Genesis Drop da Hemi sofre ataque de reentrância e perde 124,5 milhões de tokens

A Hemi divulgou em 9 de setembro (UTC+8) um relatório de análise pós-incidente sobre a exploração de uma falha ocorrida no Genesis Drop em 7 de setembro. Segundo o documento, às 03:36:47 UTC, um atacante explorou uma vulnerabilidade no smart contract MerkleBox durante o evento e desviou cerca de 124,5 milhões de tokens ainda não reivindicados. A brecha foi atribuída a um ataque de reentrância: o contrato criava os bloqueios de tokens antes de atualizar os saldos das contas, permitindo saques muito acima dos limites do grupo de alocação do atacante. Para iniciar a operação, o invasor tomou um flash loan de 2 milhões de tokens HEMI no pool HEMI/USDT da SushiSwap, executando o exploit de forma atômica e quitando o empréstimo na mesma transação. Os tokens roubados foram vendidos imediatamente em DEXs na rede Hemi, gerando aproximadamente US$ 255 mil em stablecoins. Em seguida, os valores foram transferidos via LayerZero para redes como Ethereum, Arbitrum e BSC, com a maior parte convertida em ETH. A equipe da Hemi informou ter recebido um alerta da Hypernative às 05:42 UTC e identificado a causa raiz em menos de uma hora. O contrato comprometido é imutável e atualmente está com saldo zero, sem risco adicional. A infraestrutura restante não foi afetada. As investigações para identificar o responsável e recuperar os ativos seguem em andamento. (Fonte: Foresight News)