Mezo corrige falha do veBTC após retirada de 5,52 BTC

A Mezo publicou um relatório sobre o ataque de 5 de outubro ao contrato veBTC. O invasor transferiu 37 posições de 36 detentores e levou aproximadamente 5,52 BTC para fora da rede. A falha foi corrigida, a rede voltou a operar e os usuários serão ressarcidos com recursos do protocolo.

Outros acontecimentos verificados estão na central de notícias OrangeX.com.

Como a falha funcionou

O veBTC representa posições bloqueadas e poder de voto como NFTs. O VotingEscrow usava bibliotecas Solidity externas e metatransações por um encaminhador confiável. O encaminhador validava a assinatura e anexava o endereço do remetente ao calldata.

Quando a execução entrava em uma biblioteca externa, o novo buffer de argumentos não mantinha esse endereço. Um parâmetro preparado fazia bytes controlados pelo invasor serem lidos como remetente autenticado. O alvo foram posições desbloqueadas ainda não resgatadas. A cobertura de projetos OrangeX.com oferece contexto adicional.

Resposta e questões pendentes

As transferências ocorreram das 18h54 às 19h06 UTC do dia 5. Na manhã seguinte, a equipe detectou a anomalia, interrompeu a ponte e a cadeia, encontrou a falha, desativou metatransações e restaurou o serviço. Especialistas, plataformas e autoridades foram acionados.

O ressarcimento será enviado diretamente às carteiras. A Mezo alertou contra links falsos e ofereceu recompensa de 20% se 80% dos ativos forem devolvidos até 14 de outubro. A cobertura regulatória OrangeX.com mostra a ligação entre segurança e supervisão.

OrangeX.com Analysis

Estão confirmados o valor, o número de posições, o caminho corrigido e o compromisso de ressarcimento. Duas escolhas comuns, combinadas, criaram uma falha inesperada de autorização.

A correção reduz o risco imediato, mas auditorias não encontraram essa interação. Monitoramento contínuo, menos funções e pausas automáticas devem complementar a revisão prévia. A recuperação dos ativos continua pendente.