Exploit no UNCX drena US$ 1,49 milhão em quatro blockchains e atinge 10 tokens

As perdas de um exploit que atingiu os contratos Vesting V2 da UNCX Network, plataforma multicadeia que trava liquidez e programa a liberação gradual de tokens, chegaram a cerca de US$ 1,49 milhão, informou a empresa de segurança em blockchain Blockaid em 15 de outubro. O valor é cerca de 17 vezes os US$ 86 mil que a própria Blockaid havia sinalizado no Ethereum um dia antes. O ataque começou no Ethereum e se espalhou para BNB Smart Chain, Robinhood Chain e Base.

A Blockaid somou 11 transações de drenagem, que incluíram endereços que replicaram o método original e robôs de valor máximo extraível, os MEV. Esses programas varrem transações pendentes na blockchain e reordenam ou copiam as lucrativas, o que acelera as perdas depois que o exploit se torna público. A divisão divulgada é de aproximadamente US$ 969 mil na BNB Smart Chain, US$ 242 mil no Ethereum, US$ 169 mil na Robinhood Chain e US$ 114 mil na Base. A BNB Smart Chain sozinha representa quase dois terços do total.

A causa foi avaliada por pesquisadores de segurança da ExVul, que examinaram a primeira transação no Ethereum. Segundo a empresa, a falha estava na contabilidade de ações do contrato VestingManager. A função de liberação reduzia o total global de ações sem retirar da posição as ações já liberadas; quando a posição foi cancelada depois, o contrato deduziu o depósito original uma segunda vez. Com isso, uma posição residual quase vazia passou a ter direito sobre tokens deixados por outros usuários do mesmo pool. Nenhuma chave privada foi comprometida.

A UNCX confirmou em 14 de outubro, em declaração oficial, que o incidente se limita aos contratos Vesting V2 e que os bloqueadores de liquidez e os contratos antigos de vesting seguem intactos em todas as cadeas suportadas. A plataforma apontou dez tokens afetados: pepecoin, EDGEN, ZC, X, LO0P e PAAL no Ethereum; IMO na Base; BTCLE na BNB Chain; e CASHCAT e RKST na Robinhood Chain.

Para conter o problema, a empresa passou a cobrar taxa fixa acima de 1.000 ETH por novo bloqueio, removeu as interações de cliente e contrato que antes permitiam contornar as taxas e elevou a taxa por token para 5%, o máximo permitido pelos contratos Vesting V2. A equipe disse que as mudanças servem para tornar a exploração economicamente inviável. Orientou ainda os detentores dos tokens afetados a não negociar nos pools envolvidos até que cada projeto se manifeste, e informou que está em contato com a maioria das equipes afetadas e em coordenação com as autoridades e com o SEAL 911, serviço de resposta a incidentes da Aliança de Segurança.

O número da Blockaid é uma estimativa de terceiros, calculada com o valor de cada token no momento de cada drenagem, e o valor final pode mudar quando a UNCX concluir a revisão. O que já está confirmado é que nenhum fundo foi devolvido, nem pelo atacante original nem pelas carteiras que copiaram o método. O projeto disse que publica ainda nesta semana novas orientações, junto com um relatório completo sobre as constatações técnicas e um plano de recuperação proposto, e que qualquer compensação aos projetos afetados dependerá desse plano.