Durante a semana passada (2026/05/11 - 2026/05/17), a BlockSec identificou múltiplos incidentes de ataques em vários ecossistemas blockchain. A tabela abaixo lista 3 incidentes notáveis com perdas totais estimadas em aproximadamente $4,72M.
| Data | Incidente | Tipo | Perda Estimada |
|---|---|---|---|
| 2026/05/12 | Incidente Transit Finance | Chamada Arbitrária | ~$1,88M |
| 2026/05/12 | Incidente TAC | Validação Inadequada | ~$2,8M |
| 2026/05/13 | Incidente Boost Hook | Lógica de Negócio Defeituosa | ~$46,75K |
Três incidentes foram selecionados para análise aprofundada:
- Transit Finance: um contrato legado de swap e bridge, supostamente descontinuado desde 2022, foi explorado por meio de encaminhamento arbitrário de calldata para drenar usuários que nunca revogaram suas aprovações de
USDT. - TAC: a maior perda desta semana (~$2,8M), onde a ausência de verificação de carteira canônica no fluxo de depósito de jetton no lado TON permitiu que notificações falsas de depósito acionassem a cunhagem cross-chain no TAC EVM.
- Boost Hook: um protocolo de perpetual baseado em hook do Uniswap V4 explorado por meio de manipulação de preço spot, demonstrando os riscos de usar preços do
slot0como preços de entrada para posições alavancadas.
Melhor Auditor de Segurança para Web3
Valide design, código e lógica de negócio antes do lançamento
Destaque da Semana: Transit Finance
Este incidente é destacado porque demonstra um padrão de risco persistente: contratos inteligentes descontinuados com aprovações de tokens remanescentes. Mesmo quando um protocolo considera um contrato obsoleto, os usuários que nunca revogaram suas aprovações permanecem expostos indefinidamente, tornando a infraestrutura legada uma superfície de ataque latente.
Em 12 de maio de 2026, o Transit Finance, um protocolo de agregação de swap e bridge cross-chain, foi explorado na TRON por aproximadamente $1,88M [1]. O atacante abusou de um caminho de execução arbitrário de calldata em um contrato legado TransitMixSwapBridge para invocar USDT.transferFrom() contra usuários que anteriormente haviam concedido aprovações ilimitadas de USDT ao contrato de aprovação da Transit. Embora o contrato afetado tivesse sido supostamente descontinuado desde 2022, os relacionamentos de aprovação permaneceram ativos e exploráveis.
Contexto
O Transit Finance é um protocolo de agregação de swap e bridge cross-chain que permite aos usuários trocar e transferir ativos entre múltiplas blockchains, incluindo a TRON. A implantação do protocolo na TRON incluía historicamente um contrato TransitMixSwapBridge que roteava execuções de swap e bridge por meio de um proxy interno e um pipeline de aprovação.
Análise de Vulnerabilidade
O contrato TransitMixSwapBridge com falha (TUfPjK...Ukbc4) expunha funcionalidade de encaminhamento arbitrário de calldata: calldata controlado pelo atacante podia ser propagado pela cadeia de execução interna da Transit sem validação suficiente. Isso permitiu ao atacante criar payloads que por fim acionavam chamadas USDT.transferFrom() por meio do contrato de aprovação da Transit (TransitApproveGovernanceTron), que ainda mantinha permissões ilimitadas concedidas pelos usuários.
O defeito central é que o caminho de execução não realizava nenhuma restrição sobre o alvo ou calldata da chamada encaminhada, permitindo que chamadas externas arbitrárias fossem executadas sob a autoridade do contrato de aprovação.
Análise do Ataque
A análise a seguir é baseada na transação 3a981b83...ce918ac2.
-
Passo 1: O atacante invocou o contrato
TransitMixSwapBridgecom calldata criado. O calldata foi encaminhado pelo proxy da Transit e pelo pipeline de execução do bridge até o contrato de aprovação. -
Passo 2: O contrato de aprovação da Transit (
TransitApproveGovernanceTron) executou chamadasUSDT.transferFrom()controladas pelo atacante. Como os usuários haviam previamente concedido permissões ilimitadas deUSDTa este contrato de aprovação, as chamadas foram bem-sucedidas. -
Passo 3: O
USDTfoi transferido diretamente das carteiras das vítimas para o endereço controlado pelo atacante, totalizando aproximadamente $1,88M.
