Um atacante esvaziou mais de US$ 9 milhões de pools de liquidez na XPR Network (XPR) em apenas 11 minutos, explorando um contrato de swap cuja função de levantamento aceitava valores negativos.
Principais pontos:
- Um atacante retirou mais de US$ 9 milhões dos pools de liquidez da XPR Network em cerca de 11 minutos.
- A falha estava numa função de levantamento que aceitava valores negativos, permitindo inflacionar saldos internos antes de sacar tokens reais.
- Produtores de blocos corrigiram o contrato e apreenderam cerca de 1,80 mil milhões de XPR, mantendo a maior parte da oferta desviada na própria rede.
Exploit no contrato de swap da XPR Network
O ataque teve como alvo o contrato on-chain de swaps proton.swaps, onde o invasor retirou cerca de 1,56 mil milhões de XPR, avaliados em aproximadamente US$ 4,03 milhões. A função de levantamento aceitava valores negativos, o que permitiu ao atacante inflacionar um saldo interno e, em seguida, sacar tokens reais contra esse saldo artificial. A mesma técnica foi repetida em pools de stablecoins, ativos bridgeados e de lending, até o total ultrapassar os US$ 9 milhões.
Cerca de 563 milhões de XPR, equivalentes a aproximadamente US$ 1,46 milhão, passaram depois pelo protocolo de empréstimos, após o atacante tomar emprestado contra as stablecoins roubadas, elevando o total de tokens envolvidos para cerca de 2,12 mil milhões, ou 6,5% da oferta em circulação. Outros 764 milhões de XPR, avaliados em perto de US$ 2 milhões, foram mais tarde enviados para uma segunda conta.
Veja também: ETFs de XRP batem recorde de US$ 1,7 bi com 9 semanas seguidas de entrada despite fraqueza no preço
Preço da XPR perde suporte
O impacto chegou ao mercado em poucas horas. A XPR recuou para cerca de US$ 0,0026 no domingo, queda de aproximadamente 5,6% em 24 horas após tocar uma mínima próxima de US$ 0,00245, e permaneceu abaixo da zona de US$ 0,00271, que vinha atuando como suporte. O token chegou a ser negociado a US$ 0,00277 na mesma sessão, e o valor de mercado caiu para perto de US$ 74 milhões.
O RSI recuou para 27,47, bem dentro da área de sobrevenda. Essa leitura aponta mais para venda forçada e unidirecional do que para uma reprecificação gradual, e um volume diário em torno de US$ 2,9 milhões deixou o lado comprador ralo.
Em termos absolutos, a perda é modesta face aos maiores prejuízos de DeFi deste ano. O que chama a atenção é o modo de falha: a ausência de uma verificação simples nos valores de entrada permitiu que o dano escapasse de um único contrato de swap e se propagasse para pools de lending e de ativos bridgeados que partilhavam a mesma liquidez. O atacante não precisou de flash loans nem de manipulação de oráculos — apenas de um sinal de menos que o contrato nunca rejeitou.
Metallicus congela XPR roubada
Produtores de blocos corrigiram o contrato às 21:32 UTC e, cerca de duas horas depois, apreenderam aproximadamente 1,80 mil milhões de XPR, colocando os tokens sob controlo da comunidade. Apenas 319,5 milhões de XPR, dos 2,12 mil milhões afetados, chegaram efetivamente a sair para venues fora da rede.
A maior parte da oferta envolvida permanece, portanto, potencialmente recuperável — um desfecho possível porque a XPR Network opera em modelo de delegated proof-of-stake, no qual um grupo reduzido de produtores eleitos pode intervir diretamente no estado da blockchain. Não é a primeira vez que a rede recorre a esse mecanismo.
A Metallicus, desenvolvedora principal por trás da XPR Network, relatou em setembro de 2024 um exploit de reentrância no seu contrato de lending, suspendeu depósitos, empréstimos e liquidações, congelou os fundos afetados e reabriu a atividade de crédito de forma faseada no mês seguinte.
Leia a seguir: Sam Altman descarta IPO da OpenAI em 2026 e aponta trabalhos de segurança em IA
