Um atacante explorou um contrato Rain desatualizado em 28 de agosto, drenando aproximadamente US$ 1,1 milhão de vários programas de cartão stablecoin operando na Solana, de acordo com a empresa de segurança blockchain Blockaid.
Resumo
- Um contrato Rain Solana desatualizado permitiu saques não autorizados de contas de garantia de cartão em vários programas.
- A Blockaid estimou que aproximadamente US$ 1,1 milhão foram roubados, com os lucros posteriormente entrando no Tornado Cash na Ethereum.
- A Avici relatou US$ 500.859 drenados de 1.685 usuários, enquanto a Tria identificou US$ 431.945 afetando 636 clientes separadamente.
- A Rain disse que todos os programas que usavam a versão vulnerável do contrato foram atualizados após o ataque de agosto.
- As carteiras de autocustódia não foram afetadas porque o atacante visou contratos separados que mantinham saldos de cartão financiados.
Avici e Tria estavam entre os neobancos cripto afetados. As duas empresas divulgaram perdas combinadas de mais de US$ 932.800 em 2.321 usuários. A Blockaid disse que outros programas suportados pela Rain também foram expostos, elevando a perda estimada para aproximadamente US$ 1,1 milhão.
O atacante não acessou as carteiras de autocustódia dos clientes nem as chaves privadas. Em vez disso, a exploração visou contratos de garantia que mantinham stablecoins que os usuários haviam depositado para financiar seus saldos de cartão.
A Rain disse que seus sistemas de monitoramento descobriram uma vulnerabilidade afetando um "pequeno número de programas" que usavam uma versão desatualizada de seu contrato de cartão Solana. A empresa atualizou todos os programas que ainda executavam a versão afetada, de acordo com sua declaração pública.
O incidente aumenta preocupações mais amplas sobre vulnerabilidades de contratos e operacionais. Falhas de segurança cripto causaram aproximadamente US$ 1,1 bilhão em perdas durante o primeiro semestre de 2026, de acordo com pesquisa publicada pela Blockaid.
Falha no contrato da Rain expôs infraestrutura compartilhada de cartões
A Rain fornece infraestrutura que permite que empresas de cripto emitam cartões financiados com stablecoins. Quando os clientes financiam seus cartões, os ativos depositados entram em contas de garantia gerenciadas por contratos onchain.
Esses saldos são separados dos ativos mantidos nas carteiras pessoais dos clientes. Uma vez que os fundos entram em um contrato de garantia de cartão, sua segurança depende do código do provedor de infraestrutura e dos controles de autorização.
A Blockaid identificou quatro implantações contendo código com o mesmo hash de opcode do contrato vulnerável. A empresa de segurança disse que o atacante drenou pelo menos duas implantações. As outras duas supostamente carregavam a mesma vulnerabilidade, mas não tiveram perdas confirmadas.
A Rain confirmou que um contrato desatualizado causou o incidente. No entanto, não publicou um relatório técnico completo identificando todas as implantações afetadas ou explicando por que alguns programas continuaram usando a versão mais antiga.
A situação se assemelha a outros incidentes em que infraestrutura desatualizada ou repetidamente vulnerável permaneceu ativa. Em cobertura relacionada, atacantes exploraram o mesmo contrato da ponte Verus duas vezes em dois meses, levantando questões semelhantes sobre atualizações em implantações compartilhadas.
O incidente da Rain não representou um comprometimento da própria Solana. A blockchain continuou processando transações normalmente enquanto o atacante explorava código de aplicativo implantado na rede.
Assinatura reutilizada contornou os controles de retirada
O contrato Rain desatualizado exigia duas autorizações independentes antes de permitir certas ações na conta. Ele usava as instruções de verificação Ed25519 da Solana para confirmar as assinaturas necessárias.
De acordo com a análise da Blockaid, o atacante manipulou a segunda instrução de verificação. Sua assinatura, chave pública e deslocamentos de mensagem apontavam de volta para informações contidas na primeira instrução.
O contrato vulnerável, portanto, aceitou uma assinatura controlada pelo atacante como duas aprovações independentes. Isso permitiu que o atacante satisfizesse o requisito de autorização sem permissão dos proprietários das contas de garantia.
Após contornar a verificação de assinatura, o atacante usou uma instrução AddCollateralAdmin para conceder a si mesmo privilégios administrativos sobre contas individuais. Em seguida, chamou WithdrawCollateralAsset para transferir USDC e USDT dessas contas.
A Blockaid registrou 2.945 adições de administradores e 5.288 chamadas de retirada. A empresa identificou 8.233 transações principais de exploração em aproximadamente duas horas e 29 minutos.
A operação prosseguiu em ritmo automatizado. A Blockaid disse que as duas primeiras retiradas bem-sucedidas ocorreram com três segundos de diferença, indicando que o atacante havia preparado um sistema para atingir várias contas.
Os clientes não autorizaram as transações maliciosas. A exploração ocorreu no nível do contrato, o que significa que proteções contra phishing ou assinaturas de carteira maliciosas não teriam impedido essas retiradas.
