Incidente de 17 de abril de 2026

Volumes por ambiente e token

Volumes pré-ataque vs pós-ataque por ambiente e token. Open Q badges indicam dados em reconciliação.

Open Q badges indicam dados ainda em reconciliação on-chain.

Linha do tempo do incidente

1. §1informativo

   Estado pré-incidente

   Snapshot pré-evento

   Antes do evento, o protocolo tinha 2.796.716,52 LP tokens combined em circulação (V5 + CS legacy) representando claims dos operadores sobre o USDT/DAI parqueado nos smart contracts — pico medido empirically em 17/04 12:00 UTC (block 85.653.578, archive DRPC), ~2h antes do evento público.

   Os LP tokens (tokens recibo de fornecimento, ERC-20) representavam a relação econômica entre cada fornecedor de liquidez e o USDT/DAI parqueado nos smart contracts. Fornecedores de liquidez participavam do upside de fees em troca de assumir risco residual de smart contract.

   ▸Detalhes técnicos
2. §2atenção

   PnL dos LPs

   Comportamento de fornecimento de liquidez DeFi

   Durante a operação do protocolo, o ratio entre LP tokens e o USDT fornecido ao pool ajusta-se conforme o PnL agregado dos operadores é absorvido/distribuído pela pool de liquidez. Esse é o comportamento esperado de fornecimento de liquidez em DeFi: fornecedores de liquidez são contraparte econômica dos operadores.

   Em DeFi, fornecedores de liquidez assumem risco operacional em troca de retorno potencial (yield via fees + profit-share). Quando o PnL agregado dos operadores é positivo do ponto de vista do pool, a pool acumula ativo; quando negativo, a pool perde valor face.

   ▸Detalhes técnicos

   ⚠️OPEN QUESTION · OQ-3— Causa raiz do PnL agregado dos LPs

   O PnL agregado dos LPs durante a operação foi 100% PnL legítimo dos operadores OR inclui exploit silencioso prévio de menor escala? Reconciliação pendente.

3. §3atenção

   Anomalias pré-evento

   Anomalias detectadas 24-72h antes do evento

   Em apenas 24 horas (PEAK 17/04 12:00 → POST+24h 18/04 12:00 UTC), 99 de cada 100 unidades do supply de LP-USDT-V5 foram queimadas. Eventos simultâneos ocorreram em LP-USDT-CS legacy + LP-LOOP-V5 + LP-LOOP-CS — burn % variou de 99,03% a 100,00% conforme o token (archive RPC totalSupply em block heights específicos).

   Todas as 461 wallets com LP no momento do evento foram afetadas (não houve seleção; foi descentralizado por desenho da burn function — snapshot CSV empírico, block 85.662.605).

   ▸Detalhes técnicos

   ✅RESPONDIDA · OQ-5— LP holders snapshot 461 — archive query verificável

   RESOLVIDA via archive RPC eth_call. 461 wallets detinham LP-USDT/LOOP em snapshot empírico do attack day (block 85.662.605, ~17:00 UTC) — 452 ambiente V5 + 9 ambiente CS. Cross-check: 0 executores conhecidos no snapshot (5 endereços canonical excluídos via Grep verification). CSV público disponível em /incident/lp_snapshot_combined.csv. Métricas forenses adicionais (counts agregados de Transfer events scan, USDT NET trapped, sub-conta delta) não rastreáveis a archive on-chain reproducible foram removidas v1.6.

4. §4crítico

   Cronologia do dia do evento

   17 de abril de 2026 (UTC)

   Durante todo o dia 17/04 (das 6h às quase 21h, horário UTC), foram disparadas séries de transações que executaram queima dos LP tokens do pool. Houve dois momentos de pico: por volta das 14h e novamente às 17h.

   Os primeiros sinais de alerta interno apareceram às 14h50, e às 18h já estava confirmado que se tratava de exploit externo. A investigação técnica precisava de dados sólidos antes de virar comunicado público.

   ▸Detalhes técnicos

   🟡RESPONDIDA-PARCIAL · OQ-4— Janela temporal exata do evento

   RESPONDIDA-PARCIAL. Fontes internas registram 3 clusters de batch burns no dia 17/04 (manhã, tarde-início, tarde-fim). A janela ampla 06h-20h50 UTC contém todos os burns observados; sub-clusters mais intensos aparecem em ~14h e ~17h UTC.

5. §5crítico

   Vetores do evento

   Classificação técnica (mecânica não disclosed)

   Os executores do exploit não acessaram o USDT parqueado nos smart contracts — queimaram os LP tokens. O USDT permanece nos smart contracts (verificável via eth_call balanceOf), mas os fornecedores de liquidez perderam os LP tokens correspondentes — sem LP token, não há posição economicamente associada ao USDT.

