Bastou uma única configuração incorreta de oráculo. Em 23 de julho de 2026, o hack da Solido Money retirou aproximadamente 293,7 milhões de tokens SUPRA do protocolo em duas ondas de ataque distintas — e, em poucos dias, a análise forense on-chain havia rastreado a maior parte desses fundos até infraestrutura de exchanges centralizadas, com uma parcela significativa apontando para um endereço de depósito suspeito da Gate.io.
Summary
Principais pontos
- O hack da Solido Money drenou aproximadamente 293,7 milhões de tokens SUPRA por meio de uma vulnerabilidade de atribuição incorreta de oráculo que fez com que o colateral fosse massivamente supervalorizado.
- Duas ondas de exploração cunharam um total de 809.052 tokens CASH, que foram vendidos por SUPRA como produto líquido.
- Cerca de 84% dos tokens roubados — aproximadamente 246,9 milhões de SUPRA — foram rastreados até infraestrutura de exchanges centralizadas.
- Aproximadamente 220 milhões de SUPRA foram vinculados a um endereço de depósito suspeito da Gate.io, embora os dados da blockchain por si só não possam confirmar a propriedade da plataforma.
- A Solido aplicou correções em nível de contrato desativando o caminho de mintagem explorado e está solicitando que as exchanges congelem os fundos sinalizados e preservem registros para as autoridades.
Hack da Solido Money drena 293,7 milhões de tokens SUPRA
O exploit não dependeu de injeção de código sofisticada nem de um ataque criptográfico inédito. Ele explorou algo mais fundamental: uma falha na forma como o protocolo atribuía valor ao colateral. A atribuição incorreta do oráculo fez o sistema acreditar que o colateral depositado valia quase um dólar americano quando seu preço real de mercado era apenas uma fração disso. Uma vez que essa diferença de preço foi estabelecida, o restante seguiu de forma lógica — e lucrativa para o atacante.
Como o exploit funcionou
Com o colateral artificialmente inflado em valor, o atacante cunhou tokens CASH muito além do que o colateral real poderia justificar. Esses tokens CASH foram então vendidos por SUPRA, convertendo uma ilusão de preço em participações reais em tokens. A empresa de segurança em blockchain PeckShield confirmou o ataque e observou que aproximadamente 90% dos fundos afetados pertenciam à Supra Foundation, o que significa que as perdas ficaram fortemente concentradas em vez de espalhadas entre usuários de varejo.
O ataque ocorreu em duas ondas. A primeira foi executada em uma única transação atômica — rápida, limpa e difícil de interromper. A segunda onda veio horas depois, repetida manualmente em cinco carteiras distintas usando a mesma técnica. Juntas, as duas ondas cunharam 809.052 tokens CASH e geraram 293,7 milhões de SUPRA em produto líquido.
O que torna isso particularmente significativo é a segunda onda. O relatório pós-incidente da Solido observou que simplesmente desativar o front-end do protocolo não foi suficiente para pará-la. A vulnerabilidade existia em nível de contrato — que foi exatamente onde a correção acabou tendo de ser aplicada.
Rastreando fundos roubados até exchanges centralizadas
Cerca de 84% do SUPRA roubado — aproximadamente 246,9 milhões de tokens — foi rastreado até infraestrutura de exchanges centralizadas por meio de análise on-chain. Isso reduz significativamente a janela de recuperação, já que plataformas centralizadas detêm as chaves da identidade do usuário de maneiras que protocolos descentralizados não conseguem.
A conexão com a Gate.io
Para a primeira onda de exploração, o relatório forense da Solido rastreou aproximadamente 220 milhões de SUPRA até um endereço de depósito suspeito da Gate.io. O protocolo fez questão de observar que os dados da blockchain por si só não podem confirmar se esse endereço pertence à Gate.io — apenas a própria exchange pode verificar isso. Um segundo ponto de contato com exchange foi identificado em relação à onda posterior, em que os fundos foram depositados em uma infraestrutura de exchange aparentemente específica de cliente antes de serem varridos para uma carteira ômnibus.
Essa distinção é importante. O caminho que leva fundos roubados até carteiras ômnibus de exchanges é uma rota bem conhecida em casos de roubo de cripto — uma vez que os ativos chegam a um pool ômnibus, eles se tornam muito mais difíceis de isolar sem a cooperação direta da exchange. O tempo é um fator real aqui.
Medidas de resposta e correções de segurança
A resposta da Solido avançou em duas frentes paralelas: um apelo público às exchanges e um patch técnico em nível de contrato.
