Ataque a router de DEX na BNB Chain drena 62 WBNB de 29 carteiras

Um router de DEX na BNB Chain foi usado nesta segunda-feira, 7 de setembro, para drenar tokens de 29 carteiras em uma única transação. O ataque começou às 13h15 pelo horário de Brasília e consumiu cerca de 62,28 WBNB, algo próximo de 46 mil dólares pelo preço atual do BNB, em torno de 741 dólares.

A quantia é baixa perto dos grandes exploits do ano. O que chama atenção é o método. O atacante não precisou de capital próprio, não manipulou oracle e não comprometeu nenhuma chave privada.

Tudo partiu de um flash swap de 1 WBNB tomado emprestado de um pool da PancakeSwap para cobrir o gás da operação. Com esse valor, o atacante colocou um contrato no ar que se passava por pool de liquidez e chamou a função de troca do router apontando as vítimas como pagadoras.

A transação, registrada na blockchain e visível no explorador da rede, mostra a assinatura clássica desse tipo de drenagem. Uma sequência de transferências do token Giggle Mascot em quantidades que dobram a cada passo, saindo de carteiras distintas e convergindo para o contrato do ataque, que trocou tudo por BNB e devolveu o 1 WBNB emprestado no fim.

O mecanismo do ataque

O mecanismo explorado fica no callback de swaps no padrão Uniswap V3. Em condições normais, quando um pool executa uma troca, ele devolve a chamada ao router para receber os tokens devidos. O router afetado aceitava o endereço do pagador fornecido pelo chamador e usava transferFrom para puxar os tokens dessa carteira, sem verificar se quem chamava era um pool legítimo criado pela fábrica esperada. A configuração de fábrica V3 do router estava zerada, o que desativava essa checagem.

A consequência é que qualquer contrato podia fingir ser um pool e acionar o callback. As vítimas não perderam chaves nem assinaram nada de errado naquele momento. O que elas tinham era uma aprovação antiga concedida ao router, e foi isso que o atacante usou.

Aprovação de token é o mecanismo pelo qual um usuário autoriza um contrato a movimentar seus ativos. Ela fica ativa até ser revogada, e muitos usuários concedem limites ilimitados para não repetir a operação a cada troca. Enquanto o contrato for seguro, a conveniência não cobra nada. Quando o contrato tem uma falha, a aprovação vira porta aberta. Segundo a análise da ExVul, firma de segurança que reportou o caso, o mesmo mecanismo foi aplicado contra múltiplas carteiras e múltiplos tokens dentro da mesma transação. A equipe responsável pelo router ainda não confirmou publicamente o incidente, e o escopo completo, incluindo outros tokens possivelmente afetados, segue em apuração.

Quem já interagiu com esse router deve revogar as aprovações concedidas a ele. A revogação não recupera o que saiu, mas trava o saldo restante antes de uma nova transação.

Ferramentas de revogação permitem conferir cada autorização ativa de uma carteira e cancelar o que não faz mais sentido manter. A checagem vale para aprovações ilimitadas em qualquer contrato, não apenas neste caso, porque o saldo aprovado fica exposto enquanto a permissão existir.

Precedentes e contexto de rede

A falha tem precedentes diretos e já foi usada em escala maior. Em 2023, o RouterProcessor2 da SushiSwap foi explorado pelo mesmo caminho, com um pool falso acionando o callback e drenando aprovações antigas, em um prejuízo de 3,3 milhões de dólares. Análise posterior de outras firmas de segurança documentou o mesmo vetor em routers customizados, sempre pela ausência de verificação da origem do callback, e nenhum desses casos exigiu falha de oracle ou roubo de chave.

Na BNB Chain, o incidente chega semanas depois de dois casos menores. Um exploit ligado ao token SKP drenou cerca de 212 mil dólares em rotas de liquidez em maio. Os três casos mostram vetores distintos em uma mesma rede.

O router afetado não é um contrato oficial da BNB Chain, rede que processa cerca de 13,8 milhões de transações por dia e mantém mais de 2,6 milhões de contas ativas diárias.

Routers que aceitam pagador externo sem confirmar que o chamador é um pool legítimo convertem a conveniência das aprovações em superfície de ataque. Até a equipe do router se pronunciar, a recomendação segue a mesma do início da apuração, revogar permissões e conferir autorizações antigas.