Na última semana, a exchange descentralizada, 1inch, sofreu um ataque crítico em seus contratos inteligentes, com isso, o hacker conseguiu roubar US$ 5 milhões da corretora.
Apesar disso, a corretora descentralizada negociou com o hacker e conseguiu recuperar os fundos roubados.
Hacker devolve fundos para a 1inch
Em 5 de março, a DEX foi vítima de um ataque específico na seção de contratos inteligentes. Os investigadores vincularam o ataque a uma versão desatualizada do contrato inteligente da plataforma. Após negociações e o pagamento de uma recompensa generosa por relatar o bug, o hacker devolveu os fundos para a plataforma.
A notícia foi divulgada pela WuBlockchain, que declarou:
“Após negociações com o hacker, a maior parte dos US$ 5 milhões roubados foi devolvido, com o hacker retendo uma parte como recompensa.”
Como aconteceu o ataque
De acordo com o relatório post-mortem da Decurity, após negociações com o hacker, a maior parte dos US$ 5 milhões roubados foram devolvida, com o hacker mantendo uma parte como recompensa por bug. O ataque foi causado por uma vulnerabilidade no contrato inteligente Fusion v1, afetando principalmente aqueles que usam versões desatualizadas do resolvedor. Os fundos dos usuários regulares não foram afetados.
A corretora publicou um blog no qual explicou que o ataque foi causado por uma vulnerabilidade no contrato inteligente Fusion V1 Resolver, chamando-o de “um componente obsoleto”. A plataforma destacou que a equipe detectou o incidente em 5 de março às 18:00 UTC.
Os hackers exploraram a lógica desatualizada do resolvedor V1 para executar uma série de transações. Foi enfatizado que nenhum usuário direto foi afetado por este ataque; a ação foi direcionada à TrustedVolumes, uma formadora de mercado terceirizada. Após a descoberta do ataque, a plataforma imediatamente redistribuiu o resolvedor para evitar novas explorações.
O relatório revelou que o hacker enviou uma mensagem após o ataque cibernético, exigindo uma recompensa em troca da devolução dos fundos roubados.
A TrustedVolumes, a parte afetada, entrou em negociações com o hacker e chegou a uma resolução positiva. Este caso representa um evento raro em que um ataque às finanças descentralizadas terminou com a devolução dos fundos.
Após a recuperação dos fundos, o mercado reagiu positivamente: o preço do token subiu 1,12% para US$ 0,22.
O que é um resolver e por que o Fusion v1 virou problema
Para entender o ataque, vale separar duas camadas. O usuário comum da 1inch assina uma ordem de troca e não executa nada diretamente. Quem executa a ordem é um resolver, um participante profissional (normalmente um formador de mercado) que disputa o direito de preencher as ordens e opera com contratos próprios. No modo Fusion, o resolver paga o gás e entrega o preço prometido ao usuário.
Segundo o comunicado oficial da 1inch, publicado em 7 de março de 2025, a falha estava em uma implementação antiga do Fusion (v1), com uma lógica que não existe no Fusion v2. Os contratos de resolvers que ainda carregavam essa implementação, sem filtros de segurança adicionais, ficaram expostos. A empresa classificou o problema como altamente complexo, com exploração sofisticada, e afirmou que nenhum usuário final foi afetado.
A 1inch também informou que todos os resolvers já usavam o Fusion v2 para executar trocas com usuários finais. Ou seja, o v1 não estava ativo nem era suportado pela plataforma. Mesmo assim, a empresa redistribuiu o contrato relevante como medida preventiva.
Por que o hacker devolveu o dinheiro
Devoluções como esta costumam seguir um roteiro conhecido em DeFi. Depois do ataque, a vítima envia uma mensagem on-chain ao endereço do invasor, oferece uma recompensa (o chamado bug bounty) e promete não seguir com ações legais se os fundos voltarem. Para o invasor, ficar com uma parte de forma negociada reduz o risco de ser identificado ao tentar sacar recursos rastreados por empresas de análise de blockchain.
No caso da 1inch, a própria parte afetada, a TrustedVolumes, conduziu a negociação, e a maior parte dos cerca de US$ 5 milhões retornou, com o hacker retendo uma fatia como recompensa, conforme o relatório post-mortem da Decurity citado acima. O desfecho é positivo, mas não muda o fato central: um componente obsoleto, esquecido em produção, abriu a porta.
O que a 1inch recomendou aos resolvers
No comunicado, a empresa listou medidas para quem opera contratos integrados ao protocolo:
- atualizar imediatamente para as versões mais recentes e seguras dos contratos;
- adotar validações e salvaguardas de execução mais rígidas;
- contratar auditorias de segurança independentes antes de publicar contratos;
- fazer avaliações de risco contínuas, não apenas no lançamento.
A lição vale além da 1inch: contratos inteligentes antigos continuam vivos na blockchain mesmo quando a equipe deixa de usá-los. Se ainda têm permissões ou saldo, podem ser explorados anos depois.
O que isso significa para quem usa DEX a partir do Brasil
Para o investidor brasileiro, a primeira lição é prática: revogar permissões antigas (approvals) concedidas a contratos que você não usa mais reduz o risco de ser atingido por falhas desse tipo. Ferramentas de revogação de permissões existem para as principais redes e custam apenas a taxa de gás.
A segunda é fiscal. Operações feitas em exchanges descentralizadas não passam por uma corretora brasileira que reporte os dados à Receita Federal, e a responsabilidade de registrar compras, vendas e trocas fica com o próprio usuário. Se houver ganho de capital, ele precisa ser apurado e declarado. O guia sobre imposto sobre criptomoedas explica como funciona a apuração.
A terceira é sobre risco de protocolo: DEXs não têm garantia de fundo de proteção nem estão sob a supervisão do Banco Central, cujas regras para prestadoras de serviços de ativos virtuais alcançam empresas que intermediam e custodiam cripto no país, não contratos autônomos na blockchain.
Perguntas frequentes
Usuários comuns da 1inch perderam dinheiro no ataque de março de 2025?
Não, segundo a própria 1inch. O ataque atingiu contratos de resolvers que ainda usavam a implementação obsoleta do Fusion v1, principalmente a formadora de mercado TrustedVolumes. Os fundos dos usuários finais não foram afetados.
O que é o Fusion v1 da 1inch?
É a primeira versão do modo de troca Fusion, em que resolvers profissionais executam as ordens dos usuários. A versão foi substituída pelo Fusion v2, que não tem a lógica explorada. O v1 já não era usado nas trocas com usuários quando o ataque ocorreu.
Por que o hacker ficou com parte dos fundos?
Porque a devolução foi negociada como recompensa por bug (bug bounty). A parte afetada aceitou que o invasor retivesse uma fatia em troca da devolução da maior parte dos cerca de US$ 5 milhões.
Antes de você sair
Quanto você paga pra comprar bitcoin? A taxa que a corretora anuncia não é o custo real: falta o spread do livro e o ágio sobre o preço de fora. A gente mede isso todo dia em seis corretoras e publica o ranking — veja quanto custa hoje.
Vai abrir conta em alguma? Juntamos os bônus de cadastro que valem a pena em uma página só, com o que cada um exige pra liberar — veja os bônus.
Uma vez por semana, no seu e-mail. O que aconteceu no bitcoin e o que muda pra quem tem cripto no Brasil, sem hype — assine a newsletter.
