Injective paralisa rede por 4 horas após ataque que drenou US$ 4,9 milhões

Em 31 de agosto de 2026, a Injective parou de produzir blocos por três horas e quarenta e dois minutos, sem qualquer reversão de dados.

O atacante explorou uma falha no módulo de opções binárias e drenou 1.979 ether, equivalente a US$ 4,9 milhões na cotação da época. Foram 299 transações consecutivas que terminaram em um único endereço na Ethereum, onde os fundos permaneceram sem movimentação até a última verificação pública.

Como a falha no identificador de mercado foi explorada

O ponto fraco estava no identificador de mercado.

Os parâmetros que definem cada mercado na Injective eram concatenados sem separadores, o que permitia que conjuntos de dados diferentes gerassem o mesmo identificador. Isso possibilitou vincular um mercado de USDC ao fundo de seguro de INJ.

O atacante utilizou um oráculo chamado Frontrunner, que já havia sido desativado mas permanecia registrado no sistema. Com o oráculo inativo, a busca por preço falhava, acionando um mecanismo de reembolso que não distinguia entre ativos diferentes. O atacante criou 299 mercados vinculados a esse oráculo defasado.

Uma pequena quantidade de INJ era reconhecida como suficiente para cobrir um rombo em stablecoins. O atacante negociou consigo mesmo em diferentes subcontas, abrindo e fechando posições compradas e vendidas repetidamente. O resultado era um descompasso entre o saldo real e o valor que o sistema creditava ao atacante. Cada ciclo de abertura e fechamento deixava um saldo positivo para o lado controlado pelo atacante.

Em um dos exemplos documentados, foram depositados 44.099 USDC e retirados 62.667 USDC. A diferença foi de 18.568 USDC. O desfalque se repetiu até o montante total. O preço do INJ, que já refletia o clima de cautela, ampliou as perdas depois que a rede voltou.

O último bloco antes da paralisação foi registrado na altura 181.027.006. A produção retornou na altura 181.027.007. Não houve reversão. Os validadores coordenaram uma atualização de emergência marcada como v1.20.3-safeharbor.1, que adiciona uma verificação de denominação do fundo de seguro e desabilita as opções binárias no mainnet. Alguns validadores foram temporariamente retirados do conjunto ativo por não completarem a troca de versão dentro da janela exigida.

A controvérsia sobre a paralisação da rede

A Injective divulgou um comunicado oficial em 1º de setembro. A equipe classificou o episódio como uma atualização acelerada de rotina e afirmou que o consenso da rede e os ativos em staking permaneceram seguros. Também anunciou controles adicionais, incluindo invariants aprimorados e sistemas de monitoramento em tempo real.

Os pesquisadores rejeitaram essa narrativa.

Os registros da QuickNode confirmaram a estagnação completa da produção de blocos. A análise dos pesquisadores Paddy-earthling e Yi descreveu o mecanismo técnico do ataque e apontou que a falta de governança prévia contraria o procedimento padrão da rede. Em junho, o upgrade Vulcan teve proposta on-chain e altura de parada conhecida. Em julho, o upgrade IIP-677 passou com aproximadamente 72% de apoio entre validadores. O patch de 31 de agosto não passou por nenhum processo de governança.

Exchanges como a Upbit suspenderam depósitos e saques enquanto atualizavam seus nós. O preço do INJ oscilava próximo de US$ 4,80 no momento da paralisação.

Nos sete dias seguintes, a cotação acumulou queda de 11,7%. Uma semana antes do incidente, o INJ era negociado a US$ 5,50.

Os fundos roubados permanecem no endereço Ethereum do atacante, sem movimentação desde a consolidação em 1.979 ether. Uma mensagem foi enviada à mesma carteira oferecendo recompensa em troca da devolução dos ativos. A Injective não publicou detalhes sobre o número de aplicações afetadas nem sobre o vetor específico do ataque, o que dificulta a verificação independente do alcance real do incidente.

Este não é o primeiro incidente de segurança a atingir a rede. Em julho, o repositório do GitHub da Injective Labs foi comprometido para distribuir pacotes npm maliciosos que roubavam chaves privadas de carteiras. A recorrência levanta questões sobre a maturidade dos processos de segurança do ecossistema.

O caso expõe uma tensão entre a velocidade de resposta e a transparência que os usuários esperam de uma rede que movimenta quase meio bilhão de dólares em valor de mercado. As duas versões sobre o que aconteceu seguem sem reconciliação pública.