   Os executores obtiveram permissão administrativa via grants prévios (não via exploit do contrato em si), e usaram essa permissão para invocar uma função pública do contrato Payments que executa queima de LP tokens em massa.

   ▸Detalhes técnicos

   ⚠️OPEN QUESTION · OQ-7— Classification terminology

   CAT-B Role Hijack vs Ownable-extended bypass — fontes internas usam terminologias diferentes para o mesmo storage layout. Pin oficial em parecer técnico-legal pending.

   ⚠️OPEN QUESTION · OQ-8— EIP-7702 abuse mechanics

   Mecânica precisa do vetor classificado como "EIP-7702 abuse" não disclosed publicamente — ainda potencialmente exploitable em outros protocolos. Boundary mantido até patch público.

6. §6crítico

   Padrão de financiamento administrativo

   Padrão financeiro forense identificado on-chain

   Uma única conta administrativa financiou as wallets dos 5 executores ao longo de 8 meses, com 79.678 tokens POL espalhados em 1.717 transações.

   Isso não foi acaso — esses 5 executores representam 14,7% das 34 contas que receberam transferências dessa conta admin (densidade não-aleatória). O que ainda não sabemos é quem controlava essa conta admin.

   ↗Admin EOA0x34cd…16a8↗Executor 10xe94b…4380↗Executor 20x8d1d…1cce↗Executor 30x980e…8c49↗Executor 40xa766…2a4e

   ▸Detalhes técnicos

   ⚠️OPEN QUESTION · OQ-1— Identidade do controlador da conta admin

   Quem assinou os grants administrativos da EOA 0x34cd283b... permanece em investigação. Hipóteses incluem cenários de combinação de acessos parciais (colusão multi-actor). Investigação ativa com preservação de evidências on-chain. Sem conclusão antes de parecer técnico-legal.

   ⚠️OPEN QUESTION · OQ-2— Detalhes das 6 hipóteses do authority paradox

   Hipóteses específicas analisadas estão documentadas em material privado do escritório jurídico em engajamento. Disclosure pública aguarda parecer formal.

7. §7positivo

   Tudo o que você pode verificar agora

   Links on-chain — verificação empírica

   O USDT real está parqueado nos smart contracts on-chain — mais de US$1,3M restantes no subaccount V5 após o evento (archive DRPC block 86.131.181, 2026-04-28 13:20 UTC). TODAS as 461 wallets com LP no momento do incidente tiveram seus tokens queimados proporcionalmente — não houve seleção, foi descentralizado: cada holder perdeu ~99% do supply do LP correspondente.

   Cada número desta seção rastreia para eth_call em block height específico (Polygon archive). Métricas internas que não são reproduzíveis on-chain foram removidas para preservar transparência empírica.

   ↗SubAccounts V5 (USDT preservado)0x6995…957C↗SubAccounts CS (USDT preservado)0x14eE…57ca↗Payments V5 (contrato do evento)0x4874…e120↗USDT0 (token bridge)0xc213…8e8F

   ▸Detalhes técnicos
8. §8positivo

   Resposta operacional e técnica

   Ações executadas pós-incidente

   ✅ Identificação do contrato e função onde o exploit foi executado (17/04 mesmo dia)

   ✅ Remoção dos contratos Payments filhos do fluxo do Payments (17/04 mesmo dia)

   ✅ Remoção de funções atípicas identificadas (17/04 mesmo dia)

   ✅ Pausa dos tokens LOOP impedindo qualquer tipo de ação com os mesmos

   ✅ Wallet Sentinel deployed (17/04 mesmo dia) — monitoramento on-chain de 15 wallets

   ✅ Investigação forense completa (até 20/04) — 35 endereços mapeados forensicamente

   ✅ Comunicação técnica iniciada (21/04) — FAQ técnico + boletim de segurança

   ✅ Postmortem técnico publicado (22/04)

   ✅ Banner de transparência no dashboard

   ✅ Página de observabilidade pública deployed (Oracle Live)

   Em curso (sem timeline pública até decisão formal):

   🟡 Engajamento de escritório técnico-legal

   ⚠️ Decisões formais sobre rotas de continuidade serão comunicadas publicamente apenas quando estabelecidas. Compromisso: transparência empírica sobre o ocorrido + transparência operacional sobre ações imediatas. Sem promessas de timeline ou rota até decisão formal.

   ▸Detalhes técnicos
9. §9positivo

   Atualizações de segurança implementadas

   Stories shipped pós-incidente

   Para mitigar o vetor explorado e reforçar observabilidade pública, foram deployadas:

   ✅ Sistema de alerta 24h monitorando wallets dos executores e suspeitos

   ✅ Painel de observabilidade pública — Oracle Live

   ✅ Plano de reforma técnica do contrato (Phase B completa, dormente by design)

   ✅ Banner de transparência no dashboard

   ▸Detalhes técnicos
10. §10positivo

    Estado atual do monitoramento

    2026-04-25 — observação ativa

    O sistema monitora 15 wallets suspeitas em tempo real (atualização a cada 3-7 segundos), com Oracle Live público disponível para auditoria, e o RPC premium está funcionando.