Pedidos às exchanges para congelar fundos e preservar registros
A Solido pediu formalmente que as exchanges confirmem se os endereços sinalizados pertencem às suas plataformas, coloquem bloqueios em quaisquer depósitos rastreados e preservem registros de contas para possível uso por autoridades. O protocolo foi explícito ao afirmar que não está solicitando congelamentos gerais em contas de clientes não relacionadas e não está acusando nenhuma exchange de facilitar o ataque de forma consciente. O pedido é direcionado e procedimental — o tipo de cooperação que normalmente precede um encaminhamento formal às autoridades.
Correções em nível de contrato desativando o caminho de mintagem vulnerável
No lado técnico, foram aplicadas correções em nível de contrato para desativar o caminho de mintagem que o atacante explorou. A segunda onda do ataque demonstrou por que restrições apenas no front-end são insuficientes quando a lógica subjacente do smart contract permanece vulnerável — corrigir a interface sem tratar o contrato teria deixado a porta aberta. A correção aborda a causa raiz: a atribuição incorreta do oráculo que permitiu a supervalorização do colateral em primeiro lugar.
A implicação mais ampla aqui é conhecida, mas persistentemente subestimada em DeFi: a integridade do oráculo é a segurança do protocolo. Quando o feed de preço está errado, todos os cálculos subsequentes — razões de colateral, limites de liquidação, quantidades que podem ser cunhadas — herdam esse erro. Um único oráculo atribuído de forma incorreta reescreveu efetivamente as premissas econômicas do protocolo em tempo real, e o atacante estava pronto para capitalizar isso.
Para a Solido, o caminho de recuperação agora passa quase inteiramente pela cooperação das exchanges. Com US$ 900.000 em perdas estimadas e o TVL do protocolo em aproximadamente US$ 950.000 após o ataque, as apostas financeiras são reais, mas não catastróficas em nível de sistema. O que importa mais é se as exchanges responderão rápido o suficiente para congelar os depósitos sinalizados antes que os fundos avancem ainda mais — uma corrida entre a velocidade da análise forense e a próxima transação do atacante.
Perguntas frequentes
Como ocorreu o hack da Solido Money?
O atacante explorou uma falha de atribuição incorreta de oráculo que supervalorizou massivamente o colateral dentro do protocolo, permitindo que ele cunhasse tokens CASH lastreados por colateral que valia muito menos do que o sistema acreditava. Esses tokens foram então vendidos por SUPRA, convertendo o erro de precificação em produto real em tokens.
Quanto dos tokens SUPRA roubados foi rastreado até exchanges?
Cerca de 84% do total roubado — aproximadamente 246,9 milhões de SUPRA — foi rastreado até infraestrutura de exchanges centralizadas por meio de análise on-chain conduzida pela Solido Money.
Quais medidas a Solido Money tomou após o hack?
A Solido aplicou correções em nível de contrato para desativar o caminho de mintagem explorado e solicitou formalmente que as exchanges congelem os fundos sinalizados e preservem registros de contas para possíveis processos legais.
A Solido está acusando as exchanges de cumplicidade no hack?
Não. A Solido deixou explicitamente claro que não está acusando nenhuma exchange de auxiliar conscientemente o atacante e não está solicitando congelamentos gerais em contas não relacionadas. Os pedidos são direcionados a endereços específicos sinalizados e identificados por meio de rastreamento on-chain.
{“@context”:”https://schema.org”,”@type”:”FAQPage”,”mainEntity”:[{“@type”:”Question”,”name”:”Como ocorreu o hack da Solido Money?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”O atacante explorou uma falha de atribuição incorreta de oráculo que supervalorizou massivamente o colateral dentro do protocolo, permitindo que ele cunhasse tokens CASH lastreados por colateral que valia muito menos do que o sistema acreditava. Esses tokens foram então vendidos por SUPRA, convertendo o erro de precificação em produto real em tokens.”}},{“@type”:”Question”,”name”:”Quanto dos tokens SUPRA roubados foi rastreado até exchanges?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Cerca de 84% do total roubado — aproximadamente 246,9 milhões de SUPRA — foi rastreado até infraestrutura de exchanges centralizadas por meio de análise on-chain conduzida pela Solido Money.”}},{“@type”:”Question”,”name”:”Quais medidas a Solido Money tomou após o hack?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”A Solido aplicou correções em nível de contrato para desativar o caminho de mintagem explorado e solicitou formalmente que as exchanges congelem os fundos sinalizados e preservem registros de contas para possíveis processos legais.”}},{“@type”:”Question”,”name”:”A Solido está acusando as exchanges de cumplicidade no hack?”,”acceptedAnswer”:{“@type”:”Answer”,”text”:”Não. A Solido deixou explicitamente claro que não está acusando nenhuma exchange de auxiliar conscientemente o atacante e não está solicitando congelamentos gerais em contas não relacionadas. Os pedidos são direcionados a endereços específicos sinalizados e identificados por meio de rastreamento on-chain.”}}]}
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.
