WUSD.fi Ataque de Farming Sybil Drena $200K dos Pools GLOVE

Um ataque de farming Sybil na WUSD.fi e GLOVE drenou aproximadamente $200K de pools de liquidez do Uniswap V3 na Ethereum. Nenhuma auditoria detectou a falha no mecanismo de recompensa.

Alguém descobriu a matemática antes do protocolo. Em 25 de maio, um único atacante saiu com aproximadamente $200K de dois pools do Uniswap V3 ligados ao protocolo WUSD.fi e GLOVE na Ethereum. Não exatamente um bug no código do contrato. Mais um caso de um mecanismo de recompensa que nunca perguntou quem estava sendo recompensado.

O pesquisador de segurança de blockchain exvulsec sinalizou o incidente no X, detalhando toda a trilha na cadeia. O atacante usou um empréstimo relâmpago, passou por carteiras novas e despejou tokens GLOVE colhidos nos pools de liquidez antes que alguém percebesse.

O Mecânico que Ninguém Testou

Dentro do contrato do WUSD.fi há uma função chamada WUSD._englove. Segundo exvulsec no X, qualquer carteira nova que envolvesse pelo menos 100 WUSD enquanto mantinha menos de 2 GLOVE poderia chamar o Glove.mintCreditless e receber até 2 tokens GLOVE. Sem verificação de identidade. Sem limite de taxa. Nada.

O atacante implantou contratos auxiliares EIP-7702, realizou um empréstimo relâmpago Morpho USDT, e então executou ciclos repetidos de envolver e desencapsular em carteiras novas. Cada nova carteira se qualificava novamente. GLOVE continuou sendo cunhado.

GLOVE colhido foi direto para o Uniswap V3. O pool GLO-USDC perdeu 11.702 USDC em drenagens observáveis. O pool GLO-USDT perdeu 8.079 USDT. Ambas as cifras confirmadas via Etherscan no momento do relatório.

O Que a Comunidade Percebeu

SecureAI no X colocou de forma clara: o exploit não foi o contrato em si. Foi o design do mecanismo de recompensa. Auditorias tendem a analisar a lógica do código. Raramente testam as rotas de incentivo econômico do jeito que um atacante faria.

A conta de cripto em chinês aegixe_cn no X chamou de mais um ataque de abuso de incentivo e alertou os usuários para entenderem a mecânica de um protocolo antes de investir dinheiro. Esse tipo de lembrete tem impacto diferente quando $200K já saiu do pool. Explorações DeFi têm se acumulado neste ano, com maio sozinho registrando múltiplos incidentes na camada de liquidez na Ethereum.

Sem manipulação de oracle. Sem reentrância. Apenas uma função de cunhagem distribuindo tokens para quem aparecesse com uma carteira nova. O ataque continuou enquanto novas carteiras se qualificassem. E elas se qualificaram, parte de um padrão que custou ao DeFi quase $770M em 2026. Segundo os registros.