O formador de mercado automatizado baseado em Solana, Aquifer, perdeu aproximadamente US$ 2,5 milhões em um exploit envolvendo carteiras em Solana e Ethereum, com o protocolo oferecendo ao atacante uma recompensa de 20% pela devolução da maior parte dos fundos.
Resumo
- O AMM Aquifer baseado em Solana perdeu aproximadamente US$ 2,5 milhões em um exploit envolvendo endereços de atacantes em Solana e Ethereum.
- Aquifer ofereceu ao atacante uma recompensa whitehat de 20% se pelo menos 80% dos ativos forem devolvidos até 3 de setembro.
- O ponto exato do comprometimento permanece incerto, sem nenhum post mortem técnico ainda estabelecendo como o acesso às carteiras afetadas foi obtido.
- As informações disponíveis não estabeleceram que os contratos inteligentes da Aquifer foram explorados, deixando o acesso comprometido à carteira como o principal foco do incidente até agora.
O serviço de monitoramento de segurança blockchain Defimon relatou o ataque em 31 de agosto, identificando endereços separados de Solana e Ethereum controlados pelo suposto explorador. A Aquifer posteriormente enviou uma oferta whitehat on-chain buscando a devolução de pelo menos 80% dos ativos vinculados ao incidente.
A oferta dá ao atacante até 3 de setembro às 14:00 UTC para transferir os ativos, ou seu valor equivalente, para endereços de recuperação fornecidos pela Aquifer. A pessoa que controla as carteiras pode reter até 20% dos fundos como recompensa whitehat se as condições forem atendidas.
A Aquifer disse que não buscaria reivindicações civis decorrentes do exploit se o atacante cumprir os termos, sujeito à lei aplicável. O acordo não vincularia agências de aplicação da lei, reguladores, autoridades de sanções ou outros órgãos governamentais.
Exploit da Aquifer envolve carteiras em duas chains
A Aquifer opera como um formador de mercado automatizado proprietário na Solana, onde sua liquidez é usada para facilitar trocas de tokens. O DefiLlama descreve o protocolo como um AMM prop e atualmente lista seu valor total bloqueado em cerca de US$ 2,8 milhões.
Os endereços identificados após o exploit mostram atividade abrangendo Solana e Ethereum. A Defimon vinculou o endereço Solana 7fTe9pvrwXJRBHq9MaSyVPR4PgEuhqLiA93Dxf4gRk7J e o endereço Ethereum 0x2Dfe9e969796e2797278b02761dd9Ad6aE922746 ao atacante.
A mensagem whitehat da Aquifer foi autorizada através da autoridade de atualização Solana do protocolo e publicada on-chain. O projeto forneceu endereços de recuperação separados para Solana e Ethereum, permitindo que os ativos associados ao ataque fossem devolvidos em qualquer uma das redes.
As informações públicas ainda não estabeleceram exatamente como as carteiras foram comprometidas. Nenhum post mortem técnico foi divulgado explicando se chaves privadas, credenciais de administrador ou outra parte da infraestrutura operacional da Aquifer foi exposta.
As informações disponíveis também não estabelecem que o código do contrato inteligente da Aquifer foi explorado. O uso de endereços em Ethereum e Solana fornece um rastro para os investigadores rastrearem os ativos, mas não identifica por si só como o acesso aos fundos afetados foi obtido.
O incidente segue vários ataques relacionados à Solana este ano, onde o ponto de comprometimento estava fora do blockchain subjacente.
Protocolos Solana enfrentaram diferentes métodos de ataque
Em junho, o crypto.news relatou anteriormente que cinco pools de liquidez legados pertencentes à Raydium perderam aproximadamente US$ 1,3 milhão depois que um atacante mirou na infraestrutura AMM aposentada.
O investigador on-chain Specter disse que o atacante da Raydium usou um endereço de mint falso para contornar as verificações de validação em um programa AMM mais antigo. Os ativos roubados incluíam aproximadamente 150.177 RAY, 5.603 SOL e 893.700 USDC.
