Hacker da GMX devolve US$ 40 milhões roubados e aceita recompensa de US$ 5 milhões
O hacker que atacou a GMX aceitou a recompensa oferecida e devolveu os fundos roubados, enquanto o token da plataforma se recupera da queda repentina causada pelo incidente.
Menos de 48 horas após desviar cerca de US$ 42 milhões em criptomoedas da plataforma de trading descentralizada GMX, o responsável pelo ataque começou a devolver os valores roubados.
Segundo uma atualização da empresa de análise on-chain PeckShield, o hacker já devolveu pelo menos US$ 40,5 milhões em ativos cripto, incluindo ether (ETH) e Legacy Frax Dollar (FRAX).
Causa raiz da exploração
Vale lembrar que o ataque ocorreu em 9 de julho, quando o invasor explorou contratos inteligentes da GMX. Um relatório pós-morte da empresa confirmou que se tratou de um ataque de reentrância. O hacker aproveitou-se de uma função de contrato inteligente que não prevenia chamadas recursivas dentro do mesmo contrato.
Essa falha de design no GMX V1 permitiu que o criminoso fizesse múltiplas chamadas dentro de uma única função, levando o contrato a calcular os saldos de forma incorreta. Com isso, foi possível inflar artificialmente o preço do GLP, o token de liquidez da GMX.
Após a invasão, o hacker roubou diversos ativos, como Wrapped Bitcoin (WBTC), FRAX e DAI. Em seguida, transferiu os fundos da rede Arbitrum para a Ethereum e converteu todos — exceto o FRAX — em 11.700 ETH.
Enquanto o hacker realizava essas movimentações, a GMX publicou uma mensagem on-chain oferecendo uma recompensa de 10% (bounty) pela devolução dos fundos, sem consequências legais, válida por 48 horas.
Devolução dos fundos roubados
Nesta manhã, o hacker respondeu à oferta da GMX com uma mensagem: “Ok, os fundos serão devolvidos mais tarde.” Primeiro, ele transferiu US$ 10,49 milhões em FRAX para o endereço multisig do Comitê de Segurança da GMX. O restante, US$ 32 milhões em ETH, que haviam sido convertidos anteriormente, também foi devolvido em partes.
Curiosamente, com a alta recente no preço do ether, os US$ 32 milhões em ETH passaram a valer US$ 35 milhões. O hacker manteve o lucro de US$ 3 milhões e devolveu o valor original, ficando com uma recompensa de cerca de US$ 4,5 milhões e devolvendo US$ 40,5 milhões no total.
Enquanto isso, a GMX confirmou que o incidente não afetou seu protocolo V2, já que essa versão não possui a vulnerabilidade explorada no V1. A equipe também removeu os limites de emissão (minting caps) dos tokens de liquidez do GMX V2 nas redes Arbitrum e Avalanche.
O token GMX, nativo da plataforma, já se recuperou da queda causada pelo ataque. Dados do CoinMarketCap mostram que o ativo subiu mais de 13% hoje.
- Veja também: Por que o Bitcoin se firma como reserva de valor
