Allbridge sofre exploit de US$ 1,65 milhão em ataque com flash loan na Solana

O protocolo de ponte cross-chain Allbridge suspendeu o Allbridge Core após um exploit que drenou aproximadamente US$ 1,65 milhão de seus pools de liquidez na Solana. O atacante utilizou um flash loan de US$ 1,12 milhão em USDC do protocolo de empréstimos Kamino para manipular a relação do pool USDC/USDT e retirar ativos em taxas de câmbio artificialmente favoráveis antes que o mercado pudesse reequilibrar os preços. O ataque foi confirmado por empresas de segurança como CertiK e PeckShield.

O exploit ocorreu em três etapas. O hacker tomou o flash loan da Kamino, realizou swaps repetidos entre USDC e USDT para distorcer a proporção interna do pool e então retirou 948.927,53 USDT em liquidez nos valores inflados. Os ativos roubados foram transferidos da Solana para a Ethereum através da própria ponte da Allbridge, resultando em uma movimentação de US$ 2,24 milhões em USDC antes de serem dispersos em múltiplos endereços. A Allbridge pausou o protocolo imediatamente, orientou provedores de liquidez a sacar fundos dos pools afetados e pediu que traders que lucraram com a distorção temporária de preços devolvessem os valores para compensar os provedores de liquidez.

O caso expõe uma fragilidade específica no modelo de pontes cross-chain. O próprio mecanismo que permite a movimentação de ativos entre redes foi usado pelo invasor para escoar os fundos roubados. Em abril de 2023, o protocolo já havia perdido cerca de US$ 573 mil em um ataque semelhante na BNB Chain, onde o invasor também manipulou a precificação do pool ao atuar como provedor de liquidez e trader simultaneamente. Na ocasião, a Allbridge recuperou aproximadamente US$ 465 mil dos fundos por meio de um acordo white-hat e prometeu ajustes no cálculo de liquidez e retirada. O ataque de 2026 mostra que a recuperação dos ativos no episódio anterior não eliminou a brecha explorada, um padrão que desafia a confiança dos provedores de liquidez em soluções pós-exploit.

O TVL do Allbridge Core, que estava relativamente estável em US$ 21,61 milhões antes do ataque, despencou para US$ 12,78 milhões com a suspensão do protocolo e a retirada em massa de provedores de liquidez. O mercado de criptomoedas já acumula aproximadamente US$ 57,8 milhões em perdas com exploits apenas em julho de 2026, segundo estimativas de empresas de segurança blockchain. Entre todos os incidentes do mês, o caso da Allbridge se destaca menos pelo valor e mais pela repetição do método, um sinal de que a indústria ainda não desenvolveu anticorpos eficientes contra ataques de manipulação de liquidez.