O protocolo de finanças descentralizadas Echo Protocol sofreu um grande incidente de segurança após um atacante comprometer a chave privada do administrador e cunhar aproximadamente 1.000 tokens eBTC na blockchain Monad. A empresa de analytics de blockchain PeckShield e o serviço de monitoramento on-chain Lookonchain identificaram o exploit em 19 de maio, observando que os tokens sintéticos de Bitcoin cunhados tinham um valor nocional de aproximadamente US$ 76,7 milhões.
Detalhes da investigação indicam que o exploit decorreu de configurações operacionais inadequadas, em vez de vulnerabilidades no código do contrato inteligente. O papel de administrador com assinatura única, a ausência de um módulo de governança com multi-assinatura e a falta de tetos de fornecimento permitiram ao atacante invocar a função de cunhagem sem acionar verificações internas de sanidade de fornecimento. Os mecanismos de timelock e de limitação de taxa do protocolo não foram acionados, permitindo a criação instantânea de tokens não autorizados.
Após a cunhagem, o atacante tentou lavar parte dos lucros depositando 45 eBTC no protocolo Curvance de empréstimos e gestão de liquidez. O atacante pegou emprestado 11,3 wrapped Bitcoin (wBTC) contra o depósito, transferiu os fundos para Ethereum e trocou os tokens por 384 ETH. Tornado Cash foi usado como serviço de mixagem, através do qual ETH no valor de US$ 822.000 foi encaminhado. Dados forenses de blockchain mostram que 955 eBTC, avaliados em aproximadamente US$ 73 milhões, permaneceram no endereço do atacante até que Echo Protocol recuperasse o controle da chave de administrador comprometida. Os administradores do protocolo, posteriormente, queimaram os 955 eBTC, neutralizando a maior parte do fornecimento não autorizado.
Declarações da equipe do protocolo confirmaram que as transações entre cadeias permanecem suspensas até uma auditoria completa dos controles de governança e operação. Keone Hon, cofundador da rede Monad, confirmou que a blockchain de camada-1 subjacente não foi afetada e continuou operando normalmente. Curvance pausou o mercado afetado de eBTC para conter o risco e evitar explorações secundárias.
O incidente destaca um aumento generalizado de explorações em protocolos DeFi em 2026, à medida que falhas de governança operacional se tornam pontos centrais para os atacantes. Exemplos notáveis incluem o exploit de US$ 10 milhões do THORChain em 15 de maio e o hack da ponte cross-chain do Verus Protocol que drenou US$ 11,6 milhões. As perdas combinadas de hacks de protocolos em maio já ultrapassam US$ 100 milhões, alimentando apelos por auditorias operacionais padronizadas e modelos de governança com multi-assinatura em implantações de contratos inteligentes.
Especialistas em segurança recomendam a adoção de contratos de timelock, tetos de fornecimento, papéis de multi-assinatura e estruturas de organizações autônomas descentralizadas (DAO) para mitigar riscos de falha em ponto único. Os participantes da indústria aguardam o relatório post-mortem do Echo Protocol para avaliar melhorias de governança de longo prazo e planos de ressarcimento para provedores de liquidez afetados e detentores de tokens.
Comentários (0)