Conclusão
O incidente foi causado por uma vulnerabilidade de execução arbitrária de calldata em um contrato legado TransitMixSwapBridge combinada com aprovações ilimitadas de tokens persistentes. Embora o contrato tivesse sido supostamente descontinuado desde 2022, os relacionamentos de aprovação permaneceram ativos e exploráveis. As principais lições são: (1) contratos descontinuados devem ser completamente desativados, incluindo a revogação de qualquer autoridade de aprovação que possuam, (2) caminhos de encaminhamento arbitrário de calldata devem validar tanto o endereço de destino quanto o seletor de função, e (3) os usuários devem auditar e revogar regularmente aprovações desnecessárias de tokens, especialmente para protocolos descontinuados.
Referências
Comece a Usar o Phalcon Explorer
Mergulhe nas Transações para Agir com Sabedoria
Experimente gratuitamenteMais Incidentes desta Semana
TAC
Em 12 de maio de 2026, o TAC, um protocolo de bridge que estende o TON com execução compatível com EVM, foi explorado por aproximadamente $2,8M [1]. A causa raiz foi a ausência de verificação de carteira canônica no fluxo de depósito de jetton no lado TON: o TAC JettonProxy aceitou uma JettonNotify de uma carteira jetton não canônica sem verificar se o remetente correspondia à carteira canônica derivada pelo master jetton oficial. Isso permitiu ao atacante enviar notificações falsas de depósito que acionavam mensagens cross-chain válidas e cunhavam ativos mapeados no TAC EVM.
Contexto
O TON não é nativamente compatível com EVM, o que limita o acesso direto a aplicações DeFi no estilo Ethereum. O TAC estende o TON fornecendo uma bridge que permite que ativos e mensagens originados no TON sejam processados em um ambiente compatível com EVM. Nesse design, depósitos de tokens no lado TON são convertidos em mensagens cross-chain e cunhados como ativos mapeados no TAC EVM.
Análise de Vulnerabilidade
O contrato TAC JettonProxy com falha está implantado em EQAChA...xMdw.
A vulnerabilidade é a ausência de verificação de carteira canônica no caminho de entrada de tokens no lado TON. O TAC JettonProxy aceitava mensagens JettonNotify sem verificar se msg.sender era a carteira jetton canônica derivada pelo master jetton oficial para o proprietário reivindicado. Por causa disso, uma carteira não canônica poderia enviar uma JettonNotify falsa, fazê-la ser tratada como um depósito legítimo e acionar uma mensagem cross-chain válida de TVM para EVM.
Análise do Ataque
A análise a seguir é baseada nas transações 549807fd...3757e1 e 0x0942a5...0dad224d.
- Passo 1: O atacante implantou um contrato semelhante a uma carteira e o utilizou para enviar uma
JettonNotifyaoTAC JettonProxy. O payload reivindicava uma transferência de token e incluía umforward_payloadcontendo dados de execução cross-chain.
- Passo 2: O
TAC JettonProxyaceitou a notificação e emitiu uma mensagem cross-chain downstream para o TAC CCL. A carteira remetente não era a carteira canônica derivada pelo master oficial deUSD₮(USDT no TON) para o proprietário relevante, mas a notificação foi processada como um fluxo de depósito válido.
- Passo 3: O TAC EVM processou a mensagem da bridge e cunhou ativos mapeados, incluindo aproximadamente 2,17M de
USD₮mapeados, completando o caminho do exploit.
Conclusão
O incidente foi causado pela ausência de verificação de carteira canônica no fluxo de depósito de jetton no lado TON do TAC. Uma carteira não derivada do master jetton oficial enviou com sucesso uma JettonNotify falsa, que a bridge tratou como um depósito legítimo e converteu em uma cunhagem cross-chain válida no TAC EVM. Uma correção robusta deve garantir que a bridge no lado TON verifique o endereço do remetente em relação à carteira canônica derivada do master jetton oficial para o proprietário e ativo reivindicados.
Referências
Boost Hook
Em 13 de maio de 2026, o Boost, um protocolo de perpetual construído sobre um pool e hook do Uniswap V4, foi explorado na Ethereum por aproximadamente $46,75K. A causa raiz foi a manipulação do preço spot: o BoostHook usava o sqrtPriceX96 do slot0 do pool V4 diretamente como preço de entrada ao abrir posições alavancadas, permitindo que o atacante inflasse o preço dentro de uma única transação e forçasse o protocolo a comprar tokens PERP ao preço manipulado usando suas próprias reservas de ETH.
