Em outubro de 2022, a Mango Markets perdeu $116 milhões devido à manipulação de preços de oracle.
Em maio de 2022, a Venus perdeu $11,2 milhões por causa de atraso na atualização de preços do oracle.
No último julho, a Rho Markets perdeu $7,6 milhões após uma atualização de contrato levar a preços de oracle incorretos.
A verdade é que essas perdas poderiam ter sido completamente evitadas. Como? Continue lendo.
Oracles: A Linha de Vida dos Protocolos DeFi
Os oracles, que alimentam dados nas blockchains, são fundamentais para casos de uso DeFi como empréstimos e derivativos. No entanto, muitos projetos importantes—incluindo Compound, Cream Finance, Mango Markets, Venus e Rho Markets—sofreram perdas significativas devido a ataques relacionados a oracles.
Imagine que você deposita um ETH em uma plataforma de empréstimo, esperando tomar emprestado algum ativo, apenas para descobrir que sua garantia foi avaliada em mais de 63 mil dólares! Você pode pensar que ganhou na loteria. Para as equipes de protocolo, porém, esse é um cenário de pesadelo. Isso realmente aconteceu no ano passado na Rho Markets.
Anomalias de Preço: A Falha Fatal Ignorada
Em 19 de julho de 2024, a Rho Markets atualizou seus contratos inteligentes para lançar um novo mercado de ativos. No entanto, uma configuração incorreta no script de implantação fez com que os preços de BTC e ETH do oracle fossem invertidos. Como resultado, o preço do ETH foi erroneamente inflado em 20 vezes, permitindo que usuários tomassem emprestado grandes quantias a um custo mínimo—e, em última análise, levando a $7,6 milhões em perdas.
Linha do Tempo Principal (UTC):
- 1️⃣ 08:58:29 (Bloco 7580110) — O oracle retornou o preço normal do ETH.
-
2️⃣ 08:58:32 (Bloco 7580111) — O contrato do oracle foi atualizado. Hash da transação: https://app.blocksec.com/explorer/tx/scroll/0x9d2388a0c449c6265b968d86f0f54e75a5b82e2b04176e35eefdff5f135547ec
-
3️⃣ 08:58:34 (Bloco 7580112) — Um bloco depois, o preço do ETH retornado pelo oracle disparou de $3.384 para $63.653 (o preço do BTC foi aplicado erroneamente ao ETH), 17 vezes o valor real!
-
4️⃣ 08:59:49 — Apenas um minuto depois, o primeiro ataque foi lançado: um bot MEV usou 84 ETH como garantia para tomar emprestado 942 wstETH. Repetindo esse processo, o bot drenou $7,6 milhões. Hash da transação do primeiro ataque: https://app.blocksec.com/explorer/tx/scroll/0x0a7b4c6542eb8f37de788c8848324c0ae002919148a4426903b0fb4149f88f05
-
5️⃣ 10:33:01 — Os componentes vulneráveis do protocolo foram desativados, mas já era tarde demais.
Se a Rho Markets tivesse implantado os Monitores de Oracle do Phalcon, como as coisas seriam diferentes?
👉 👉 O Phalcon teria detectado instantaneamente o preço anormal e acionado uma resposta de emergência automatizada—eliminando completamente qualquer oportunidade de ataque.
O Phalcon suporta monitoramento de anomalias de preço de oracle:
-
Desvio de Preço: Monitora a magnitude das mudanças de preço do oracle e sinaliza picos ou quedas abruptas. (ex.: alerta se o preço mudar mais de 200% entre duas amostras)
-
Faixa de Preço: Define limites de preço aceitáveis. (ex.: alerta se o preço sair da faixa de $2.380–$4.380)
-
Divergência de Preço: Compara o preço do oracle base com um oracle de referência. (ex.: alerta se os preços diferirem em mais de 30%)
Normalmente, a equipe do projeto verifica rigorosamente as configurações críticas antes de atualizações de contrato ou mudanças de parâmetros. No entanto, neste incidente, uma falha humana levou à omissão das verificações de preço do oracle. Embora os ativos perdidos tenham sido devolvidos pelo bot MEV neste caso, essa "sorte" é rara na maioria dos ataques.
