Em 22 de fevereiro de 2026, um pool de empréstimos operado pela YieldBlox DAO no Blend V2 da Stellar foi explorado, resultando em perdas superiores a $10 milhões.
O atacante manipulou o mercado USTRY/USDC na SDEX. O caminho do oráculo Reflector configurado pelo pool aceitou o preço manipulado, supervalorizou o colateral USTRY e permitiu que o atacante drenasse os ativos do pool (USDC e XLM).
Este incidente não foi um problema no contrato principal do Blend V2. Foi um problema de configuração do operador do pool (YieldBlox DAO).
2. Contexto
Na Stellar, o Blend V2 é um protocolo de liquidez que permite aos usuários criar pools de empréstimos isolados. Cada pool define seus próprios ativos de empréstimo, ativos de colateral e configurações de oráculo.
Neste incidente, o pool afetado permitia que os usuários tomassem emprestado XLM e USDC usando USTRY como colateral. O pool utilizava o oráculo Reflector [2], e o preço do USTRY era obtido do mercado USTRY/USDC na SDEX [3], com atualizações periódicas.
3. Análise de Vulnerabilidade (Análise de Causa Raiz)
A exploração foi possibilitada por um design de precificação do pool que dependia de um mercado manipulável.
- O mercado USTRY/USDC na SDEX era muito raso.
- O atacante conseguiu eliminar ordens normais e colocar ordens anormais para elevar drasticamente o preço aparente de mercado.
- O Reflector então atualizou o USTRY para o valor manipulado.
- A lógica de risco do pool aceitou esse valor para avaliação do colateral, o que inflou o poder de empréstimo.
Como resultado, o atacante usou o colateral USTRY supervalorizado para drenar os ativos disponíveis para empréstimo do pool.
4. Análise do Ataque
- (Tx 1, 2) O atacante manipulou o USTRY na SDEX de aproximadamente $1,06 para aproximadamente $107, consumindo liquidez normal e colocando ordens anormais.
- (Tx 3) O Reflector obteve o preço manipulado da SDEX e atualizou seu feed.
- (Tx 4, 5) O atacante tomou emprestado 1.000.196e7 USDC com colateral de 12.881e7 USTRY.
- (Tx 6, 7) O atacante tomou emprestado 6.124.927.810e7 XLM com colateral de 14.987.610e7 USTRY.
- (Tx 8, 9, 10) O atacante transferiu os ativos drenados para Base, BSC e Ethereum via bridge.
5. Análise de Perdas/Lucros
A perda total estimada foi de aproximadamente $10M+ na Stellar.
| Rede | Tipo | Endereço |
|---|---|---|
| Stellar | Atacante | GBO7VUL2TOKPWFAWKATIW7K3QYA7WQ63VDY5CAE6AFUUX6BHZBOC2WXC |
| Stellar | Atacante | GCNF5GNRIT6VWYZ7LXUZ33Q3SR2NUGO32F5X65VVKAEWWIQCKGYN75HB |
| Stellar | Atacante | GDHRCQNC64UVL27EXSC6OG6I2FCT4NWM72KNHLHKEB3LK4MEEYYWETN3 |
| Stellar | Atacante | GATDQL767ZM2JQTBEG4BQ5WKOQNGAGWZDUN4GYT2UINPEU3RT2UAMVZH |
| Stellar | Oráculo Reflector | CALI2BYU2JE6WVRUFYTS6MSBNEHGJ35P4AVCZYF3B6QOE3QKOB2PLE6M |
| Stellar | Pool Vítima | CCCCIQSDILITHMM7PBSLVDT5MISSY7R26MNZXCX4H7J5JQ5FPIYOGYFS |
| BSC, Base, Ethereum | Atacante | 0x2d1ce29b4af15fb6e76ba9995bbe1421e8546482 |
| Ethereum | Atacante | 0x0b2b16e1a9e2e9b15027ae46fa5ec547f5ef3ec6 |
| Ethereum | Atacante | 0xe69f6d77db6ff493fdd15d8a0b390c36e18e5b21 |
6. Conclusão
O problema central é direto: a avaliação do colateral neste pool dependia de uma fonte de preço manipulável. Isso foi uma falha de configuração do operador do pool (YieldBlox DAO), e não uma falha no contrato principal do Blend V2. Este incidente é um lembrete de que os pools de empréstimos devem selecionar e monitorar as dependências de preço com forte resistência à manipulação.
Referências
[1] YieldBlox DAO
[2] https://reflector.network/
[3] Mercado USTRY/USDC na SDEX
Sobre a BlockSec
A BlockSec é uma provedora completa de segurança em blockchain e conformidade cripto. Desenvolvemos produtos e serviços que ajudam nossos clientes a realizar auditorias de código (incluindo contratos inteligentes, blockchain e carteiras), interceptar ataques em tempo real, analisar incidentes, rastrear fundos ilícitos e cumprir obrigações de AML/CFT, ao longo de todo o ciclo de vida de protocolos e plataformas.
A BlockSec publicou múltiplos artigos de segurança em blockchain em conferências de prestígio, reportou vários ataques de dia zero em aplicações DeFi, bloqueou múltiplos ataques para resgatar mais de 20 milhões de dólares e protegeu bilhões em criptomoedas.
-
Site oficial: https://blocksec.com/
-
Conta oficial no Twitter: https://twitter.com/BlockSecTeam
