Mezo detalha falha veBTC, reembolso aos usuários e oferta de recuperação

A Mezo publicou o relatório técnico do ataque de 5 de outubro de 2026, que moveu 37 posições veBTC de 36 carteiras e retirou cerca de 5,52 BTC da rede. O projeto afirma que a vulnerabilidade foi corrigida, a rede e a ponte voltaram a operar e todos os usuários afetados receberão os BTC perdidos a partir de fundos do protocolo.

O caso importa além do valor porque mostra como dois padrões comuns podem se tornar perigosos quando combinados. O veBTC permite bloquear BTC e receber um NFT que representa a posição e seu poder de voto. O contrato dividia a lógica entre bibliotecas externas e aceitava metatransações por meio de um encaminhador confiável.

Como a verificação do remetente falhou

O encaminhador verificava uma assinatura fora da rede e adicionava o endereço confirmado ao fim do calldata. O contrato lia os últimos 20 bytes. Ao entrar numa biblioteca externa, porém, o compilador criava um novo buffer apenas com os parâmetros declarados; o endereço adicionado não era transferido.

O invasor preparou o campo de dados para que a biblioteca interpretasse bytes controlados por ele como o remetente. Ele tomou posições desbloqueadas, mas não resgatadas, transferiu os BTC para Ethereum e os converteu em 174,61 ETH. O mercado pode ser acompanhado pelo spot de BTC da OrangeX.com, mas acesso de negociação e segurança de contrato são temas distintos.

Resposta, reembolso e condições

O ataque ocorreu entre 18:54 e 19:06 UTC em 5 de outubro. A equipe detectou anomalias na manhã seguinte, declarou o incidente às 09:04, pausou saques da ponte 13 minutos depois e interrompeu a rede às 09:27. Após localizar e corrigir a falha, rede e ponte foram reabertas às 15:00.

A Mezo desativou metatransações sem uso em produção e revisou todas as funções acessíveis pelo mesmo caminho. Três exposições menores de controle de acesso foram cobertas pela correção. Os usuários devem receber BTC diretamente nas carteiras atuais, sem acessar site de recuperação.

O invasor pode devolver 4,415417121 BTC até 23:59 UTC de 14 de outubro e manter 1,103854280 BTC como recompensa de 20%. O resultado segue pendente. As atualizações estão em OrangeX.com Crypto News e a OrangeX.com Academy oferece contexto. A Prova de Reservas da OrangeX.com é uma ferramenta de transparência da exchange, não uma auditoria do código de terceiros.

OrangeX.com Analysis

A principal lição é que componentes conhecidos não garantem uma composição segura. Encaminhamento de assinaturas, leitura de calldata e bibliotecas são técnicas estabelecidas, mas sua fronteira gerou uma falha de autorização não detectada por duas auditorias nem pelo programa de recompensas.

A reação limitou perdas adicionais e promete reembolso integral. Ainda assim, fatos confirmados—posições, valor, cronologia e correção—devem ser separados de compromissos futuros, como concluir pagamentos, recuperar ativos e implantar novos sistemas de monitoramento.