INK Finance devido à vulnerabilidade de bypass da lista de permissões, perda de 140.000 dólares americanos

Escrevendo: Muriuki Lazaro, AMB Crypto

A INK Finance é uma protocolo de infraestrutura de gestão de tesouraria e espaço de trabalho voltado para DeFi, implantado na Polygon, que recentemente sofreu um ataque grave de vulnerabilidade de autorização.

O atacante explorou uma fraqueza na lógica de validação do tesouro da plataforma, transferindo aproximadamente 140.000 dólares em fundos.

A chave do ataque foi que um contrato falsificado de reclamador conseguiu se passar com sucesso por uma entidade autorizada na lista de permissões do sistema de tesouraria.

Devido a essa brecha, o atacante conseguiu passar na verificação de elegibilidade e acionou uma transferência de tesouraria “autorizada” sem ser imediatamente restringido.

Ao mesmo tempo, o atacante acelerou a execução da exploração usando um empréstimo relâmpago Balancer V2 de cerca de 25.000 dólares, roteado pelo Railgun para Polygon.

Esse fluxo de fundos também evidencia que, à medida que a infraestrutura de DeFi se conecta mais profundamente, a interligação entre sistemas de liquidez aumenta a eficiência na execução de ataques.

Relatórios indicam que o atacante não visou camadas avançadas de criptografia, mas explorou uma questão de suposição de confiança operacional em torno das permissões da lista de permissões, reforçando as preocupações externas sobre a fragilidade do design de autorização na arquitetura de tesouraria.

O sistema de autorização da tesouraria está se tornando uma fraqueza no DeFi

Este incidente de vulnerabilidade na tesouraria reflete uma mudança mais ampla na superfície de ataque do DeFi: à medida que a complexidade da infraestrutura aumenta, os atacantes não se concentram mais apenas em pools de liquidez ou sistemas de precificação, mas cada vez mais miram na camada de autorização da tesouraria com altos privilégios, que controla os fundos de reserva do protocolo.

O incidente da INK Finance também demonstra que os atacantes estão lançando ataques ao sistema de autorização da tesouraria de forma de baixo custo e alta precisão.

Essa tendência indica que os métodos de ataque modernos estão cada vez mais focados na elevação de privilégios, e não apenas na manipulação de liquidez em maior escala.

Ao mesmo tempo, eventos semelhantes de listas de permissões e controle de acesso continuam a aumentar na DAO de 2026, expondo repetidamente as fraquezas na validação operacional durante a expansão da infraestrutura de DeFi.

No entanto, essas falhas contínuas de autorização também mostram que o setor de finanças descentralizadas ainda está atrás na maturidade de segurança operacional em relação ao crescimento de sua infraestrutura e capital.

Pequenos ataques também estão minando a confiança no DeFi

Cada vez mais ataques direcionados à autorização da tesouraria estão gradualmente enfraquecendo a confiança geral do mercado na infraestrutura de DeFi.

Embora a perda da INK Finance não seja particularmente grande, o incidente rapidamente apareceu nos painéis de segurança e sistemas de monitoramento na cadeia.

Essa visibilidade é importante porque os usuários frequentemente interpretam pequenos incidentes de segurança recorrentes como sinais de que a infraestrutura subjacente do ecossistema ainda é frágil.

Relatórios também mencionam que eventos semelhantes envolvendo SmartCredit, Sharwa e Quant continuam a reforçar as preocupações externas sobre a fraqueza na disciplina de segurança operacional.

Este incidente demonstra que, mesmo com perdas econômicas limitadas, ataques de pequena escala podem ter um impacto desproporcional no mercado, pois falhas contínuas de autorização podem enfraquecer a confiança dos usuários, desacelerar o deployment de capital e aumentar o risco percebido em todo o sistema interconectado.

No entanto, muitas dessas vulnerabilidades ainda derivam de problemas de configuração de permissões que poderiam ser evitados, e não de falhas técnicas extremamente complexas.

Simplificando, a maturidade da segurança operacional ainda fica atrás do crescimento da complexidade da infraestrutura.

Resumo breve

A INK Finance sofreu uma perda de cerca de 140.000 dólares devido a um atacante que falsificou um contrato de reclamador para contornar a validação da lista de permissões.

Ataques recorrentes de pequenas autorizações no DeFi continuam a enfraquecer a confiança dos usuários na infraestrutura do setor.