More Markets sofreu um exploit no Flow EVM que drenou cerca de 15,5 milhões de WFLOW do protocolo de empréstimo, com a empresa de segurança blockchain Blockaid estimando o impacto em aproximadamente US$ 9,3 milhões.
Resumo
- More Markets foi explorado no Flow EVM, com 15,5 milhões de WFLOW drenados de sua reserva de empréstimo mFlowWFLOW.
- A Blockaid estimou o impacto em aproximadamente US$ 9,3 milhões e vinculou o ataque a um LST vinculado da Ankr e ao mecanismo E Mode da More Markets.
- A empresa de segurança identificou um cluster de transações usadas para mover fundos após o exploit, enquanto as perdas finais e o destino dos ativos permanecem sob investigação.
- A Blockaid não disse que a Ankr ou o blockchain Flow em si foram comprometidos, com sua divulgação inicial identificando a More Markets como o protocolo alvo.
A Blockaid disse em uma postagem no X em 31 de agosto que um atacante explorou a More Markets, desenvolvida pela More Labs, usando um token de staking líquido vinculado da Ankr juntamente com o mecanismo E Mode do protocolo. A empresa de segurança identificou a reserva de empréstimo mFlowWFLOW como a fonte dos tokens drenados e publicou transações vinculadas ao ataque.
A avaliação inicial da empresa coloca o valor removido da reserva em 15,5 milhões de WFLOW. A Blockaid descreveu o valor de aproximadamente US$ 9,3 milhões como seu impacto detectado, o que significa que a perda final ainda não foi confirmada enquanto os investigadores rastreiam as transações e determinam para onde os ativos foram finalmente movidos.
A Blockaid publicou uma transação de exploit, a transação de implantação do contrato e um cluster de transferências pós-exploit. A empresa disse que o cluster continha transações usadas para mover fundos após a reserva ser drenada, mas não forneceu uma contabilidade final dos ativos do atacante no momento da redação.
Exploit da More Markets teve como alvo sua reserva de empréstimo WFLOW
More Markets é um protocolo de empréstimo descentralizado e não custodial implantado no Flow EVM e construído usando a arquitetura Aave V3. Seu repositório público lista nove mercados suportados e permite que os usuários forneçam ativos para obter juros, tomem empréstimos contra garantias a taxas variáveis e liquidem posições que caiam abaixo dos níveis de garantia exigidos.
WFLOW e ankrFLOW estão entre os ativos suportados pelo protocolo. A More Markets lista WFLOW com uma relação empréstimo-valor de 81,5% e um limite de liquidação de 83%, enquanto ankrFLOW tem uma relação empréstimo-valor de 78,5% e um limite de liquidação de 81%.
A documentação do protocolo identifica ankrFLOW como um token de staking líquido, ou LST, enquanto WFLOW serve como o ativo embrulhado nativo dentro do mercado de empréstimo.
A Blockaid vinculou especificamente o ataque a um LST vinculado da Ankr e ao E Mode, mas sua divulgação inicial não forneceu um detalhamento técnico explicando a sequência usada para drenar a reserva WFLOW. Não está claro na divulgação se o problema subjacente originou-se na implementação da More Markets, na forma como o ativo Ankr foi tratado dentro do protocolo de empréstimo, em suas suposições de preço ou em uma interação entre os dois componentes.
A documentação da Ankr descreve ankrFLOW como um token de staking líquido que gera recompensas emitido quando os usuários fazem stake de FLOW através de seu serviço de staking. Seu valor em relação ao FLOW aumenta à medida que as recompensas de staking se acumulam, enquanto o número de tokens ankrFLOW mantidos pelo usuário permanece inalterado.
A Ankr lista contratos inteligentes separados no Flow EVM para o token ankrFLOW, pool de staking, configuração de staking e feed de proporção. O feed de proporção contém o certificado de proporção do token, de acordo com sua documentação.
A documentação de staking líquido da empresa para Flow diz que os usuários podem implantar ankrFLOW em aplicativos DeFi, incluindo mercados de empréstimo, para tomar empréstimos contra o valor representado por seu FLOW em stake. A Ankr afirma que os contratos de staking líquido da Flow em Cadence e EVM passaram por auditorias externas da Halborn.
