StablR perde 2,8 milhões de dólares após atacante explorar uma única chave multisig para emitir 13,5 milhões de dólares em stablecoins sem garantia

A emissora europeia de stablecoins StablR divulgou um incidente de cibersegurança durante o fim de semana que resultou na emissão não autorizada de aproximadamente 13,5 milhões de dólares em tokens sem garantia e numa desvalorização acentuada das suas stablecoins em euros e dólares americanos. A empresa congelou as operações de emissão e resgate e está a coordenar-se com as autoridades policiais e empresas externas de cibersegurança enquanto a investigação continua.

O ataque foi publicamente sinalizado no domingo pelo investigador onchain ZachXBT, que detetou atividade anómala em contratos ligados aos tokens USDR e EURR da StablR no Ethereum. As empresas de segurança blockchain Blockaid e GoPlus Security analisaram subsequentemente o vetor de ataque.

Como funcionou o ataque

A vulnerabilidade remontava a uma configuração criticamente fraca na carteira de emissão da StablR no Ethereum: uma configuração multisignature de 1-de-3, em que qualquer um dos três detentores de chaves autorizados podia aprovar unilateralmente uma transação de emissão. As carteiras multisignature são concebidas para exigir um limiar de aprovações antes de executar operações sensíveis — a recomendação padrão para contratos de emissão de stablecoins é de pelo menos 2-de-3 ou superior.

Com um limiar de 1-de-3, comprometer uma única chave privada foi suficiente. A empresa de segurança blockchain GoPlus Security afirmou que o atacante comprometeu uma chave e depois usou-a para se adicionar como administrador, remover os três signatários legítimos e emitir tokens livremente. O atacante emitiu aproximadamente 8,35 milhões de USDR e 4,5 milhões de EURR — cerca de 13,5 milhões de dólares nos valores de paridade pretendidos dos tokens.

Para converter em dinheiro, o atacante vendeu a oferta recém-emitida através de exchanges descentralizadas. A liquidez reduzida nos mercados DeFi — a USDR tinha uma capitalização de mercado de 20 milhões de dólares e a EURR cerca de 14 milhões — fez com que a enorme ordem de venda fizesse os preços cair acentuadamente. O atacante obteve aproximadamente 1.115 ETH, ou cerca de 2,8 milhões de dólares, uma fração do valor nominal que emitiu.

Impacto no mercado

Ambas as stablecoins perderam significativamente as suas paridades. A EURR, nominalmente pareada com o euro a aproximadamente 1,15 dólares, caiu 23% para cerca de 0,88 dólares no pior momento durante o fim de semana. A USDR, pareada com o dólar americano, desceu para 0,70 dólares. Até à publicação da CoinDesk na terça-feira, a USDR tinha recuperado parcialmente para 0,994 dólares, enquanto a EURR continuava severamente despareada a 0,548 dólares — ainda menos de metade do valor do euro em dólares, de 1,16 dólares.

A StablR reconheceu que a oferta circulante de ambos os tokens "não está atualmente totalmente garantida na proporção de 1:1" exigida pela regulamentação da UE. A empresa pediu às exchanges que suspendessem a negociação, os depósitos e os levantamentos de ambos os tokens enquanto a investigação prossegue.

Implicações regulamentares ao abrigo da MiCA

As stablecoins da StablR operam ao abrigo do Regulamento de Mercados de Criptoativos (MiCA) da UE — o quadro regulamentar abrangente para criptomoedas que entrou em vigor em toda a UE no final de 2024. A MiCA exige que os emitentes de stablecoins mantenham uma garantia total de reservas de 1:1, cumpram normas rigorosas de segurança operacional e notifiquem prontamente os reguladores após incidentes.

A StablR informou que irá notificar a Autoridade de Serviços Financeiros de Malta (MFSA) ao abrigo tanto dos requisitos da MiCA para emitentes de stablecoins como do Regulamento de Resiliência Operacional Digital (DORA) da UE, que impõe a comunicação de incidentes por entidades financeiras. A empresa tem sede em Malta, sendo a MFSA o seu principal regulador na UE.

O incidente é notável por ser uma das primeiras falhas de segurança significativas de um emitente de stablecoins regulamentado pela MiCA. A forma como os reguladores responderão — seja com uma exigência de remediação, uma coima ou uma suspensão de licença — será acompanhada de perto por toda a indústria europeia de criptoativos como um sinal de como a aplicação da MiCA trata as falhas operacionais em comparação com a conduta dolosa.

Exploração de chaves privadas continua a aumentar

O ataque vem juntar-se a uma lista crescente de incidentes DeFi este mês envolvendo chaves privadas comprometidas. A CoinTelegraph nota que o exploit da StablR é um dos mais de uma dúzia de ataques significativos ao setor cripto apenas em maio de 2026, juntando-se à THORChain, Verus Bridge, Echo Protocol e Polymarket na lista de vítimas recentes.

O padrão é consistente: protocolos que concentram operações críticas — emissão, atualizações, levantamentos de fundos — atrás de configurações multisig fracas ou chaves privadas mal protegidas continuam a ser alvos de alto valor. A existência de requisitos de conformidade com a MiCA não impediu este ataque; a vulnerabilidade era arquitetónica, não processual. A questão de saber se os próximos padrões técnicos da MiCA para emitentes de stablecoins exigirão limiares multisig mais fortes é uma questão à qual os reguladores e a indústria terão de responder.

A Tether investiu na StablR em dezembro de 2024, tornando-se patrocinadora financeira de um dos poucos emitentes de stablecoins em euros com licença MiCA a operar na Europa. Nem a Tether nem o mercado mais amplo de stablecoins registaram contágio significativo resultante do incidente.