Flow detalha exploit de $3.9M em relatório completo pós-incidente

A Flow publicou um relatório pós-incidente em 6 de janeiro de 2026, discutindo a causa raiz de seu exploit de US$ 3,9 milhões.

Um atacante explorou uma vulnerabilidade de confusão de tipos no runtime do Cadence para forjar tokens. A Flow disse que nenhum saldo de usuário existente foi acessado ou comprometido.

Flow identifica vulnerabilidade de confusão de tipos como causa raiz do exploit

Uma vulnerabilidade de confusão de tipos foi encontrada como a causa principal pela Flow. A vulnerabilidade permitiu que o atacante evitasse verificações de segurança do runtime disfarçando um ativo protegido como uma estrutura de dados regular. O atacante coordenou a execução de cerca de 40 contratos inteligentes maliciosos.

O ataque começou na altura do bloco 137.363.398 em 26 de dezembro de 2025, às 23:25 PST. Minutos após o primeiro deploy, começou a produção de tokens falsos. O atacante usou estruturas de dados padrão que são replicáveis para disfarçar ativos protegidos que deveriam ser incopiáveis. Ao aproveitar a semântica move-only do Cadence, isso tornou possível a falsificação de tokens.

Cadence e um ambiente totalmente equivalente ao EVM são os dois ambientes de programação integrados executados pela Flow. Neste caso, a exploração visou o Cadence.

Rede fora do ar dentro de seis horas da transação maliciosa inicial

Em 27 de dezembro, na altura do bloco 137.390.190, os validadores da Flow iniciaram uma pausa coordenada na rede às 05:23 PST. Todas as rotas de fuga foram bloqueadas, e a interrupção ocorreu menos de seis horas após a transação maliciosa inicial.

O FLOW falsificado estava sendo transferido para contas de depósito de exchanges centralizadas até 26 de dezembro às 23:42 PST. Devido ao seu tamanho e irregularidade, a maioria das grandes transferências de FLOW enviadas para exchanges foi congelada ao serem recebidas. A partir das 00:06 PST de 27 de dezembro, alguns ativos foram transferidos para fora da rede usando Celer, deBridge e Stargate.

Às 01:30 PST, os primeiros sinais de detecção foram levantados. Neste ponto, os depósitos nas exchanges foram correlacionados com movimentos anômalos de FLOW entre VMs. À medida que o FLOW falsificado foi liquidado a partir das 13:00 PST, as exchanges centralizadas enfrentaram uma forte pressão de venda.

Exchanges devolvem 484 milhões de tokens FLOW falsificados

De acordo com a Flow, o atacante depositou 1,094 bilhão de FLOW falso em várias exchanges centralizadas. As parceiras de exchanges Gate.io, MEXC e OKX retornaram 484.434.923 FLOW, que foi destruído. 98,7% do fornecimento restante de mercadorias falsas foi isolado on-chain e está sendo destruído. A resolução completa é esperada em 30 dias, e a coordenação com outras parceiras de exchanges ainda está em andamento.

Após a comunidade avaliar várias opções de recuperação, incluindo restauração de checkpoint, a estratégia de recuperação foi escolhida. A Flow realizou consultas em todo o ecossistema com parceiros de infraestrutura, operadores de pontes e exchanges.

A exploração de $3,9 milhões da Flow ocorreu dentro de um padrão semelhante de incidentes de segurança que afetaram protocolos de criptomoedas no final de dezembro de 2025 e início de janeiro de 2026. A BtcTurk sofreu uma violação de carteira quente no valor de $48 milhões em 1º de janeiro de 2026. Os hackers comprometeram a infraestrutura da carteira quente da exchange centralizada e desviaram fundos através das redes Ethereum, Arbitrum, Polygon e outras.

A Binance sofreu um incidente de manipulação de conta de market maker em 1º de janeiro envolvendo o token BROCCOLI.