 UTC em 31 de agosto. Assim que os investigadores determinaram que a vulnerabilidade existia na camada de execução e não em um único aplicativo, os validadores coordenaram para parar a finalização das transações.

A pausa durou mais de 10 dias. Uma correção do protocolo adicionou verificações que impediam uma referência de cofre restrita de ser usada para uma retirada comum, e as transações dos usuários foram retomadas em 11 de setembro, de acordo com a reconstrução do livro-razão da comunidade.

O incidente também produziu perdas secundárias em pools de liquidez depois que o atacante removeu ativos transferidos de um lado dos pares de negociação. Os preços distorcidos permitiram que outra conta extraísse milhões de XRD de pools afetados, mostrando como uma falha na camada de execução pode continuar causando danos econômicos mesmo depois que os ativos iniciais deixaram a rede.

A Radix disse que está adicionando testes de regressão, fortalecendo seu processo de revisão de segurança e formalizando o procedimento de emergência que os validadores usaram para interromper a atividade da rede.

A Fundação também disse que o trabalho de segurança futuro deve levar em conta ferramentas de análise de código assistidas por IA cada vez mais capazes, que acredita que podem ter ajudado o atacante a identificar o defeito de anos.

Para desenvolvedores e validadores, o próximo desafio é evitar que trabalhos de manutenção rotineiros alterem silenciosamente as suposições de segurança que auditorias externas podem perder.

Essa tarefa se estende além da reparação do código explorado. A Radix agora precisa fortalecer o processo de revisão em torno das mudanças na lógica de autorização enquanto restaura a confiança entre os usuários e provedores de liquidez cujos ativos dependem, em última análise, do motor que impõe essas fronteiras corretamente.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.