Atacante cunha tokens Polkadot de US$ 1 bilhão no Ethereum e rouba apenas US$ 250.000

Os hacks de criptografia não são novidade, mas não são comuns os casos em que os invasores assumem grandes riscos e saem com amendoins. Esse raro cenário aconteceu no domingo.

Um invasor explorou uma vulnerabilidade no gateway cross-chain do Hyperbridge que conecta diferentes blockchains, cunhando 1 bilhão de tokens Polkadot (US$ 1,19 bilhão) no Ethereum e despejando-os por aproximadamente US$ 237.000 em Ether.

A exploração se soma a uma lista crescente de vulnerabilidades de ponte em 2026. No mês passado, houve um dreno de US$ 270 milhões do Drift Protocol em Solana, enquanto um ataque de engenharia social, em vez de uma exploração de código, envolveu de forma semelhante a infraestrutura comprometida.

A exploração de domingo teve como alvo o contrato de ponte, não a rede principal de Polkadot. O token nativo DOT de Polkadot não foi afetado. A vulnerabilidade estava na forma como o contrato EthereumHost da Hyperbridge valida as mensagens recebidas entre cadeias antes de passá-las para o TokenGateway.

As pontes, que ajudam a mover moedas de uma blockchain para outra, continuam sendo o elo mais fraco na arquitetura cross-chain porque detêm controle de nível administrativo sobre contratos de tokens em cadeias de destino, o que significa que uma única falha de validação pode conceder a um invasor a capacidade de cunhar fornecimento ilimitado.

Veja como o ataque se desenrolou

Os rastreamentos na cadeia mostram que o invasor enviou uma mensagem forjada via dispatchIncoming, que foi roteada para TokenGateway.onAccept.

A verificação de recebimentos de solicitação, que deveria ter verificado a mensagem em relação a um compromisso de estado de cadeia cruzada válido de Polkadot, armazenou um valor de compromisso totalmente zero, sugerindo que a validação da prova estava ausente ou contornada para este caminho de chamada específico. O gateway processou a mensagem como legítima.

A mensagem aceita executou changeAdmin no contrato de token Polkadot em ponte, transferindo direitos de administrador para o endereço do invasor. Com controle administrativo, o invasor cunhou 1 bilhão de tokens em uma única transação e os encaminhou através do Odos Router V3 para um pool Uniswap V4 DOT-ETH, extraindo cerca de 108,2 ETH no que parecem ser vários swaps a preços ligeiramente diferentes.

A liquidez funcionou contra o atacante

A fraca liquidez/profundidade, ou a capacidade do mercado de absorver grandes encomendas a preços estáveis, é normalmente um grande problema para as baleias. Mas, neste caso, funcionou contra o atacante, limitando o seu lucro.

O pool DOT em ponte no Ethereum tinha profundidade limitada, o que significa que 1 bilhão de tokens sobrecarregaram a liquidez disponível e o invasor recebeu uma fração de centavo por token.

Num pool mais profundo ou num ativo interligado de valor mais elevado, a mesma vulnerabilidade teria produzido perdas significativamente maiores. O DOT é negociado pouco menos de US$ 1,20 na manhã asiática de segunda-feira.

A CertiK sinalizou a exploração, confirmando que o vetor de ataque era o contrato de gateway Hyperbridge e que o invasor lucrou aproximadamente US$ 237.000 com a cunhagem e venda dos tokens em ponte.

A Hyperbridge não comentou publicamente sobre a exploração nem divulgou se outros contratos de token em ponte que usam o mesmo gateway são vulneráveis ​​ao mesmo vetor de ataque de mensagem forjada.