Protocolo de empréstimos More Markets perde US$ 9,3 mi em exploit no Flow EVM

O protocolo de empréstimos More Markets perdeu cerca de US$ 9,3 milhões na segunda-feira (31) depois que atacantes encontraram uma brecha na sua reserva de empréstimos na blockchain Flow EVM. A empresa de segurança Blockaid detectou e divulgou o incidente, que drenou 15,5 milhões de WFLOW (Wrapped Flow) da reserva mFlowWFLOW.

O método foi cirúrgico. Os atacantes combinaram o ankrFLOW — token de staking líquido da Ankr que representa FLOW em staking — com o E-mode (efficiency mode) do Aave V3, mecanismo que permite aos tomadores extrair mais capital contra ativos correlacionados. Nesse caso, a eficiência virou vulnerabilidade: a combinação liberou capacidade de empréstimo muito além do que o protocolo foi projetado para suportar.

Como o exploit funcionou

O E-mode do Aave V3 existe para aumentar a eficiência de capital entre pares de ativos que se movem juntos. Quando os ativos são correlacionados, o risco de liquidação é menor — então o protocolo pode estender índices de loan-to-value mais altos.

O ankrFLOW, porém, introduziu um vetor que o protocolo não estava preparado para pegar. Usado como colateral dentro de uma configuração de E-mode, o token liberou capacidade de empréstimo que excedia o que o colateral subjacente realmente suportava.

Depois da drenagem, o valor total bloqueado (TVL) do More Markets caiu para cerca de US$ 3,64 milhões, com empréstimos ativos na casa de US$ 3,67 milhões. Os números quase idênticos apontam para um protocolo operando praticamente sem margem entre o que possui e o que deve.

Silêncio do protocolo

Até o momento em que a Blockaid divulgou o incidente, o More Markets não havia publicado nenhum comunicado oficial: nenhuma pausa operacional anunciada, nenhuma orientação aos usuários sobre o status dos fundos, nenhum roadmap de recuperação.

Agosto no DeFi

O caso do More Markets entra em um mês que já estava complicado para o setor. As perdas totais com exploits no DeFi em agosto de 2026 chegaram a US$ 139,7 milhões — o terceiro maior mês do ano, segundo dados da DefiLlama. Ainda assim, o número representa uma melhora relevante ante julho, quando as perdas somaram US$ 254 milhões.

O que observar

Exploits de empréstimos seguem um padrão conhecido: alguma peça de integração — um token de staking líquido, um modo de eficiência de capital — cria uma combinação que os testes do protocolo não cobriram. O caso More Markets também lembra que o “cirurgia” quase sempre mira o atalho entre colateral correlacionado e alavancagem, como já vimos em outros ataques do tipo registrados por aqui. Para quem usa DeFi, o recado continua o mesmo: protocolo pequeno, integração nova e E-mode são três alertas que merecem atenção redobrada.

Fonte: Crypto Briefing