#StablRStablecoinDepegsAfterExploit

Este é um exemplo clássico e doloroso de uma governança "apenas de nome" descentralizada voltando para prejudicar um projeto. Quando um protocolo usa uma multisig 1-de-3 para algo tão crítico quanto direitos de cunhagem, isso completamente derrota o propósito de ter uma carteira multisig em primeiro lugar.

Aqui está uma análise do que deu errado, como o atacante extraiu os fundos e por que o "lucro" foi muito menor do que o valor nominal dos tokens.

Como o Ataque Aconteceu

A exploração foi fundamentalmente uma falha na gestão de chaves, e não uma vulnerabilidade de código. Porque o contrato exigia apenas uma assinatura de três para executar transações, comprometer uma única chave privada deu ao atacante chaves completas do reino.

A Progressão do Ataque

Passo 1: Comprometimento e Tomada de Controle da Chave: O atacante obteve acesso a uma das três chaves privadas. Usando essa única assinatura, executou um comando de administrador para adicionar seu próprio endereço como proprietário e remover completamente os dois signatários legítimos restantes.

Passo 2: Cunhagem Não Garantida: Com controle total sobre o contrato de cunhagem, eles cunharam instantaneamente 8,35 milhões de USDR e 4,5 milhões de EURR sem fornecer qualquer garantia.

Passo 3: A Venda na DEX: O atacante correu para exchanges descentralizadas (DEXs) para trocar os tokens não garantidos por Ethereum (ETH).

Deslizamento e Liquidez Fina: O Corte de $7,6 Milhões

O atacante cunhou um valor facial combinado de aproximadamente $10,4 milhões na paridade. No entanto, eles saíram com cerca de 1.115 ETH (aproximadamente $2,8 milhões).

Por que a discrepância tão grande? Liquidez fina.

Pools de stablecoins em DEXs dependem de liquidez profunda para manter a precificação do formador de mercado automatizado (AMM). Como os pools StablR eram relativamente rasos, as ordens de venda massivas e súbitas do atacante sobrecarregaram completamente a liquidez disponível. Isso acionou um deslizamento de preço extremo, derrubando efetivamente o valor dos próprios tokens que eles estavam tentando trocar durante a operação.

A Nuance Regulamentar (MiCA)

O que torna isso particularmente notável é a posição do StablR como um emissor regulado europeu, compatível com a MiCA. A regulamentação Markets in Crypto-Assets (MiCA) impõe regras rigorosas sobre reservas, requisitos de capital e auditorias.

No entanto, como apontou a firma de segurança Blockaid, as auditorias de conformidade regulatória padrão geralmente focam em reservas financeiras e estruturas legais, e não na segurança operacional técnica em tempo real (OpSec). Conformidade legal não equivale automaticamente a segurança criptográfica estrutural; uma estrutura multisig 1-de-3 é um ponto de falha evidente, independentemente de quão compatível a empresa subjacente seja no papel.
‍$ETH