A mais nova ameaça ao DeFi: como pools de liquidez maliciosos estão enganando os usuários do Ethereum e do Polygon com cotações falsas

Uma tática do tipo “Jekyll e Hyde”

Uma nova classe de pools de liquidez maliciosos de finanças descentralizadas (DeFi) está atacando a infraestrutura central da qual os negociantes de criptomoedas dependem para encontrar os melhores preços, de acordo com uma nova pesquisa publicada em 16 de julho pela empresa de infraestrutura DeFi Enso.

A empresa está chamando essas configurações enganosas de “pools tóxicos”. Ao contrário dos ataques típicos a criptomoedas, que drenam fundos diretamente de contratos inteligentes, esses pools são projetados para enganar sistematicamente as simulações de transações. Eles retornam cotações de preços atraentes e altamente competitivas quando uma carteira de criptomoedas ou um agregador de exchanges descentralizadas (DEX) executa uma simulação, mas alteram seu comportamento no momento em que a transação é efetivamente executada na blockchain.

O resultado é uma drenagem sutil e sistêmica: os traders recebem preços de execução significativamente piores do que os cotados, ou suas transações falham, desperdiçando taxas de rede no processo.

“Nossa investigação nos leva a acreditar que não se trata simplesmente de mais uma exploração isolada de contrato inteligente”, disse Milos Costantini, cofundador e diretor de produtos da Enso. “O setor passou anos otimizando a descoberta de preços. Nossas descobertas sugerem que o próximo desafio é verificar a integridade da execução.”

De acordo com o relatório da Enso, os pools tóxicos exploram as simulações “dry-run” fora da cadeia que as carteiras usam para visualizar as negociações. Os contratos maliciosos detectam quando estão sendo executados em um ambiente de simulação somente leitura e retornam um preço artificialmente otimizado. Assim que a transação é efetivamente transmitida na cadeia, o pool altera sua lógica matemática para executar a transação a uma taxa reduzida.

Para permanecerem ocultos dos sistemas de segurança, esses pools alternam entre estados honestos e maliciosos, tornando ineficazes os scanners de código estático e os filtros de reputação históricos. Esse esquema de “isca e troca” prejudica a experiência do usuário e esgota seus fundos por meio de transações fracassadas. Em um estudo de caso, um pool manipulado da Curve provocou mais de 37.000 transações revertidas, forçando os usuários a desperdiçar quase US$ 30.000 em taxas de gás.

Os invasores também estão explorando arquiteturas modulares de exchange de última geração. Na Polygon, um “hook” malicioso — um plug-in de contrato inteligente usado em plataformas como o Uniswap v4 — atraiu sistemas de roteamento com taxas falsas antes de provocar uma taxa de falha nas transações de 99,1%.

Conclusões da análise forense na cadeia

A pesquisa, que abrangeu cerca de dois meses de análise forense na cadeia, combinou dados históricos de nós de arquivo, análise de rastreamento de transações e inspeções de contratos inteligentes. Os engenheiros da Enso, com o apoio de contatos nos principais protocolos DeFi — Curve Finance e Oku —, identificaram pools tóxicos ativos operando tanto na blockchain do Ethereum quanto na do Polygon.

Em um estudo de caso documentado na Ethereum, um pool manipulado do Curve processou mais de 129.000 swaps. Embora o pool parecesse ser a rota ideal, ele apresentou uma execução pior do que a cotada, levando a aproximadamente US$ 225.000 em cotações superestimadas.

Além disso, a equipe da Enso identificou vários contratos de oráculo de blockchain implantados pelo mesmo operador para dar suporte a pools adicionais, indicando que a tática provavelmente é mais difundida do que os dois casos documentados e pode representar um modelo emergente para extração na cadeia.

As descobertas representam um desafio direto à camada voltada para o usuário do ecossistema DeFi. Carteiras populares, interfaces voltadas para o consumidor e agregadores dependem fortemente de simulações automatizadas para garantir o “melhor caminho” para a negociação de um usuário.

O relatório da Enso destaca que, se a infraestrutura de roteamento não conseguir distinguir entre uma cotação legítima e uma manipulada, os front-ends continuarão a direcionar os usuários para essas armadilhas. Isso cria riscos potenciais de responsabilidade legal e financeira para provedores de carteiras e operadores de interface que prometem a “melhor execução”, mas rotineiramente oferecem rotas tóxicas.

Em resposta à ameaça, a Enso anunciou que atualizou seu produto de proteção de execução, o Enso Shield, para incluir detecção dedicada de “pools tóxicos”. A ferramenta de segurança foi projetada para contornar métodos padrão de simulação, analisando o contexto em tempo real na cadeia de blocos, monitorando o histórico de cotações e utilizando rastros de transações para identificar discrepâncias na execução.

Em vez de culpar exchanges descentralizadas individualmente, a Enso convocou o setor de criptomoedas como um todo a realizar mais pesquisas sobre a manipulação de simulações de transações.

“Se as simulações de transações podem ser manipuladas enquanto a execução real mostra uma história diferente”, disse Costantini, “precisamos de maneiras melhores de verificar o que os usuários realmente recebem.”