A Allbridge Core sofreu um ataque de manipulação de taxas em pools de empréstimo relâmpago e stablecoins, com prejuízo de mais de US$ 1,1 milhão

A ponte cross-chain da Allbridge Core sofreu um ataque envolvendo manipulação da taxa de empréstimo flash e do pool de stablecoins em 20 de julho. A monitorização on-chain da Onchain Lens indica que as perdas já ultrapassaram US$ 1,1 milhão. A Allbridge Core, oficialmente, suspendeu as negociações como medida preventiva e recomendou que os usuários que mantêm fundos em pools de liquidez (LP) afetados retirem os valores imediatamente.

Declaração oficial da Allbridge Core: suspensão das negociações, recomendação de saque de LP e endereço de reembolso

A Allbridge Core publicou uma declaração no X em 20 de julho de 2026, com o seguinte texto original: “A Allbridge Core está enfrentando um incidente de segurança. Suspendemos as negociações como medida preventiva e, ao mesmo tempo, estamos realizando uma investigação. Se você tiver liquidez em um pool de fundos afetado, retire imediatamente. O desequilíbrio do pool de liquidez criou uma oportunidade temporária de arbitragem positiva. Se você se aproveitou disso, considere devolver os fundos para o endereço abaixo — isso será usado diretamente para compensar o LP afetado.”

O endereço de reembolso fornecido pela empresa é 0x01a494079DCB715f622340301463cE50cd69A4D0. Até o momento da publicação, a análise do bug ainda está em andamento e a Allbridge Core ainda não divulgou o número final de perdas nem os detalhes técnicos completos do ataque.

Registro on-chain da forma de ataque: empréstimo flash, manipulação da taxa do pool de stablecoins e retirada de fundos na mesma transação

De acordo com a análise técnica de detecção on-chain da BlockBeats, os passos para execução deste ataque foram os seguintes:

Obtenção do empréstimo flash: o atacante tomou um empréstimo flash do Kamino, como capital inicial do ataque

Manipulação do pool de stablecoins: o atacante rapidamente fez a troca entre USDC e USDT para alterar o saldo de liquidez do pool de stablecoins da Allbridge, causando o desequilíbrio do pool

Retirada de liquidez após a manipulação da taxa: o atacante usou a taxa anormal resultante da manipulação para retirar a liquidez do pool

Liquidação do empréstimo flash: na mesma transação da cadeia de blocos, o atacante liquidou o empréstimo flash original, concluindo todo o processo do ataque

Rastreamento de fundos: registros posteriores de transferência de US$ 1,1 milhão e remistura de fundos por meio de um acordo de privacidade

A detecção on-chain da BlockBeats mostra que o ataque começou com perdas de cerca de US$ 1,12 milhão; o atacante já transferiu cerca de US$ 1,1 milhão e fez a remistura por meio de um acordo de privacidade para ocultar o destino dos fundos. O maior valor de saque em uma única operação da Allbridge Core foi de cerca de US$ 2,24 milhões, distribuído em USDC.

A monitorização on-chain da Onchain Lens indica que, até a publicação, as perdas já ultrapassaram US$ 1,1 milhão. A empresa destaca que a análise do bug ainda está em andamento e ainda não divulgou estatísticas atualizadas de perdas.

Perguntas frequentes

Quais ações os detentores de LP afetados devem tomar no incidente de segurança da Allbridge Core?

De acordo com a declaração da Allbridge Core no X, usuários que mantêm fundos em pools de liquidez afetados devem retirar a liquidez imediatamente; a empresa suspendeu as negociações como medida preventiva e está realizando uma investigação; o status mais recente deve ser considerado com base nos anúncios oficiais da Allbridge Core.

De onde vêm os números estimados de perdas neste ataque?

Os valores que ultrapassam US$ 1,1 milhão vêm da monitorização on-chain da Onchain Lens; os registros de detecção on-chain da BlockBeats mostram que o ataque começou com perdas de cerca de US$ 1,12 milhão. Até o momento da publicação, a Allbridge Core ainda não divulgou números finais de perdas verificadas, e a análise do bug ainda está em andamento.

O atacante já devolveu os fundos?

Até 20 de julho de 2026, foi reportado que o atacante remisturou cerca de US$ 1,1 milhão por meio de um acordo de privacidade, e não há registro de reembolso; a Allbridge Core, em um apelo no X, pediu que usuários que aproveitaram a oportunidade de arbitragem devolvessem os fundos para o endereço especificado, para compensar os provedores de liquidez afetados.