Hack à Solido Money drena 293,7 milhões de tokens SUPRA através de uma falha no oráculo

Solido Money sofreu um ataque a 23 de julho de 2026, que drenou aproximadamente 293,7 milhões de tokens SUPRA do protocolo através de duas vagas de ataque separadas. O exploit foi causado por uma má configuração de oráculo que sobrevalorizou massivamente a garantia, permitindo ao atacante cunhar tokens CASH suportados por uma garantia cujo valor era muito inferior ao calculado pelo sistema. Nos dias seguintes ao incidente, as perícias forenses on-chain revelaram que cerca de 84% dos tokens roubados—aproximadamente 246,9 milhões de tokens SUPRA—foram encaminhados para a infraestrutura de bolsas centralizadas, com uma parte significativa a apontar para um endereço de depósito da Gate.io suspeito. A empresa de segurança blockchain PeckShield confirmou o ataque e assinalou que cerca de 90% dos fundos afetados pertenciam à Supra Foundation. A má atribuição ao oráculo criou uma diferença de preços que permitiu ao atacante converter um erro de valorização artificial em posições reais em tokens, evidenciando vulnerabilidades fundamentais na forma como os protocolos DeFi atribuem valor à garantia.

Má configuração do oráculo permite cunhagem de 809.052 tokens CASH

O exploit não dependeu de injeção de código sofisticada nem de ataques criptográficos inovadores. Em vez disso, explorou uma falha na forma como o protocolo atribuía valor à garantia. A má atribuição ao oráculo fez o sistema acreditar que a garantia depositada valia quase 1 dólar dos EUA, quando o seu preço de mercado real era apenas uma fração desse montante.

Com a garantia artificialmente inflacionada em valor, o atacante cunhou tokens CASH muito além do que a garantia real poderia justificar. Esses tokens CASH foram depois vendidos por SUPRA, convertendo a ilusão de preços em participações reais em tokens. O ataque desenrolou-se em duas vagas. A primeira vaga foi executada numa única transação atómica. A segunda vaga surgiu horas mais tarde, repetida manualmente em cinco carteiras distintas, utilizando a mesma técnica. No conjunto, as duas vagas cunharam 809.052 tokens CASH e geraram 293,7 milhões de SUPRA em proveitos líquidos.

O relatório pós-incidente da Solido indicou que apenas desativar o front end do protocolo não foi suficiente para impedir a segunda vaga. A vulnerabilidade existia ao nível do contrato, que acabou por ser onde a correção teve de ser aplicada.

246,9 milhões de SUPRA rastreados até à infraestrutura de bolsas centralizadas

Cerca de 84% dos SUPRA roubados—aproximadamente 246,9 milhões de tokens—foi rastreado até à infraestrutura de bolsas centralizadas através de análise on-chain. Isto reduz significativamente a janela de recuperação, uma vez que as plataformas centralizadas detêm as chaves para a identidade do utilizador de formas que os protocolos descentralizados não conseguem.

220 milhões de SUPRA ligados a endereço de depósito da Gate.io suspeito

Na primeira vaga do exploit, o relatório forense da Solido rastreou aproximadamente 220 milhões de SUPRA até a um endereço de depósito da Gate.io suspeito. O protocolo assinalou que apenas os dados da blockchain não conseguem confirmar se esse endereço pertence à Gate.io—apenas a própria bolsa pode verificar. Foi identificado um segundo ponto de interação com uma bolsa relativamente à vaga posterior, em que os fundos foram depositados numa infraestrutura de bolsa aparentemente específica do cliente antes de serem varridos para uma carteira omnibus.

Esta distinção importa. O caminho entre fundos roubados e carteiras omnibus de bolsas é uma rota bem conhecida em casos de roubo cripto—uma vez que os ativos chegam a um pool omnibus, ficam muito mais difíceis de isolar sem cooperação direta da bolsa.

A Solido aplica correções ao contrato e pede cooperação à bolsa

A resposta da Solido seguiu dois trilhos em paralelo: um apelo público às bolsas e uma correção técnica ao nível do contrato.

A Solido solicita que as bolsas ativem a sinalização de congelamento e preservem registos dos depósitos

A Solido pediu formalmente às bolsas que confirmem se os endereços sinalizados pertencem às suas plataformas, coloquem retenções sobre quaisquer depósitos rastreados e preservem registos de conta para possível utilização por forças de segurança. O protocolo afirmou que não está a solicitar congelamentos generalizados em contas de clientes não relacionadas e que não está a acusar qualquer bolsa de facilitar conscientemente o ataque. Os pedidos são direcionados para endereços específicos sinalizados identificados através de rastreio on-chain.

Correções ao nível do contrato desativam o caminho de cunhagem vulnerável

Foram aplicadas correções ao nível do contrato para desativar o caminho de cunhagem explorado pelo atacante. A segunda vaga do ataque demonstrou por que razão as restrições do front end são insuficientes quando a lógica do contrato inteligente subjacente continua vulnerável. A correção aborda a causa raiz: a má atribuição ao oráculo que permitiu a sobrevalorização da garantia.

Com perdas estimadas em 900.000 dólares e a TVL do protocolo a situar-se em aproximadamente 950.000 dólares após o ataque, o caminho de recuperação passa agora quase inteiramente pela cooperação com a bolsa.

Perguntas frequentes

Como ocorreu o hack da Solido Money?

O atacante explorou uma má configuração de oráculo que sobrevalorizou massivamente a garantia dentro do protocolo, permitindo-lhe cunhar tokens CASH suportados por garantia cujo valor era muito inferior ao que o sistema acreditava. Esses tokens foram depois vendidos por SUPRA, convertendo o erro de preços em proveitos reais em tokens.

Quanto dos tokens SUPRA roubados foi rastreado até às bolsas?

Cerca de 84% do montante total roubado—aproximadamente 246,9 milhões de SUPRA—foi rastreado até à infraestrutura de bolsas centralizadas através de análise on-chain realizada pela Solido Money.

Que medidas tomou a Solido Money após o hack?

A Solido aplicou correções ao nível do contrato para desativar o caminho de cunhagem explorado e pediu formalmente que as bolsas congelem os fundos sinalizados e preservem registos de conta para eventuais processos de aplicação da lei.