Apesar de várias camadas de escrutínio, o pool GLP V1 da GMX foi hackeado em mais de 40 milhões de dólares num ataque descarado. Com as funções de alavancagem agora congeladas, os traders ficam a perguntar-se: como é que contratos auditados foram quebrados? E o que é que isto significa para o futuro do trading perpétuo da DeFi? A 9 de julho, a exchange perpétua e spot on-chain GMX confirmou que o seu pool GLP V1 na Arbitrum tinha sido explorado, com mais de 40 milhões de dólares em tokens variados desviados para uma carteira desconhecida numa única transação. O ataque, que parece ter manipulado o mecanismo do vault GLP, forçou o protocolo a interromper o trading e a pausar a cunhagem e o resgate de GLP tanto na Arbitrum como na Avalanche. A GMX esclareceu que a violação foi isolada na V1 e não afetou a GMX V2, o seu token ou outros mercados associados. Embora a equipa da GMX ainda não tenha divulgado o vetor exato do exploit, o incidente expõe a fragilidade até mesmo de contratos inteligentes auditados e levanta questões urgentes sobre a sustentabilidade dos mercados descentralizados de alavancagem, onde a GMX tem sido há muito um player dominante. O caminho do atacante para drenar 40 milhões de dólares do pool GLP V1 da GMX foi assustadoramente simples, mas devastadoramente eficaz. De acordo com analistas de blockchain, o exploit envolveu a manipulação do mecanismo de alavancagem do protocolo para cunhar tokens GLP excessivos sem colateral adequado. Depois de o atacante ter inflacionado artificialmente a sua posição, resgatou o GLP cunhado fraudulentamente por ativos subjacentes, deixando o pool com um défice de mais de 40 milhões de dólares numa questão de blocos. Os fundos não permaneceram parados por muito tempo. De acordo com a Cyvers e a Lookonchain, o atacante usou um contrato malicioso financiado através do Tornado Cash para obscurecer a origem do exploit. Aproximadamente 9,6 milhões de dólares do total estimado de 42 milhões de dólares foram transferidos da Arbitrum para a Ethereum usando o Cross-Chain Transfer Protocol da Circle, com porções rapidamente convertidas para DAI. 🚨ALERT🚨O nosso sistema detetou uma transação suspeita envolvendo a @GMX_IO. Um contrato malicioso, implementado por um endereço financiado através da @TornadoCash, explorou aproximadamente 42 milhões de dólares em ativos na rede Arbitrum ( #ARB ) — incluindo: $ETH, $USDC, $fsGLP, $DAI, $UNI,… pic.twitter.com/x3B5OFMcyP Os ativos drenados incluíram ETH, USDC, fsGLP, DAI, UNI, FRAX, USDT, WETH e LINK, tornando este um ataque multi-ativo que abrange tokens nativos e sintéticos. Antes do hack, os contratos V1 da GMX foram revistos pelas principais empresas de auditoria. A auditoria de pré-implantação da Quantstamp avaliou os principais riscos, como reentrância e controlos de acesso, enquanto a ABDK Consulting conduziu testes de stress adicionais. No entanto, nenhuma auditoria sinalizou o vetor específico de manipulação de alavancagem que permitiu este exploit. A supervisão destaca um ponto cego recorrente na segurança da DeFi: as auditorias tendem a concentrar-se em vulnerabilidades gerais, mas muitas vezes perdem falhas lógicas específicas do protocolo. Ironicamente, a GMX tinha salvaguardas proativas em vigor, incluindo um programa de recompensas por bugs de 5 milhões de dólares e monitorização ativa por empresas como a Guardian Audits. Este exploit não só prejudica a GMX, como também lança dúvidas sobre o paradigma de segurança impulsionado pela auditoria como um todo. Se um protocolo tão maduro e testado como a GMX pode perder 40 milhões de dólares devido a uma falha lógica, as implicações para projetos menos escrutinados são profundamente preocupantes. Entretanto, o apelo on-chain da GMX ao hacker, oferecendo uma recompensa de 10% pelo retorno dos fundos, sublinha a dura realidade da DeFi: os esforços de recuperação dependem muitas vezes da negociação com os atacantes. [Odaily Planet Daily]