A equipe por trás do protocolo de finanças descentralizadas (DeFi) Wasabi confirmou que sua plataforma foi hackeada hoje, 30 de abril: “Estamos cientes do problema e investigando-o ativamente. Como precaução, não interaja com os contratos Wasabi até novo aviso.
Embora a declaração de Wasabi não ofereceu detalhesNo momento em que este artigo foi escrito, conforme relatado pelas empresas de segurança PeckShield, Blockaid, CertiK e BlockSec, o invasor drenou até US$ 5,5 milhões nas redes Ethereum, Base, Berachain e Blast.
A exploração ocorreu porque o hacker conseguiu assumir o controle administrativo do protocolo após comprometer a carteira principal do Wasabi, que é a conta com as maiores permissões administrativas no protocolo. Com a chave em sua posse, o invasor atribuiu a si mesmo a função de administradormodificou os contratos que protegem os fundos dos usuários e introduziu uma versão maliciosa que transferia esses fundos para seus próprios endereços. Os pesquisadores não confirmaram como o invasor obteve a chave daquela carteira Wasabi.
O desenvolvedor conhecido no X como Vadim acrescentou que o contrato Wasabi funcionou exatamente como projetado e que O problema não foi um bug no código, mas uma decisão arquitetônica. O protocolo concentrou o controle administrativo em uma única carteira, sem exigir múltiplas assinaturas ou período de espera antes de executar alterações críticas. Qualquer pessoa que obtivesse essa chave poderia modificar o protocolo instantaneamente, sem restrições.
Como os usuários do Wasabi foram afetados?
Wasabi permite depositar ativos em cofres de liquidez em troca de retornos. Ao fazer isso, o protocolo entrega tokens LP. provedor de liquidezprovedor de liquidez), que funcionam como recibos digitais que representam a participação do usuário naquele cofre e permitem retirar seu capital mais os lucros acumulados.
Foram exatamente esses cofres que o invasor esvaziou ao assumir o controle administrativo do protocolo, segundo o Analistas de bloqueio. Os tokens LP que os usuários mantêm em suas carteiras continuam mostrando valor na tela, mas segundo o Blockaid seu valor de resgate é zero: os fundos que os garantiam não estão mais lá.
Vadim confirmou que, após a drenagem, a equipe Wasabi conseguiu revogar as permissões do atacante, então um segundo ataque pelo mesmo vetor não seria possível. Os fundos roubados, porém, permanecem nas carteiras do invasor.
Finalmente, a equipe Berachain explicado que “se você tiver fundos em Wasabi, retire-os agora.” Da equipe Blockaid, por sua vez, recomendo revogar imediatamente qualquer aprovação ativa aos contratos Wasabi para evitar que o invasor acesse fundos adicionais.