Na prática, configurar qualquer um dos monitores acima teria permitido ao sistema detectar valores anormais do oracle imediatamente e alertar a equipe por qualquer um dos sete canais de notificação suportados. Mais importante, a intervenção manual costuma ser muito lenta—o tempo entre uma anomalia e uma exploração pode ser extremamente curto (neste caso, apenas um minuto). Com o Phalcon, as defesas de emergência são acionadas automaticamente, de modo que os ataques simplesmente não têm chance de acontecer.
Atrasos e Falhas Também Podem Ser Fatais
Em maio de 2022, enquanto o preço do $LUNA continuava despencando, o disjuntor integrado da Chainlink foi acionado, fazendo com que as atualizações de preço do $LUNA fossem pausadas em $0,107. O protocolo Venus não percebeu isso a tempo e continuou operando com o preço desatualizado. Quatro horas depois—quando a equipe respondeu—o preço real havia caído para $0,01. Durante esse período, vários endereços usaram $LUNA como garantia para tomar emprestado grandes quantias de ativos, resultando em uma perda de cerca de $11,2 milhões para o protocolo.
Se a Venus tivesse implantado os Monitores de Oracle do Phalcon, como as coisas seriam diferentes?
👉 👉 O Phalcon suporta monitoramento de atrasos na atualização de preços e verificações de saúde do oracle—garantindo feeds de preço pontuais e confiáveis. Se alguma anomalia tivesse ocorrido, a equipe teria sido alertada instantaneamente.
Muitos projetos dependem de um único oracle como fonte de preço e carecem de mecanismos para se proteger contra anomalias de preço. Quando as coisas dão errado, os atacantes lucram, os usuários são liquidados e a reputação dos projetos é abalada.
O Phalcon pode monitorar tanto oracles personalizados quanto de terceiros (como Chainlink e Pyth), fornecendo garantia em tempo real de estabilidade e precisão de preços, prevenindo riscos de liquidação e manipulação de preços.
O que é o BlockSec Phalcon?
O Phalcon combina perfeitamente a Prevenção de Ameaças de Segurança (APP de Segurança) e o Gerenciamento de Riscos de Conformidade (APP de Conformidade), oferecendo aos usuários uma solução integrada para segurança e conformidade.
APP de Segurança
🔗 https://blocksec.com/phalcon/security
Oferece proteção abrangente pós-lançamento, incluindo:
- Monitoramento de ataques em tempo real
- Monitoramento de riscos operacionais, de interação, financeiros e personalizados
- Proteção dinâmica do Safe{Wallet}
- Monitoramento flexível para preços de tokens, quantidades, variáveis-chave, eventos sensíveis e chamadas de função
- Resposta de emergência automatizada (suporta carteiras EOA e multi-sig)
APP de Conformidade
🔗 https://blocksec.com/phalcon/compliance
Rastreia endereços e monitora transações em tempo real, ajudando VASPs a identificar exposição a riscos e atividades suspeitas de usuários para atender aos requisitos de conformidade AML/CFT.
🔥 Experimente Agora
O BlockSec Phalcon agora suporta mais de 30 blockchains principais, incluindo Ethereum, BSC, Solana, Base, Tron, Arbitrum, Avalanche, Optimism, Manta, Merlin, Mantle, Sei, Bitlayer, Core, BoB, Story, Sonic, Gnosis e Berachain.
Agende uma demonstração do produto agora! Clique aqui ou acesse o link abaixo. Comece em apenas 10 segundos—os primeiros 30 cadastros ganham um teste gratuito!
🔗 Agendar uma Demonstração: https://blocksec.com/book-demo
