O emissor europeu de stablecoins StablR foi alvo de um ataque com múltiplas assinaturas entre a noite de 24 de maio e a madrugada de 25 de maio. O atacante, ao roubar uma chave privada de múltiplas assinaturas 1/3 do contrato de cunhagem, cunhou, num período de cerca de 3 horas, 8,35 milhões de USDR e 4,5 milhões de EURR, e depois vendeu nos exchanges descentralizados, levando a que o EURR descesse para cerca de 0,85 dólares e o USDR para 0,64 dólares.
O mecanismo técnico do ataque: como a assinatura em limiar 1/3 foi ultrapassada
A Blockaid confirmou que a raiz técnica deste ataque foi o vazamento da chave privada de um dos subscritores no mecanismo de múltiplas assinaturas do contrato de cunhagem da StablR. A função de cunhagem da StablR utiliza um mecanismo de múltiplas assinaturas 1/3 (um limiar de um terço de assinaturas), ou seja, basta um único dos três subscritores autorizados para executar a cunhagem. O atacante, através da chave privada vazada, fez o seguinte: adicionou-se como administrador; substituiu o detentor legítimo original; e, no espaço de 3 horas, realizou a cunhagem não autorizada de 8,35 milhões de USDR e 4,5 milhões de EURR.
O atacante ainda aproveitou o controlo administrativo obtido para colocar em lista negra e destruir os tokens detidos por pelo menos um parceiro de negociação legítimo — os registos on-chain confirmam pelo menos uma destruição de cerca de 2,7 milhões de EURR (cerca de 2,4 milhões de dólares), provenientes de uma carteira que tinha efectuado durante meses operações regulares de resgate com a StablR. A carteira do atacante recarregou inicialmente fundos através do protocolo de transferência cross-chain CCTP (Circle) na Noble.
Perdas reais e dados confirmados do impacto no mercado
A análise da Blockaid confirmou que tokens no valor de cerca de 10,4 milhões de dólares foram convertidos em ETH num exchange descentralizado; no entanto, devido à elevada derrapagem causada por falta de liquidez, o ganho líquido efectivo do ataque é estimado em cerca de 2,8 milhões de dólares. A partir de domingo de manhã, as carteiras concentradas do atacante identificadas como “StablR Exploiter 2” pela Etherscan detinham 1.488 ETH (cerca de 3,15 milhões de dólares). A ZachXBT ajudou a congelar fundos roubados de seis dígitos.
Em termos de preço, segundo dados da CoinGecko: o preço de negociação do EURR desceu para cerca de 0,85 dólares (ponto de referência de paridade do euro para dólar em torno de 1,15 dólares, queda de aproximadamente 26%); o USDR desceu para 0,64 dólares (queda de aproximadamente 36%). A oferta total de stablecoins em euros na Ethereum representa actualmente cerca de 0,24% da oferta total de stablecoins que suportam fiat na Ethereum.
Perguntas frequentes
Como é avaliada a segurança do limiar de múltiplas assinaturas 1/3 na indústria, e por que é considerado uma falha de design?
Os princípios de design de segurança de Multisig destinam-se a aumentar o número de chaves que um atacante tem de comprometer; quanto mais baixo o limiar, mais fácil é de quebrar. Um limiar 1/3 (um terço) significa que o atacante apenas precisa de controlar uma das três entidades autorizadas para executar integralmente operações de alto privilégio, como a cunhagem. Comparação na indústria: a ponte Harmony Horizon, antes do ataque em que foram roubados 100 milhões de dólares em 2022, usava um limiar 2/5; na altura, analistas de segurança já tinham apontado que este era um desenho de segurança insuficiente. Soluções multisig mainstream como o Gnosis Safe recomendam tipicamente limiares 3/5 ou superiores para operações de alto privilégio ao nível de protocolos. A Blockaid indica claramente que o limiar 1/3 é uma questão de governança e gestão de chaves na StablR, e não uma vulnerabilidade no próprio código do contrato inteligente.
Que impacto teve o enquadramento de conformidade MiCA da StablR e os investimentos da Tether/Kraken neste caso de ataque?
A MiCA (regulamentação do mercado de activos cripto) regula principalmente os requisitos de reservas de stablecoins, as credenciais de emissão e a divulgação de riscos, não havendo exigências técnicas directas e específicas sobre a arquitectura de segurança de contratos inteligentes. A StablR detém uma licença de moeda electrónica da MFSA e credenciais de conformidade MiCA, mas este reconhecimento regulatório não abrange escolhas de desenho de segurança para a implementação de contratos. A Tether e a Kraken, enquanto investidores estratégicos, também não sofreram perdas financeiras directas neste evento, mas o caso afectou a reputação de ambas no mercado europeu de stablecoins em contexto de conformidade.
Como é que este ataque reflecte uma mudança global no padrão das ameaças de segurança cripto em 2026?
A análise da Blockaid e vários casos principais de ataque em 2026 apontam para a mesma tendência: os eventos com perdas mais graves já não resultam de falhas em novo código de contratos inteligentes, mas sim de erros de design em acessos privilegiados, em estruturas de governança e na gestão de chaves. O incidente do Drift Protocol a 1 de abril (perda superior a 280 milhões de dólares) também realizou a transferência de fundos via Circle CCTP e envolveu um padrão de ataque por acesso privilegiado. Os dados da DeFiLlama confirmam que abril de 2026 foi o mês com maior número de incidentes de ataques de hackers na história da cripto, a nível mensal. O multisig 1/3 da StablR e o multisig 2/5 da Harmony mostram, em conjunto, que os protocolos, ao expandirem escala, tendem a dar prioridade à conveniência operacional em vez de à redundância de segurança das chaves.
