Ação tokenizada do Google inflacionou 7.700% em raro exploit de empréstimos DeFi

A plataforma de negociação de ações tokenizadas Edel Finance suspendeu seu protocolo de empréstimos na terça-feira após um atacante explorar a forma como ela precifica uma ação tokenizada, tomando empréstimos com garantia inflacionada para cerca de 78 vezes seu valor real e gerando cerca de US$ 403.000 em dívida inadimplente, informou a equipe.

O ativo-alvo era uma versão tokenizada da ação do Google, da Alphabet. A Edel Lending aceitava wGOOGLx, uma forma envolvida da ação tokenizada GOOGLx, como garantia.

Um token wrapped é uma versão de um ativo reembalado para funcionar dentro de um protocolo específico, e destina-se a acompanhar o ativo subjacente numa proporção de um para um. O atacante manipulou a taxa de câmbio entre os dois de modo que o wGOOGLx fosse avaliado em cerca de 78 vezes o seu valor real, e então utilizou essa garantia fantasma para tomar empréstimos de ativos reais do protocolo.

O próprio preço não foi o ponto fraco. Edel afirmou que utilizou oráculos da Chainlink, os serviços terceirizados padrão que fornecem preços do mundo real para uma blockchain, e estes estavam reportando o preço correto da ação do Google, por volta de US$ 357.

A falha estava no mecanismo de wrapping. O atacante interferiu na forma como o GOOGLx era convertido para e a partir do wGOOGLx, fazendo com que a garantia fosse precificada incorretamente, mesmo que o feed de preço subjacente estivesse preciso.

Edel afirmou que detectou e conteve a exploração, em seguida pausou todos os seus contratos da versão um, que permanecem congelados, e alertou os usuários para não interagirem com eles.

A equipe acrescentou que rastreou as transações do atacante e está coordenando com as exchanges, além de ter oferecido ao atacante um acordo whitehat, um acordo que permite ao hacker devolver a maior parte dos fundos em troca de uma taxa e da não perseguição legal, dentro de um prazo determinado.

Nenhum depositante sofrerá prejuízo, observou Edel, com a equipe absorvendo a dívida inadimplente e restaurando os saldos um a um. Está sendo implementada uma versão dois com um modelo de precificação redesenhado, destinado a bloquear esse tipo de manipulação, e foi prometida uma análise técnica completa em seguida.

Embora o valor seja pequeno, o método se enquadra em uma das categorias mais persistentes de exploração no DeFi.

Manipular o preço que um protocolo lê, ao invés de invadi-lo, é classificado como a segunda vulnerabilidade mais comum em contratos inteligentes no OWASP Top 10 de Contratos Inteligentes vulnerabilidades para 2025, e os pesquisadores de segurança da CertiK descrevem a manipulação de preços de oráculos como uma das do setorvetores de ataque mais comuns.

Juntamente com as pontes cross-chain, que foram responsáveis pelos maiores furtos únicos do ano, incluindo os 292 milhões de dólares desviados da Kelp DAO em abril, a manipulação de preços é onde grande parte do dinheiro continua sendo direcionada, e na maioria desses casos, o código funciona conforme escrito.

As ações tokenizadas expandem essa superfície. Produtos que colocam ações como as da Google em blockchain estão entre as áreas de crescimento mais rápido do DeFi, e eles adicionam mais uma camada entre um ativo e seu preço: as etapas de encapsulamento e conversão que transformam uma ação em garantia.