Um invasor drenou mais de US$ 9 milhões de pools de liquidez na XPR Network (XPR) em apenas 11 minutos, explorando um contrato de swap cuja função de saque aceitava valores negativos.
Principais pontos:
- Um invasor retirou mais de US$ 9 milhões dos pools de liquidez da XPR Network em cerca de 11 minutos.
- A falha estava em uma função de saque que aceitava valores negativos, permitindo inflar saldos internos antes de sacar tokens reais.
- Produtores de blocos corrigiram o contrato e apreenderam cerca de 1,80 bilhão de XPR, mantendo a maior parte da oferta roubada on-chain.
Exploit no contrato de swap da XPR Network
O ataque teve como alvo o contrato on-chain de swaps proton.swaps, onde o invasor drenou cerca de 1,56 bilhão de XPR, avaliados em aproximadamente US$ 4,03 milhões. A função de saque aceitava valores negativos, o que permitiu ao atacante inflar um saldo interno e, em seguida, sacar tokens reais contra esse saldo “fantasma”. A mesma técnica foi repetida em pools de stablecoins, ativos bridgeados e empréstimos, até o valor total ultrapassar US$ 9 milhões.
Aproximadamente 563 milhões de XPR, algo em torno de US$ 1,46 milhão, passaram depois pelo protocolo de empréstimos, quando o invasor tomou crédito tendo as stablecoins roubadas como garantia, elevando o total de tokens afetados para cerca de 2,12 bilhões, ou 6,5% da oferta em circulação. Outros 764 milhões de XPR, avaliados em quase US$ 2 milhões, foram posteriormente movidos para uma segunda conta.
Veja também: ETFs de XRP batem recorde de US$ 1,7 bi com 9 semanas seguidas de entradas
Preço de XPR rompe suporte e recua
O impacto chegou ao mercado em poucas horas. O XPR caiu para cerca de US$ 0,0026 no domingo, queda de aproximadamente 5,6% em 24 horas após tocar a mínima em torno de US$ 0,00245, permanecendo abaixo da faixa de US$ 0,00271 que vinha atuando como suporte. O token chegou a ser negociado a US$ 0,00277 mais cedo na mesma sessão, e seu valor de mercado recuou para cerca de US$ 74 milhões.
O RSI despencou para 27,47, bem dentro da zona de sobrevenda. Essa leitura indica pressão vendedora unidirecional, e não apenas um ajuste ordenado de preço, enquanto o volume de cerca de US$ 2,9 milhões ao longo do dia mostrou compradores escassos.
Em termos absolutos, a perda é pequena perto dos maiores incidentes de DeFi deste ano. O modo de falha, porém, pesa mais que o montante: a ausência de uma checagem simples nos valores de entrada permitiu que o dano extrapolasse um único contrato de swap e se espalhasse para pools de empréstimo e de ativos bridgeados que compartilhavam a mesma liquidez. O invasor não precisou de flash loans nem de manipulação de oráculos — apenas de um sinal de menos que o contrato nunca rejeitou.
Metallicus congela XPR roubados
Produtores de blocos corrigiram o contrato às 21h32 UTC e, cerca de duas horas depois, apreenderam aproximadamente 1,80 bilhão de XPR, colocando os tokens sob controle da comunidade. Apenas 319,5 milhões de XPR, dos 2,12 bilhões afetados, chegaram de fato a deixar a rede e atingir outras venues.
A maior parte da oferta comprometida permanece, portanto, potencialmente recuperável — um desfecho possível porque a XPR Network opera em modelo de proof-of-stake delegado, em que um grupo reduzido de produtores eleitos pode intervir diretamente no estado da cadeia. Não é a primeira vez que a rede recorre a esse mecanismo.
A Metallicus, desenvolvedora principal por trás da XPR Network, relatou em setembro de 2024 um exploit de reentrância em seu contrato de empréstimos. Na ocasião, suspendeu depósitos, tomada de crédito e liquidações, congelou os fundos afetados e reabriu o protocolo de forma gradual no mês seguinte.
Leia a seguir: Sam Altman descarta IPO da OpenAI em 2026 e culpa agenda de segurança em IA
