Rede Radix volta após 10 dias parada por dreno de US$ 1,26 milhão

Um bug de autorização de cofre no Radix Engine drenou US$ 1,26 milhão da ponte Hyperlane e parou a rede por 10 dias, 14 horas e 16 minutos.

As 26 transações começaram às 16h02 UTC de 31 de agosto e terminaram às 16h57. Saíram 458.914,88 hUSDC, 72.420,38 hUSDT, 61,078 hETH, 6,348 hWBTC, 536,16 hSOL e 32,91 hBNB, além de 13.000 XRD pagos em taxas de ponte, tirados de um cofre que não era do atacante. As stablecoins somam US$ 531.335. O relatório não traz total em dólares, e o valor segue como estimativa de mercado, a preços daquele dia.

A brecha que abriu 60 cofres de terceiros

A falha estava na checagem de referências feita pelo engine antes de rodar código. Ele aceitava o cofre de qualquer terceiro como se fosse do chamador.

A função verify_boot_ref_value tratava qualquer nó de blueprint FungibleVault ou NonFungibleVault como acesso direto, sem checar o dono. Com ela, lock_fee, take e take_advanced ficavam abertas em cofres alheios. As três são controladas pelo WITHDRAWER_ROLE, papel aberto a todos em um token livremente transferível. A proteção normal do saldo está nas regras da conta, que uma chamada direta ao cofre não atravessa.

O pacote do ataque se chama LiquidityTool e expõe 61 funções, de run_0 a run_60, uma por cofre nomeado, e nenhuma traz prova ou badge.

Nas chamadas aparecem 60 cofres distintos, e o manifesto nomeia uma única conta, a que recolheu o dreno. As taxas de 500 XRD por transação ficaram travadas dentro do próprio pacote, no cofre de XRD passado ao engine por endereço. O teto que o atacante encontrou estava no tamanho da transação. Cada chamada podia nomear um cofre só. O WebAssembly usado não carrega string de build-host nem caminhos de panic, artefatos que uma compilação em Rust deixa por padrão.

Os validadores tiraram stake do ar na noite do dreno. Às 22h36, 48,32% do stake delegado estava offline, abaixo dos dois terços do consenso.

A correção Eagle Ray e a origem do defeito

O último round saiu às 21h19, e nada foi confirmado até 11 de setembro, às 11h35. A correção saiu no protocolo Eagle Ray, publicado no Scrypto v1.4.0 em 7 de setembro e implantado no babylon-node em 10 de setembro. A checagem nova rejeita o acesso direto sem visibilidade do recebedor, com o erro InvalidInvokeAccess, e avança a lógica de SystemVersion V4 para V5. A rede só retomou os rounds com mais de dois terços do stake ativo na versão nova.

O defeito veio de uma manutenção de rotina no código, em junho de 2023, no Radix Engine. Antes dela, a Hacken havia auditado o engine e passado.

Em agosto de 2024, com o defeito já no código, a Zellic auditou o protocolo, cobriu o kernel onde a falha estava, sem detectá-la. O relatório oficial de 17 de setembro, referência RDX-INC-2026-0831, classifica o caso como contido, com causa-raiz corrigida, e nega falha de ponte, de validador ou de chave privada. A fundação atribui a introdução do defeito a um time da RDX Works, informado da causa-raiz e sem resposta, e reportou o caso à polícia de Jersey e à do Reino Unido.

Controles travados e preço em queda

Os controles de recuperação não podiam ser acionados. No hUSDC, recall e freeze estavam em deny_all, e nada foi recuperado desde o dreno.

Depois que os ativos saíram de um lado dos pares, a distorção de preço dentro das pools abriu espaço para outra conta varrer milhões de XRD, valor que o relatório não quantifica. Três validadores se desregistraram após o reinício, com 38,17 milhões de XRD de stake delegado, e em 13 de setembro o ledger registrava 4,85 bilhões de XRD em stake, 35,8% do suprimento. A compensação foi discutida em 12 de setembro.

Em 18 de setembro, o XRD cotava US$ 0,00057873, com queda de 39,99% em 30 dias e market cap de US$ 7,91 milhões. A rede opera normalmente.

Em 24 horas, a alta foi de 5,91%, e em 7 dias, de 16,28%. O TVL medido pela DeFiLlama estava em US$ 348.806. A reabertura nas exchanges é assimétrica. A Gate.io liberou negociação e saque, mas mantém o depósito de XRD desabilitado, e a KuCoin reativou as duas pontas. Em 1, 3 e 13 de setembro, as exchanges monitoradas tinham depósito e saque fechados. O release em produção é o v1.10.7, e cada exchange define quando e o que reabilita.