Uma operação de resgate executada pela empresa de tecnologia e Web3 Yuga Labs permitiu a recuperação de 68 tokens não fungíveis (NFTs) avaliados em mais de US$ 500 mil, após uma vulnerabilidade na plataforma DeFi, Flooring Protocol expôs ativos pertencentes a algumas das coleções mais reconhecidas do ecossistema Ethereum.
Entre os NFTs recuperados estão 29 Bored Apes, dois CryptoPunks e quatro Mutant Apes. Por agora, Esses bens permanecem sob custódia temporária de Yuga. enquanto soluções são desenvolvidas para corrigir os problemas detectados no protocolo afetado.
O incidente ocorreu no Flooring Protocol, plataforma projetada para fornecer liquidez ao mercado de NFT. Sua operação permite aos usuários bloquear NFTs e receber fpTokens respaldados por esses ativos. Por poderem ser trocados com mais facilidade, esses tokens ajudam a fracionar o valor dos NFTs e a gerar liquidez em um mercado que costuma ser pouco dinâmico devido à escassez de compradores e aos altos preços de algumas coleções. Embora este modelo procure facilitar as operações num mercado tradicionalmente ilíquido, também pode gerar riscos quando há falhas na infraestrutura técnica.
De acordo com as informações divulgadas sobre o caso, O invasor iniciou a exploração usando uma pequena quantidade de ether encapsulado (WETH). Devido a uma falha na contabilidade interna do protocolo, ele conseguiu gerar uma quantidade praticamente ilimitada de fpTokens, o que permitiu que seu valor despencasse e esvaziasse diversas reservas de liquidez.
Como foi realizado o ataque?
O vice-presidente da Yuga Labs, conhecido pelo nome pseudônimo 0xQuitexplicou que a vulnerabilidade se originou de um identificador de token manipulado que causou uma espécie de “propriedade fantasma”. Na prática, as verificações externas de propriedade continuaram a funcionar, enquanto a contabilidade interna registava informações diferentes. Essa discrepância revelou-se crítica para um sistema cuja segurança depende da correspondência exata entre os NFTs depositados e os tokens emitidos.
A falha foi agravada pelo aparecimento de dois erros de tipo estouro negativosituação em que uma operação matemática gera resultados inesperados ao ultrapassar os limites mínimos permitidos pelo sistema, o que acaba colapsando-o. Como resultado, o atacante conseguiu inflar artificialmente o seu saldo e manipular a economia interna do protocolo para extrair fundos dos seus pools de liquidez.
Depois de analisar o incidente, Pesquisadores identificaram uma segunda via de ataque que colocam em risco NFTs de valor muito mais alto, incluindo ativos de coleções de primeira linha. Estes não foram afetados na primeira fase do explorar pois estavam em reservas com menor atividade, o que inicialmente passou despercebido ao atacante.
A gravidade da descoberta levou a Yuga Labs a intervir rapidamente. De acordo com CEOMichael Figgeforam mobilizados recursos através da plataforma GrailsOTC para financiar uma operação defensiva. A equipe implantou um contrato que explorava a mesma vulnerabilidade usada pelo invasormas com o objetivo de guardar os bens antes de serem roubados. Este tipo de intervenção é conhecido na indústria como operação de “chapéu branco” ou chapéu branco.
O contexto também favoreceu a exploração. O ataque ocorreu no fim de semana, quando a supervisão das atividades na rede costuma ser menor, conforme indicou a empresa. Além do mais, Protocolo de Pisos Estava em fase de desativação progressiva desde o ano anterior e sua divisão focada em NFT operava com gerenciamento limitado, situação que aumentava a exposição a um ataque sofisticado.
A vulnerabilidade passou despercebida
Yuga Labs garantiu que NFTs serão devolvidos aos seus proprietários uma vez que exista uma solução técnica segura. A empresa destacou esse ponto para diferenciar a operação de uma apropriação unilateral de recursos, questão particularmente sensível dentro do ecossistema.
Por sua vez, o arquiteto original do Flooring Protocol, conhecido pelo pseudônimo 0xAlmoço Grátisassumiu a responsabilidade pelo incidente. Como ele explicou, a vulnerabilidade teria passado despercebida durante as auditorias porque o código foi altamente otimizado para reduzir os custos do gás, uma prática comum no Ethereum que pode dificultar a revisão da segurança.
A desenvolvedora revelou ainda que era provedora de liquidez dentro da plataforma e que perdeu seus próprios ativos durante o ataque. Além disso, levantou a possibilidade de que O responsável teria utilizado ferramentas avançadas de inteligência artificial para identificar ou explorar a vulnerabilidade, embora até o momento não haja evidências que confirmem esta hipótese.
A identidade do invasor permanece desconhecida e parte dos NFTs roubados continuam fora do controle dos afetados. Isto significa que embora a intervenção de Yuga tenha conseguido limitar uma parcela significativa das perdas, o caso permanece aberto.
O incidente destaca mais uma vez os riscos enfrentados pelos protocolos de liquidez NFT e demonstra que mesmo as coleções mais prestigiadas podem ser afetadas por erros ocultos na infraestrutura que as suporta.
