INK Finance perdeu 140.000 dólares devido a uma vulnerabilidade de bypass na lista de permissões

Escrito por: Muriuki Lazaro, AMB Crypto

A INK Finance é uma protocolo de infraestrutura de gerenciamento de tesouraria e espaço de trabalho voltado para DeFi, implantado na Polygon, que recentemente sofreu um ataque grave de vulnerabilidade de autorização.

O atacante explorou uma fraqueza na lógica de validação do tesouro da plataforma, transferindo aproximadamente 140 mil dólares em fundos.

O ponto-chave do ataque foi que um contrato falsificado de reclamador conseguiu se passar pelo sistema de whitelist aprovado no sistema de tesouraria.

Devido a essa brecha, o atacante conseguiu passar na verificação de elegibilidade e acionou uma transferência de tesouraria “autorizada” sem ser imediatamente restringido.

Ao mesmo tempo, o atacante acelerou a execução da exploração usando um empréstimo relâmpago Balancer V2 de cerca de 25 mil dólares, roteado via Railgun para Polygon.

Esse fluxo de fundos também evidencia que, à medida que a infraestrutura de DeFi se conecta mais profundamente, a interligação entre sistemas de liquidez aumenta a eficiência na execução de ataques.

Relatos indicam que o atacante não visou camadas avançadas de criptografia, mas explorou uma questão de suposição de confiança operacional em torno das permissões de whitelist, reforçando as preocupações externas sobre a fragilidade do design de autorização na arquitetura de tesouraria.

O sistema de autorização da tesouraria está se tornando uma fraqueza no DeFi

Este incidente de vulnerabilidade na tesouraria reflete uma mudança mais ampla na superfície de ataque do DeFi: com o aumento da complexidade da infraestrutura, os atacantes não se concentram mais apenas em pools de liquidez ou sistemas de precificação, mas cada vez mais miram na camada de autorização de alta permissão que controla os fundos de reserva do protocolo.

O incidente da INK Finance também demonstra que os atacantes estão usando métodos de baixo custo e alta precisão para atacar o sistema de autorização da tesouraria.

Essa tendência indica que os métodos modernos de ataque estão cada vez mais focados na elevação de privilégios, e não apenas na manipulação de liquidez em maior escala.

Ao mesmo tempo, eventos semelhantes de whitelist e controle de acesso continuam a aumentar na DAO de 2026, expondo repetidamente as fraquezas na validação operacional durante a expansão da infraestrutura de DeFi.

No entanto, essas falhas contínuas de autorização também mostram que o setor de finanças descentralizadas ainda está atrás em maturidade de segurança operacional em relação ao crescimento de sua infraestrutura e capital.

Pequenos ataques também estão minando a confiança no DeFi

Cada vez mais ataques direcionados à autorização da tesouraria estão gradualmente enfraquecendo a confiança do mercado na infraestrutura geral do DeFi.

Embora a perda da INK Finance não seja particularmente grande, o incidente rapidamente apareceu em painéis de segurança e sistemas de monitoramento na cadeia.

Essa visibilidade é importante porque os usuários tendem a interpretar eventos de segurança menores e recorrentes como sinais de que a infraestrutura subjacente do ecossistema ainda é frágil.

Relatos também mencionam que eventos semelhantes envolvendo SmartCredit, Sharwa e Quant continuam a reforçar as preocupações externas sobre a fraqueza na disciplina de segurança operacional.

Este incidente demonstra que, mesmo com perdas econômicas limitadas, ataques de pequena escala podem ter um impacto desproporcional no mercado, pois falhas contínuas de autorização podem enfraquecer a confiança dos usuários, desacelerar o deployment de capital e aumentar o risco em todo o sistema interconectado.

No entanto, muitas dessas vulnerabilidades ainda derivam de problemas de configuração de permissões que poderiam ser evitados, e não de falhas tecnicamente complexas.

Em resumo, a maturidade da segurança operacional ainda fica atrás do crescimento da complexidade da infraestrutura.

Resumo breve

A INK Finance sofreu uma perda de cerca de 140 mil dólares após um atacante falsificar um contrato de reclamador para contornar a validação de whitelist.

Ataques recorrentes de pequenas autorizações no DeFi continuam a enfraquecer a confiança dos usuários na infraestrutura do setor.