A Raydium disse que seus pools ativos e usuários atuais não foram afetados porque a infraestrutura vulnerável já havia sido descontinuada. O protocolo se comprometeu a reembolsar os ativos afetados de seu tesouro.
Um incidente separado em julho envolvendo o Across Protocol resultou em perdas de menos de US$ 4 milhões depois que um atacante fabricou eventos de depósito na Solana. O atacante criou 1.627 depósitos falsos com um valor declarado combinado de US$ 41,7 milhões e solicitou pagamentos em 18 blockchains de destino.
O relayer da Risk Labs processou 581 das solicitações fraudulentas antes que as operações na Solana fossem suspensas, adiantando aproximadamente US$ 4,5 milhões de seu próprio capital. Cerca de US$ 500.000 pertencentes ao atacante permaneceram retidos, reduzindo a perda líquida para menos de US$ 4 milhões.
A Across disse posteriormente que o ataque à Solana originou-se de uma falha no software de leitura de eventos off-chain da Risk Labs e não de uma vulnerabilidade em seus contratos inteligentes ou na rede Solana. Transferências legítimas de usuários foram concluídas ou reembolsadas.
Falhas de segurança operacional causaram perdas em outros lugares sem que os atacantes precisassem explorar a lógica dos contratos inteligentes.
O acesso à carteira se tornou uma rota de ataque importante
A empresa de pagamentos em stablecoin Triple-A confirmou em julho que o acesso não autorizado às suas carteiras de tesouraria resultou no roubo de ativos digitais de propriedade da empresa. Pesquisadores on-chain inicialmente rastrearam saques suspeitos em Ethereum, Solana, TRON e TON, com alguns relatórios identificando atividade em Polygon e Arbitrum.
A Triple-A disse posteriormente que os fundos dos clientes não foram afetados porque os ativos dos clientes foram segregados da infraestrutura de tesouraria comprometida. Os pesquisadores estimaram a perda em aproximadamente US$ 11,8 milhões antes que a empresa confirmasse a violação.
A empresa não divulgou se o atacante obteve chaves privadas, credenciais ou outra forma de acesso. A Triple-A disse que especialistas em segurança cibernética e a polícia de Singapura estavam trabalhando na investigação e no rastreamento de ativos.
Comprometimentos de chaves privadas e carteiras representaram uma parcela substancial dos roubos de criptomoedas em 2026. A CertiK relatou em julho que as perdas de ativos digitais atingiram US$ 1,32 bilhão no primeiro semestre do ano, uma queda de 46,8% em relação ao mesmo período de 2025.
Apesar do total menor, a empresa de segurança disse que os comprometimentos de carteira se tornaram o maior método de ataque durante o segundo trimestre, substituindo o phishing como principal fonte de perdas.
Outro projeto da Solana, a Step Finance, acabou encerrando suas operações após um ataque no início deste ano que teve como alvo dispositivos usados por membros de sua equipe executiva. Os atacantes obtiveram acesso às carteiras de tesouraria e taxas e moveram aproximadamente 261.854 SOL, enquanto estimativas posteriores colocaram as perdas totais em ativos afetados perto de US$ 40 milhões.
Os investigadores determinaram que os contratos inteligentes da Step Finance não foram o ponto de entrada. Endpoints comprometidos permitiram que os atacantes acessassem carteiras usadas pelo projeto, e o dano financeiro posteriormente contribuiu para a decisão de encerrar a plataforma.
Uma distinção semelhante dependerá da Aquifer publicar mais detalhes sobre sua própria violação. O protocolo não divulgou um post-mortem identificando o ponto inicial de acesso, as credenciais específicas envolvidas ou se uma conta comprometida forneceu controle sobre várias carteiras.
Por enquanto, o processo de recuperação da Aquifer se concentra em sua proposta whitehat. O atacante recebeu o direito de reter até 20% dos ativos associados à exploração se pelo menos 80% for devolvido aos endereços de recuperação designados até 3 de setembro às 14:00 UTC.
