Stablecoin USPD hack: $1 million stolen after hacker waited 78 days

[Cripto] O protocolo de stablecoin USPD foi recentemente alvo de um ataque, resultando numa perda de cerca de 1 milhão de dólares.

Este ataque foi bastante sofisticado, com o atacante a preparar o terreno dois meses antes. Toda a operação foi dividida em duas fases:

A primeira fase ocorreu a 16 de setembro, quando o hacker conseguiu antecipar-se à transação de inicialização da equipa do projeto, inserindo um contrato proxy malicioso no estabilizador do USPD — tudo isto sem levantar suspeitas. No dia seguinte (17 de setembro), utilizou essa porta traseira para atribuir privilégios especiais ao seu próprio contrato. Depois, foi uma longa espera, e só ao fim de 78 dias, a 5 de dezembro, é que avançou com o ataque.

O prejuízo concreto foi o roubo de 232 stETH, além de o atacante ter ainda emitido 98 milhões de tokens USPD. Este tipo de ataque, feito através da manipulação de dados de armazenamento, revela falhas graves na gestão de permissões durante a fase de inicialização do contrato.

Após dois meses de infiltração, a equipa do projeto não se apercebeu de nada. Este caso demonstra mais uma vez a importância crítica das auditorias de segurança antes do deployment de contratos inteligentes, especialmente no que toca à lógica de inicialização e à atribuição de permissões — qualquer descuido pode deixar portas traseiras fatais.