WUSD.fi Ataque de Sybil na Agricultura Drena $200K dos Pools GLOVE

Um ataque de farming sybil na WUSD.fi e GLOVE drenou aproximadamente $200K de pools de liquidez do Uniswap V3 na Ethereum. Nenhuma auditoria detectou a falha no mecanismo de recompensa.

Alguém descobriu a matemática antes do protocolo. Em 25 de maio, um único atacante saiu com aproximadamente $200K de dois pools do Uniswap V3 ligados ao protocolo WUSD.fi e GLOVE na Ethereum. Não é exatamente um bug no código do contrato. Mais uma questão de um mecanismo de recompensa que nunca perguntou quem estava sendo recompensado.

O pesquisador de segurança de blockchain exvulsec destacou o incidente no X, detalhando toda a trilha na cadeia. O atacante usou um empréstimo relâmpago, passou por carteiras novas e despejou tokens GLOVE colhidos nos pools de liquidez antes que alguém percebesse.

O Mecânico que Ninguém Testou

Dentro do contrato do WUSD.fi há uma função chamada WUSD._englove. Segundo exvulsec no X, qualquer carteira nova que envolvesse pelo menos 100 WUSD enquanto mantinha menos de 2 GLOVE poderia chamar o Glove.mintCreditless e receber até 2 tokens GLOVE. Sem verificação de identidade. Sem limite de taxa. Nada.

O atacante implantou contratos auxiliares EIP-7702, realizou um empréstimo relâmpago Morpho USDT, e então executou ciclos repetidos de envolver e desemvolver através de endereços de carteiras novas. Cada novo endereço se qualificava novamente. GLOVE continuava a ser cunhado.

GLOVE colhido foi direto para o Uniswap V3. O pool GLO-USDC perdeu 11.702 USDC em drenagens observáveis. O pool GLO-USDT perdeu 8.079 USDT. Ambas as cifras confirmadas via Etherscan no momento do relatório.

O que a Comunidade Percebeu

SecureAI no X colocou de forma clara: o exploit não foi o contrato em si. Foi o design do mecanismo de recompensa. As auditorias tendem a analisar a lógica do código. Raramente testam as rotas de incentivo econômico da forma que um atacante faria.

A conta de cripto em chinês aegixe_cn no X chamou de mais um ataque de abuso de incentivo e alertou os usuários para entenderem a mecânica de um protocolo antes de investir dinheiro. Esse tipo de lembrete tem um impacto diferente quando $200K já saiu do pool. Os exploits DeFi têm se acumulado neste ano, com maio sozinho registrando múltiplos incidentes na camada de liquidez na Ethereum.

Sem manipulação de oracle. Sem reentrância. Apenas uma função de cunhagem distribuindo tokens a quem aparecesse com um endereço novo. O ataque continuou enquanto novos endereços se qualificassem. E eles se qualificaram, parte de um padrão que custou ao DeFi quase $770M em 2026. Segundo os registros.