O exploit contra o Curve, em 30 de julho de 2023, causou perdas documentadas de US$ 69,3 milhões. A apuração atribuiu o valor a quatro pools de liquidez afetados. Contudo, a cifra de US$ 351,6 milhões, reproduzida em alguns resumos, não possui confirmação por relatório oficial, análise on-chain ou divulgação do protocolo. Portanto, esse montante maior deve ser tratado como não confirmado.

O ataque explorou uma falha no compilador Vyper, usado na criação de contratos inteligentes. Assim, o problema não estava diretamente na lógica escrita pelos desenvolvedores do Curve. Ainda assim, usuários expostos à liquidez, às garantias e aos produtos de rendimento conectados ao protocolo sofreram efeitos diretos e indiretos. O episódio também mostrou como uma falha na infraestrutura de desenvolvimento pode alcançar diferentes partes do setor de finanças descentralizadas.

Quatro pools do Curve sofreram ataques de reentrância

Os ataques atingiram pools compilados com as versões 0.2.15, 0.2.16 e 0.3.0 do Vyper. Essas edições implementavam de forma incorreta o bloqueio contra reentrância. Esse mecanismo impede que uma chamada externa retorne ao contrato antes do fim da execução anterior. Quando a proteção falha, um contrato malicioso pode repetir chamadas e alterar a contabilidade interna.

Os invasores drenaram quatro pools que lidavam com ETH nativo. Dessa forma, os contratos utilizavam o caminho de recebimento de Ether associado ao Vyper. Essa condição permitiu a sequência de reentrância empregada nos ataques. Em contrapartida, pools sem essa combinação específica não enfrentavam o mesmo vetor de exploração.

A análise detalhada vinculou US$ 69,3 milhões aos pools atingidos. Já o valor de US$ 351,6 milhões segue sem metodologia pública verificável. Caso a cifra inclua perdas indiretas, liquidações ou oscilações de mercado, sua composição precisa ser explicada. Sem essa discriminação, o número não representa uma perda confirmada do protocolo.

Falha no compilador ampliou o risco dos contratos

A vulnerabilidade estava abaixo da camada da aplicação. O Vyper converte código legível em bytecode executado pela Máquina Virtual Ethereum. Por consequência, uma auditoria concentrada somente no código-fonte poderia não identificar um erro introduzido durante a compilação. O caso reforçou a necessidade de verificar também o bytecode implantado.

O registro CVE-2023-42441 descreve a alocação incorreta de espaços de armazenamento usados pelo bloqueio contra reentrância. A vulnerabilidade afetou contratos produzidos com versões específicas do Vyper. Como resultado, chamadas externas podiam contornar a proteção esperada. Projetos que mantinham esses contratos em produção carregavam risco mesmo com uma lógica aparentemente correta.

Além disso, contratos implantados havia anos continuavam expostos porque a compilação ocorre antes da publicação na blockchain. Uma atualização da linguagem, por si só, não modifica o bytecode já implantado. Nesse contexto, as equipes precisam migrar contratos vulneráveis ou substituir os pools afetados. Também devem confirmar a versão usada em cada implantação.

Impacto alcançou usuários e outros protocolos DeFi

O Curve ocupa uma posição estrutural no DeFi por sustentar negociações entre ativos correlacionados e estratégias de rendimento. Quando um pool perde liquidez, protocolos dependentes podem enfrentar distorções adicionais. Entre os riscos estão falhas em liquidações, alterações de preços e desvalorização de tokens LP usados como garantia. Por isso, o impacto pode superar o valor retirado diretamente dos contratos.

Ao mesmo tempo, a migração rápida de liquidez pode elevar a derrapagem e dificultar saques. Usuários que ofereciam CRV ou tokens LP como garantia também enfrentavam risco de liquidação. Enquanto isso, integrações que direcionavam operações aos pools afetados podiam produzir falhas de execução. Essas interdependências ampliaram a repercussão do incidente.

Na coleta dos dados, o CoinGecko indicava o CRV a US$ 0,33631, com valor de mercado próximo de US$ 532 milhões. O preço permanecia muito abaixo do pico histórico do ativo. Entretanto, uma cotação isolada não permite atribuir todo o desempenho posterior ao exploit. Outros fatores de mercado também influenciam o valor do CRV.

Como avaliar riscos associados a compiladores

O caso destacou uma categoria de risco que muitos usuários não verificam: a versão do compilador. Em geral, a diligência considera auditorias, reputação da equipe e tempo de operação. Porém, painéis destinados ao público raramente mostram a procedência da compilação. Essa ausência dificulta a avaliação independente dos contratos.

Primeiro, investidores podem procurar a versão do compilador em auditorias e documentos de implantação. Contratos produzidos com edições vulneráveis do Vyper exigem atenção adicional, sobretudo quando manipulam ETH nativo. Em seguida, o usuário deve verificar se o protocolo migrou os contratos ou adotou outra medida de proteção. Um canal ativo de resposta a incidentes também reduz a incerteza operacional.

Também é importante mapear as dependências das garantias usadas em plataformas de empréstimo. Uma queda no valor de tokens LP pode reduzir rapidamente o limite de liquidação. Embora auditorias continuem essenciais, elas não eliminam falhas originadas na ferramenta de compilação. A verificação precisa abranger o código-fonte, o bytecode e o ambiente de implantação.

Valor de US$ 351,6 milhões carece de fonte primária

Divulgar uma perda superior ao montante documentado altera a percepção de risco sobre o DeFi. Além disso, o número pode influenciar avaliações institucionais e discussões regulatórias sobre segurança. Os US$ 69,3 milhões atribuídos aos quatro pools já colocam o episódio entre os grandes exploits do setor. Portanto, qualquer total alternativo precisa apresentar uma metodologia clara.

Se os US$ 351,6 milhões incluírem liquidações, queda de capitalização ou efeitos indiretos, essas parcelas devem aparecer separadamente. Sem um relatório de governança, pós-incidente ou análise on-chain, a cifra permanece uma alegação não confirmada. Na mesma coleta, o Índice de Medo e Ganância marcava 51 pontos, nível considerado neutro. Todavia, o indicador mede o sentimento geral do mercado e não a recuperação específica do Curve.

Perguntas frequentes sobre o exploit do Curve

O Curve perdeu US$ 69,3 milhões ou US$ 351,6 milhões?

O total de US$ 69,3 milhões corresponde às perdas atribuídas aos quatro pools atingidos em 30 de julho de 2023. Por outro lado, os US$ 351,6 milhões não possuem fonte primária rastreável nas informações apresentadas. Assim, o valor maior deve permanecer como não confirmado.

Quais usuários ficaram mais expostos?

Os provedores de liquidez dos quatro pools enfrentaram os efeitos mais imediatos. Detentores de tokens LP usados como garantia também correram risco de liquidação. Do mesmo modo, protocolos integrados aos pools podiam registrar falhas ou distorções na execução de operações.

Usuários podem recuperar recursos após um exploit?

Parte dos recursos retornou após o incidente. Contudo, os dados apresentados não estabelecem um total definitivo de recuperação ou compensação. A restituição depende de devoluções, intervenções de segurança, reservas do protocolo e decisões de governança.

Qual é a principal lição para desenvolvedores?

Auditar o código-fonte é necessário, mas não resolve todos os riscos. Desenvolvedores devem usar versões seguras do compilador e verificar o bytecode antes da implantação. Em contratos que manipulam ETH nativo, a equipe também precisa testar diretamente a proteção contra reentrância.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.