Allbridge suspende ponte Core após exploração com flash loan de US$ 1,65 milhão

O protocolo crosschain Allbridge pausou a ponte Core em 20 de julho após um ataque que drenou cerca de US$ 1,65 milhão de seus pools de liquidez na Solana, segundo as empresas de segurança PeckShield e CertiK. A equipe informou que o Allbridge Core "está enfrentando um incidente de segurança" e que o protocolo foi interrompido por precaução. Em comunicado, alertou provedores de liquidez: "Se você tem liquidez nos pools afetados, retire agora." O Allbridge Core transfere stablecoins nativas como USDC e USDT entre redes por meio de pools de liquidez, sem emitir tokens embrulhados (wrapped). De acordo com o analista on-chain Onchain Lens, o invasor tomou um flash loan de US$ 1,12 milhão — empréstimo contratado e liquidado dentro da mesma transação — no protocolo de empréstimos Kamino, também na Solana. Em seguida, realizou trocas rápidas entre USDC e USDT para distorcer as proporções internas dos pools e sacar ativos a taxas vantajosas. Os recursos foram então enviados via bridge para um endereço na Ethereum e distribuídos entre outras carteiras. A Allbridge afirmou que a manipulação deixou os pools desequilibrados, abrindo uma janela temporária de arbitragem, e pediu que traders que lucraram com a distorção devolvam os valores para compensar os provedores de liquidez afetados. Repetição de 2023 O episódio lembra um ataque com flash loan em 2023 que retirou cerca de US$ 650 mil dos pools da Allbridge na BNB Chain. No relatório pós-incidente, a empresa se comprometeu a adotar um único pool de liquidez por rede, desenho que buscava tornar estruturalmente inviável a manipulação por flash loan dentro da mesma transação. A exploração de julho, porém, mirou um pool de USDC e USDT operando lado a lado na Solana — justamente a configuração de múltiplas stablecoins que a correção anterior pretendia eliminar. A Allbridge disse ter recuperado a maior parte dos fundos no caso de 2023. Até o momento, o protocolo não divulgou um balanço final do quanto dos US$ 1,65 milhão ainda está sob controle do atacante nem apresentou um cronograma para retomar as operações.