Protocolo Wasabi drenado em US$ 4,5 milhões devido a aparente comprometimento de chave administrativa

DeFi não para de sangrar, e o Wasabi Protocol é o mais recente a descobrir o motivo.

O protocolo, uma plataforma de negociação de contratos perpétuos construída sobre Ethereum e Base, foi esvaziado em cerca de US$ 4,55 milhões na quinta-feira após os atacantes comprometerem sua chave de implantação, informou a empresa de segurança Blockaid afirmou em uma publicação no X.

O hack é o mais recente em um mês que já gerou mais de US$ 605 milhões em perdas na DeFi em pelo menos 12 incidentes. O ataque é muito semelhante à exploração do Drift Protocol em 1º de abril, quando atacantes ligados à Coreia do Norte usaram uma chave de administrador comprometida para drenar US$ 285 milhões da exchange de contratos perpétuos baseada em Solana.

A mecânica operava por meio de uma conta de propriedade externa, ou EOA, chamada wasabideployer.eth, que detinha o único ADMIN_ROLE no sistema de permissões da Wasabi.

Uma EOA é uma carteira controlada por uma chave privada, ao contrário de um contrato inteligente. Quem detém a chave controla a carteira. Uma vez que o atacante teve acesso à chave do deployer, ele concedeu a si mesmo privilégios de administrador sem qualquer atraso, ao chamar grantRole no contrato de permissão.

O contrato auxiliar deles então atualizou os cofres perpétuos e o Long Pool da Wasabi para implementações maliciosas que drenaram os saldos, informou a Blockaid.

A exploração baseou-se em um padrão conhecido como Universal Upgradeable Proxy Standard (UUPS), que permite a um contrato inteligente alterar seu código subjacente enquanto mantém o mesmo endereço.

O UUPS é amplamente utilizado porque permite que os desenvolvedores corrijam bugs sem migrar os usuários. A desvantagem é que, se um invasor controlar as permissões de administrador, ele pode substituir a lógica do contrato por qualquer coisa que desejar, incluindo código projetado para roubar fundos.

Wasabi não possuía timelock ou multisig protegendo o papel de administrador, afirmou a Blockaid. Um timelock impõe um atraso entre o momento em que uma ação administrativa é anunciada e quando ela é executada, dando aos usuários tempo para reagir. Um multisig requer múltiplos signatários para aprovar uma alteração. Wasabi não possuía nenhum dos dois, deixando uma única chave com controle total sobre o protocolo.

Contratos comprometidos incluem os cofre Wasabi's wWETH, sUSDC, wBITCOIN, wPEPE e Long Pool na Ethereum, além dos seus cofres sUSDC, wWETH, sBTC, sVIRTUAL, sAERO e sBRETT na Base, segundo a Blockaid.

Usuários detentores de tokens Wasabi LP foram aconselhados a revogar quaisquer aprovações ativas aos contratos do cofre, pois os ativos subjacentes que respaldam esses tokens haviam sido esgotados ou permaneciam em risco.

Um mês de exploits

No caso da Drift, os atacantes também exploraram uma configuração administrativa de chave única sem timelock de governança, listando um token falso como garantia e aumentando os limites de retirada para drenar ativos reais em aproximadamente 12 minutos.

Três semanas depois, em 19 de abril, Kelp DAO perdeu US$ 292 milhões quando um atacante explorou uma configuração de verificador único na ponte LayerZero do protocolo, liberando 116.500 rsETH sem lastro que foram então usados como garantia para tomar emprestado ether real ETH$2.490,55 na Aave.

O total acumulado de perdas em DeFi para 2026 já ultrapassou US$ 770 milhões em mais de 30 incidentes reportados. Apenas o mês de abril representa a maior parte desse valor.

Incidentes menores neste mês atingiram CoW Swap (US$ 1,2 milhão), Grinex (US$ 13,74 milhões), Resolv Labs (US$ 23 milhões), Volo Protocol (US$ 3,5 milhões), entre outros.

O que os une não é uma vulnerabilidade nova. Cada incidente gera a mesma linguagem de análise pós-evento sobre lições aprendidas, mas a próxima exploração geralmente ocorre antes que as lições sejam implementadas.

A Wasabi ainda não emitiu uma declaração pública sobre o incidente.

ATUALIZAÇÃO (30 de abril, 11:34 UTC): Edições gerais ao longo do texto. Move a exploração do Drift Protocol para o terceiro parágrafo.