Banco DeFi de stablecoin Infini sofre exploit de $49M após atacante reter controle de nível admin

Um hacker drenou mais de US$ 49M em USDC do banco de stablecoin Infini. O exploit pode ser devido a acesso interno a um smart contract, onde o desenvolvedor reteve o acesso após a entrega ao Infini. 

O acesso admin a um smart contract permitiu que um explorador drenasse US$ 49M do protocolo Infini, um banco DeFi de stablecoin. O próprio Infini não reagiu ao exploit, nem explicou a natureza do hack. O Infini é um emissor de cartões de criptomoedas, tomando colateral em stablecoin para realizar pagamentos diários. 

O Infini anunciava seus serviços de pagamento como um neobanco, misturando cripto e finanças tradicionais. O produto atraiu 500% mais usuários nas últimas semanas, ao iniciar suas campanhas de cartões. O neobanco também oferece produtos de rendimentos elevados, levando a um aumento na liquidez disponível para o explorador.

Foram precisamente os produtos de rendimento que criaram as condições para o exploit, já que os fundos foram relatadamente tomaram do Morpho MEV Capital Usual USDC Vault. A Morpho não emitiu nenhum aviso nem relatou fundos perdidos.

O exploit foi notado após uma baleia de aparência normal transação, onde uma nova carteira retirou todos os fundos bloqueados no contrato. A carteira do atacante era conhecida pelo Infini, já que o projeto relatadamente ordenou que o explorador criasse o smart contract. Desconhecido para o projeto, o atacante reteve direitos admin e poderia fazer a chamada para drenar toda a liquidez. 

🚨ALERTA🚨Hoje, @0xinfini sofreu um exploit de $49M em $USDC devido a um atacante abusando de privilégios administrativos retidos.

O atacante, operando a partir de 0xc49b5e5b9da66b9126c1a62e9761e6b2147de3e1, havia inicialmente desenvolvido o contrato como parte do projeto Infini. No entanto, após… pic.twitter.com/olguOyNCJr

— 🚨 Cyvers Alerts 🚨 (@CyversAlerts) fevereiro 24, 2025

A ação imediata do explorador foi trocar USDC para comprar 17.696 ETH. O explorador passou por DAI, que estava disponível por meio de protocolos descentralizados. Os fundos moveram-se por Uniswap, Sky Protocol e 0x Protocol. Trocar USDC o mais rápido possível permitiu que o hacker movesse os fundos para ETH, que não pode ser congelado, apenas colocado em blacklist nas exchanges.

Depois disso, o atacante dividiu o produto em somas menores e múltiplos endereços. O explorador usou uma nova carteira para enviar uma pequena quantidade de ETH para gás e completar a transação. O financiamento inicial da carteira veio do Tornado Cash, velando parte da presença on-chain do hacker.

Depois disso, o ETH foi movido por uma série de transferências. No momento da escrita, os fundos ainda não haviam sido misturados. 

Os hackers da DPRK atacaram novamente?

A identidade do criador do contrato permanece desconhecida, já que o Infini não revelou quem foi ordenado a construir o smart contract. 

O hack do Infini segue o maior exploit de 2025, onde o exchange Bybit perdeu até US$ 1,5B em Ethereum (ETH). O hacker da Bybit teve uma abordagem semelhante de dividir o ETH antes de misturar. O investigador on-chain ZachXBT apontou vários exemplos de que essa abordagem é um dos movimentos característicos do grupo de hackers Lazarus. Por enquanto, o Infini não vinculou nenhuma das carteiras do explorador a outros endereços conhecidos do Lazarus. 

Desta vez, nenhuma chave privada foi vazada, e o Infini não parou os saques e depósitos. 

O fundador do Infini, @christianeth, assumiu total responsabilidade pelo exploit, afirmando que foi negligente no processo de transferência de autoridade do desenvolvedor para o projeto. O fundador tranquilizou os usuários de que o protocolo permanece líquido e emitirá compensação total no pior dos cenários. 

“Minha chave privada pessoal não foi vazada, então não há necessidade de se preocupar muito. Fui negligente ao transferir a autoridade antes. É, em última análise, minha responsabilidade. Isso soou o alarme… Não há problema com a liquidez. A compensação total pode ser paga e os fundos estão sendo rastreados,” escreveu @christianeth no X.

Outras análises on-chain mostram um possível vazamento de chave privada, que permitiu ao hacker acessar o contrato. A PeckShield observou que o engenheiro que se tornou hacker tem sido identificou. Após o ataque, um dos co-fundadores do Infini, @0xsexybanana, deletou sua conta X. O roubo atual é um ataque interno suspeito, já que o engenheiro era confiável o suficiente para criar um smart contract. 

Os exploits recentes e o acúmulo de ETH levantaram a questão do uso da cadeia para lavagem de dinheiro e potencial financiamento de regimes hostis. Ao mesmo tempo, os exploits catalisaram um pequeno rally do ETH, onde o ativo subiu acima de US$ 2.800 pela primeira vez em semanas. As perdas em ETH significaram que as exchanges tiveram que recuperar suas reservas, levando a uma demanda adicional.