Agentes maliciosos causaram mais de US$ 84 milhões em perdas a dois protocolos de empréstimos de finanças descentralizadas, ou DeFi, em quatro dias. Os ataques exploraram variações de uma estratégia de manipulação de preços já identificada por reguladores dos Estados Unidos.

O maior incidente atingiu a Tectonic, na blockchain Cronos. A empresa de segurança GoPlus estimou que o ataque afetou cerca de US$ 75 milhões. Três dias antes, o mercado MAMO da Moonwell, na Base, acumulou aproximadamente US$ 9,1 milhões em dívida residual após uma exploração semelhante.

Baixa liquidez do TONIC ampliou os empréstimos

O invasor da Tectonic explorou o tratamento que o protocolo oferecia ao TONIC, seu token com baixa liquidez. A plataforma aceitava o ativo como garantia para empréstimos. Dessa forma, mudanças bruscas em seu preço alteravam automaticamente a capacidade de crédito dos usuários.

A GoPlus classificou o incidente no X como um ataque de manipulação de preços e empréstimos excessivos. Conforme a análise, o invasor repetiu ciclos de depósitos e empréstimos enquanto elevava fortemente o preço do TONIC em poucos minutos.

A Tectonic aplicava ao TONIC um fator de garantia próximo de 20%. Assim, cada US$ 100 em garantia reconhecida pelo protocolo permitia aproximadamente US$ 20 em empréstimos. Quando o preço do TONIC subiu, o sistema ampliou o valor atribuído à posição do invasor.

De acordo com a GoPlus, a garantia manipulada alcançou cerca de US$ 375 milhões. Esse montante criou uma capacidade potencial de empréstimo de aproximadamente US$ 75 milhões. Em seguida, o invasor usou o limite ampliado para retirar USDT e outros recursos líquidos.

Esse mecanismo explorou a diferença entre a baixa liquidez do TONIC e o valor disponível nos pools de empréstimo. Um mercado raso pode registrar grandes oscilações mesmo com pouco capital. Contudo, o protocolo pode usar esse preço elevado para liberar crédito contra reservas muito maiores.

Quando a pressão compradora termina, o preço manipulado tende a recuar. Por consequência, a garantia pode passar a valer muito menos que os recursos retirados. O protocolo, então, fica exposto a uma dívida sem cobertura suficiente.

Cronos interrompe produção de blocos

A Cronos suspendeu a produção de blocos para conter o incidente. Ainda assim, cerca de US$ 6 milhões já haviam atravessado uma ponte para a Ethereum. Depois, o invasor converteu os recursos em aproximadamente 2.600 ETH.

A paralisação impediu a movimentação dos demais recursos afetados pela exploração. Na manhã de segunda-feira, a Cronos informou no X que a blockchain permanecia paralisada durante a investigação.

Enquanto isso, a rede recebeu apoio de equipes de segurança de diferentes empresas do setor. Porém, a Cronos não informou quando retomaria as operações. A Tectonic também não apresentou uma contabilidade final das perdas.

Moonwell acumulou dívida após ataque semelhante

Três dias antes, a Moonwell enfrentou um problema relacionado no mercado MAMO, implantado na Base. O ataque de 27 de agosto começou com cerca de US$ 1,95 milhão em USDC. Com esse valor, o invasor acumulou mais de 94 milhões de MAMO.

Depois, ele transferiu aproximadamente 53 milhões de MAMO diretamente ao contrato de garantia mMAMO da Moonwell. A operação não criou novas cotas. Por isso, a quantidade de MAMO subjacente representada por cada cota existente cresceu cerca de 3,7 vezes.

Ao mesmo tempo, o preço de mercado do MAMO avançou de aproximadamente US$ 0,0106 para US$ 0,4313. Os dois movimentos aumentaram fortemente o valor que a Moonwell reconhecia como garantia. Logo depois, o invasor usou essa avaliação inflada para contratar novos empréstimos.

Ao todo, ele realizou 18 empréstimos que somaram cerca de US$ 11 milhões em cbBTC, WETH, USDC e wstETH. As liquidações começaram somente 32 segundos após o último empréstimo. Mesmo assim, a Moonwell ficou com aproximadamente US$ 9,1 milhões em obrigações residuais.

A empresa de segurança SlowMist estimou no X perdas de cerca de US$ 8,7 milhões. A companhia apontou a dependência dos preços de um mercado pouco líquido de MAMO como a principal vulnerabilidade.

Ataques repetem estratégia da Mango Markets

Embora os mecanismos apresentassem diferenças, os ataques seguiram uma estratégia econômica semelhante. Os invasores criaram valor artificial de garantia com recursos pouco líquidos. Na prática, eles converteram avaliações infladas em capacidade de empréstimo contra pools maiores de capital.

O precedente mais conhecido ocorreu na Mango Markets, em outubro de 2022. Avraham Eisenberg montou posições ligadas ao MNGO antes de comprar agressivamente o ativo em corretoras que forneciam preços à plataforma. Como o mercado tinha pouca liquidez, as compras elevaram rapidamente a cotação.

O preço informado do MNGO aumentou mais de 13 vezes em cerca de 30 minutos. Eisenberg usou o valor inflado das posições como garantia. Com isso, retirou mais de US$ 110 milhões em recursos digitais da Mango Markets.

No início de 2023, reguladores dos Estados Unidos processaram Eisenberg pela conduta. A Commodity Futures Trading Commission descreveu a operação como um esquema manipulativo e enganoso. A autoridade também classificou o processo como seu primeiro caso de manipulação de oráculo em uma plataforma descentralizada de recursos digitais.

Em uma ação paralela, a Securities and Exchange Commission afirmou que Eisenberg elevou artificialmente o preço do MNGO. A agência alegou que ele usou a garantia superavaliada para tomar emprestados e retirar cerca de US$ 116 milhões.

Mais de três anos após essas ações regulatórias, Tectonic e Moonwell mostram que variações desse ataque econômico continuam viáveis. A fragilidade aparece quando recursos pouco negociados sustentam limites de crédito muito superiores à liquidez necessária para alterar seus preços.