Uma fraqueza diferente no nível do aplicativo expôs recentemente outro protocolo quando controles de garantia defeituosos permitiram uma exploração DeFi de US$ 75 milhões. Em ambos os casos, as redes subjacentes continuaram operando enquanto a lógica do aplicativo permitia atividades não autorizadas.
Atacante moveu fundos através da deBridge
Os USDC e USDT retirados acumularam-se em uma carteira Solana identificada como FVNFzqAny8spWdPmYw6RQ9TkYa29ueFFiqCFD1gQnCEj.
O atacante trocou as stablecoins por SOL através de plataformas de negociação descentralizadas. A Blockaid então rastreou os lucros da Solana para a Ethereum através do protocolo de cadeia cruzada deBridge.
Aproximadamente 455,9 ETH entraram no Tornado Cash entre 19:20 e 19:49 UTC, de acordo com a Blockaid. O Tornado Cash agrupa depósitos e permite retiradas para endereços que não estão publicamente conectados às carteiras de envio originais.
O misturador, portanto, tornou os movimentos subsequentes mais difíceis de rastrear através de registros públicos de blockchain. A Blockaid disse que os fundos roubados não foram recuperados após entrar no Tornado Cash.
O uso de infraestrutura de cadeia cruzada adicionou outra etapa à rota de lavagem. Pontes de criptomoedas também se tornaram alvos diretos, com uma exploração de transferência forjada drenando US$ 11,5 milhões da ponte Verus Ethereum no início de 2026.
A Blockaid conectou dois endereços Ethereum ao financiamento inicial da atividade Solana do atacante do Rain. Nem a Rain nem as autoridades policiais identificaram publicamente as pessoas que controlam esses endereços.
As declarações da empresa sobre a detecção do ataque e o rastreamento dos fundos representam suas próprias descobertas. A Blockaid fornece serviços de segurança e monitoramento para empresas de criptomoedas, incluindo emissores de cartões de stablecoin.
Avici e Tria divulgam perdas de clientes
A Avici relatou que o atacante removeu $500.859,22 dos saldos de cartão pertencentes a 1.685 usuários. A empresa disse que reembolsou todos os clientes afetados e forneceu 10% de cashback após o incidente.
A Tria divulgou aproximadamente $431.945 em perdas em 636 clientes. Ela disse em uma atualização oficial que cada cliente afetado estava sendo reembolsado.
As duas divulgações representam $932.804,22 das perdas estimadas. A Blockaid também nomeou a Solayer Pay como um programa afetado, mas nenhum valor verificado independentemente para suas perdas estava disponível.
A diferença entre as perdas divulgadas da Avici e da Tria e a estimativa de US$ 1,1 milhão da Blockaid parece envolver outros programas suportados pela Rain. Uma discriminação completa não foi publicada.
O token da Avici caiu 49% em relação à sua máxima diária após surgirem relatos do exploit, de acordo com dados de mercado. O token atingiu uma mínima relatada de $0,217 antes de se recuperar parcialmente. O token da Tria também caiu mais de 10% em determinado momento.
Esses movimentos de preço ocorreram após relatos públicos do ataque, embora condições mais amplas do mercado também possam ter influenciado as negociações.
Atualizações da Rain afetaram implantações de contratos
A Rain afirmou que todos os programas de cartão que usavam o contrato desatualizado foram atualizados. A empresa não relatou nenhuma atividade não autorizada adicional após concluir as alterações.
Também afirmou que os usuários afetados seriam ressarcidos. A Rain não divulgou se reembolsará diretamente os programas de cartão ou se os provedores individuais arcarão com os custos.
Várias perguntas permanecem sem resposta. A Rain não divulgou o histórico completo de versões do contrato vulnerável, a data em que a falha foi introduzida ou o motivo pelo qual implantações mais antigas permaneceram ativas.
A empresa também não divulgou se uma auditoria identificou a falha de autorização antes do ataque. Nenhuma recuperação dos fundos depositados no Tornado Cash foi relatada publicamente.
O episódio renova questões sobre se auditorias periódicas fornecem proteção suficiente depois que os contratos entram em produção. Pesquisas recentes da indústria descobriram que instituições cada vez mais querem monitoramento contínuo junto com auditorias de segurança tradicionais, especialmente para contratos que mantêm ativos de usuários.
Um relatório técnico detalhado permitiria que pesquisadores externos confirmassem a vulnerabilidade e determinassem se código semelhante permanece ativo em outros lugares. Os provedores de cartão também podem revisar como rastreiam versões de contratos e limitam permissões administrativas em infraestrutura compartilhada.
Os usuários podem manter o controle de suas carteiras pessoais enquanto ainda enfrentam riscos após depositar fundos em um programa de cartão. A segurança desses saldos depende dos contratos que mantêm a garantia, do provedor que os mantém e dos operadores que respondem quando vulnerabilidades surgem.