Contexto
O Boost é um protocolo de perpetual construído sobre um único pool ETH/PERP do Uniswap V4 com um hook personalizado (BoostHook). PERP é um token ERC-20 de fornecimento fixo (1M de fornecimento total), e o Boost atua como o único provedor de liquidez do pool, semeando todo o PERP como faixas de liquidez concentrada acima do preço inicial.
A alavancagem é implementada como um swap de mercado contra esse mesmo pool. Quando um usuário chama openLong(), o BoostHook complementa o colateral do usuário retirando ETH adicional de suas próprias faixas superiores como o valor emprestado, e então troca o tamanho total da posição por PERP. O PERP fica no saldo do BoostHook, e o usuário recebe um registro interno de Position. O fechamento ou liquidação reverte o swap, reembolsa a dívida e devolve qualquer excedente.
Análise de Vulnerabilidade
O contrato BoostHook com falha está implantado em 0x3db1...d7eacc.
A causa raiz é que o BoostHook lê o sqrtPriceX96 do slot0 do pool — o preço spot — diretamente como preço de entrada ao abrir uma posição. Como o slot0 reflete o estado instantâneo do pool, ele é manipulável dentro de uma única transação por meio de grandes swaps. Nenhuma verificação garante que o preço de entrada esteja dentro de um limite resistente à manipulação, como um TWAP.
Análise do Ataque
A análise a seguir é baseada na transação 0xb45cc4...cebd3811.
-
Passo 1: O atacante obteve um empréstimo flash de
WETHdo Morpho Blue e o converteu paraETH, fornecendo o capital inicial para o ciclo de manipulação. -
Passo 2: O atacante trocou uma grande quantidade de
ETHporPERPvia Sat1SwapRouter, elevando o preço spot do pool. O atacante agora mantinha uma grande posição emPERPcomprada antes da alta.
- Passo 3: O atacante chamou
openLong()com alavancagem de 5x múltiplas vezes. A cada chamada, o atacante depositava um pequeno colateral (ex.: 2ETH), e oBoostHookemprestava 4x esse valor de suas próprias faixas, em seguida comprandoPERPno mercado com o tamanho total da posição ao preço spot manipulado. Cada abertura sucessiva elevava ainda mais o preço spot, e a maior parte da pressão de compra vinha do próprioETHdo protocolo.
- Passo 4: O atacante trocou o
PERPadquirido no Passo 2 de volta porETH. Como o preço spot havia sido elevado tanto pela bomba original quanto pelas aberturas financiadas pelo protocolo no Passo 3, o preço de saída era significativamente mais alto que o preço de entrada. A diferença entre a compra barata e a venda cara constituiu o lucro.
-
Passo 5: Dentro do callback
afterSwapdo dump,_scanAndLiquidatefoi acionado e começou a liquidar as posições do Passo 3 como dívida ruim contra o protocolo. Isso não teve efeito sobre o lucro do atacante, pois o pagamento do Passo 4 já havia sido liquidado. -
Passo 6: O atacante converteu o
ETHacumulado de volta paraWETH, reembolsou o empréstimo flash e manteve oETHrestante como lucro.
Conclusão
O incidente foi causado pela manipulação do preço spot: o BoostHook usava o preço spot do pool V4 diretamente como preço de entrada para aberturas alavancadas, o que permitiu ao atacante inflar o preço dentro de uma única transação e forçar o protocolo a comprar PERP no topo com suas próprias reservas de ETH. Uma correção deve restringir o _swapEthForToken a um preço de referência resistente à manipulação, como um TWAP, em vez de confiar no valor instantâneo do slot0.
Sobre a BlockSec
A BlockSec é um provedor completo de segurança blockchain e conformidade cripto. Desenvolvemos produtos e serviços que ajudam os clientes a realizar auditorias de código (incluindo contratos inteligentes, blockchain e carteiras), interceptar ataques em tempo real, analisar incidentes, rastrear fundos ilícitos e cumprir obrigações de AML/CFT, ao longo de todo o ciclo de vida de protocolos e plataformas.
A BlockSec publicou múltiplos artigos de segurança blockchain em conferências de prestígio, reportou vários ataques zero-day em aplicações DeFi, bloqueou múltiplos hacks para resgatar mais de 20 milhões de dólares e protegeu bilhões em criptomoedas.
-
Site oficial: https://blocksec.com/
-
Conta oficial no Twitter: https://twitter.com/BlockSecTeam