A Blockaid não disse que a própria Ankr foi comprometida no incidente. Sua divulgação apenas identificou o LST vinculado e o mecanismo E Mode da More Markets como componentes usados pelo atacante.
O Flow EVM permaneceu separado do vetor de ataque divulgado até agora
O incidente de 31 de agosto teve como alvo um aplicativo em execução no Flow EVM com base nas informações divulgadas pela Blockaid, sem indicação na divulgação inicial de que a blockchain Flow em si foi comprometida.
O Flow EVM fornece um ambiente compatível com Ethereum no Flow, permitindo que aplicativos escritos para a Máquina Virtual Ethereum operem na rede. A More Markets executa seus contratos de empréstimo nesse ambiente.
O Flow promoveu anteriormente tanto a More Markets quanto a Ankr como aplicativos disponíveis aos usuários dentro de seu ecossistema DeFi. Seu programa Community Rewards, por exemplo, oferecia recompensas por atividades envolvendo protocolos de empréstimo como a More Markets e por staking de FLOW por meio do produto de staking líquido da Ankr.
A distinção entre o incidente da More Markets e uma exploração em nível de rede é particularmente relevante porque o Flow sofreu uma violação de segurança separada no final de 2025.
Como crypto.news relatou anteriormente, um ataque em 27 de dezembro explorou uma vulnerabilidade na camada de execução Cadence do Flow e permitiu que um atacante duplicasse tokens fungíveis antes de extrair aproximadamente US$ 3,9 milhões em valor.
O post mortem subsequente da Flow Foundation disse que o atacante implantou mais de 40 contratos inteligentes maliciosos em uma sequência coordenada. Uma falha no runtime Cadence versão 1.8.8 permitiu que um ativo protegido que não deveria ser copiável fosse disfarçado como uma estrutura de dados padrão e duplicado.
Mais de 1 bilhão de tokens FLOW falsificados foram enviados para exchanges centralizadas durante esse incidente. A Flow disse que 484,4 milhões de FLOW foram posteriormente devolvidos pela OKX, Gate.io e MEXC e destruídos, enquanto a rede isolou 98,7% do fornecimento falsificado restante.
O Flow alterou anteriormente seu plano de recuperação após exploração de US$ 3,9 milhões
O ataque de dezembro forçou os validadores do Flow a interromper a blockchain dentro de horas após a primeira transação maliciosa. A Flow Foundation inicialmente propôs um rollback completo da cadeia, o que teria retornado a rede a um checkpoint antes da exploração.
O rollback da cadeia Flow proposto enfrentou oposição de operadores de pontes e outros participantes do ecossistema. Críticos alertaram que reverter transações confirmadas poderia produzir saldos duplicados para usuários que moveram ativos através de pontes durante o período afetado e criar perdas para usuários que trouxeram ativos por pontes.
O Flow posteriormente abandonou o rollback global e adotou um processo de recuperação isolado projetado para identificar e destruir ativos falsificados, mantendo o histórico de transações legítimo.
Durante a recuperação, os desenvolvedores trabalharam na restauração da funcionalidade do Cadence e do Flow EVM. Contas vinculadas a atividades suspeitas enfrentaram restrições temporárias enquanto empresas forenses externas ajudaram a verificar contas afetadas, com a Flow estimando que mais de 99,9% das contas recuperariam acesso total após a conclusão da recuperação.
As consequências posteriormente se estenderam à Coreia do Sul, onde a Flow Foundation e a Dapper Labs buscaram uma ordem judicial em março para impedir que Upbit, Bithumb e Coinone encerrassem o suporte de negociação para FLOW. As exchanges haviam se movido em direção à exclusão da listagem após o incidente de segurança de dezembro, enquanto a Flow mantinha que os saldos existentes dos usuários não foram comprometidos.
Para o ataque à More Markets, a divulgação da Blockaid em 31 de agosto permaneceu uma avaliação inicial. A empresa de segurança disse que mais detalhes ainda estavam sendo investigados após identificar a saída de 15,5 milhões de WFLOW e o cluster de transações subsequente usado para mover fundos após a exploração.