    Estado atual do protocolo é observável via:

    • Wallet Sentinel — monitoramento on-chain das wallets dos executores e suspeitos

    • Oracle Live — observabilidade pública dos endpoints /v1/oracle/*

    ▸Detalhes técnicos
11. §11atenção

    O que ainda investigamos

    Perguntas sob análise — investigação ativa

    Iniciamos com 9 perguntas em aberto sobre o incidente. Após research interno e fact-check canonical da Engenharia do Protocolo WEbdEX, o status atual é: 5 perguntas abertas + 1 parcial + 3 respondidas.

    Listar publicamente é parte do compromisso com transparência — investigação em andamento é a postura correta, não fraqueza. Cada item abaixo descreve o status e o que falta para reconciliação completa.

    ▸Detalhes técnicos

    ⚠️OPEN QUESTION · OQ-1— Identidade do controlador da conta admin

    Quem assinou os grants administrativos da EOA 0x34cd283b... permanece em investigação. Hipóteses incluem cenários de combinação de acessos parciais (colusão multi-actor). Investigação ativa com preservação de evidências on-chain. Sem conclusão antes de parecer técnico-legal.

    ⚠️OPEN QUESTION · OQ-2— Detalhes das 6 hipóteses do authority paradox

    Hipóteses específicas analisadas estão documentadas em material privado do escritório jurídico em engajamento. Disclosure pública aguarda parecer formal.

    ⚠️OPEN QUESTION · OQ-3— Causa raiz do PnL agregado dos LPs

    O PnL agregado dos LPs durante a operação foi 100% PnL legítimo dos operadores OR inclui exploit silencioso prévio de menor escala? Reconciliação pendente.

    🟡RESPONDIDA-PARCIAL · OQ-4— Janela temporal exata do evento

    RESPONDIDA-PARCIAL. Fontes internas registram 3 clusters de batch burns no dia 17/04 (manhã, tarde-início, tarde-fim). A janela ampla 06h-20h50 UTC contém todos os burns observados; sub-clusters mais intensos aparecem em ~14h e ~17h UTC.

    ✅RESPONDIDA · OQ-5— LP holders snapshot 461 — archive query verificável

    RESOLVIDA via archive RPC eth_call. 461 wallets detinham LP-USDT/LOOP em snapshot empírico do attack day (block 85.662.605, ~17:00 UTC) — 452 ambiente V5 + 9 ambiente CS. Cross-check: 0 executores conhecidos no snapshot (5 endereços canonical excluídos via Grep verification). CSV público disponível em /incident/lp_snapshot_combined.csv. Métricas forenses adicionais (counts agregados de Transfer events scan, USDT NET trapped, sub-conta delta) não rastreáveis a archive on-chain reproducible foram removidas v1.6.

    ⚠️OPEN QUESTION · OQ-6— Métricas agregadas internas — em reconciliação

    Esta Open Question existe para registrar transparência: estimativas internas de impacto agregado citadas em análises forenses anteriores foram removidas da página principal por não rastrearem a fontes archive on-chain reproduzíveis. Esta página apresenta exclusivamente números verificáveis via eth_call em block height específico (Constitution Art IV — No Invention). Reconciliação completa de métricas internas aguarda decomposição auditável a partir de fontes verificáveis (archive on-chain ou DB Payments interno auditável). Sem timeline pública até deliberação técnico-legal formal.

    ⚠️OPEN QUESTION · OQ-7— Classification terminology

    CAT-B Role Hijack vs Ownable-extended bypass — fontes internas usam terminologias diferentes para o mesmo storage layout. Pin oficial em parecer técnico-legal pending.

    ⚠️OPEN QUESTION · OQ-8— EIP-7702 abuse mechanics

    Mecânica precisa do vetor classificado como "EIP-7702 abuse" não disclosed publicamente — ainda potencialmente exploitable em outros protocolos. Boundary mantido até patch público.

    ✅RESPONDIDA · OQ-9— LP-USDT (V5/CS) / LP-LOOP supplies pré-evento

    RESOLVIDA. Supplies empíricos confirmados via archive DRPC Polygon (eth_call totalSupply em blocks específicos). PEAK 12:00 UTC (block 85.653.578): LP_USDT_V5 = 2.397.560,17 · LP_USDT_CS = 293.265,38 · LP_LOOP_V5 = 101.149,50 · LP_LOOP_CS = 4.741,48 · COMBINED = 2.796.716,52. POST+24h (block 85.696.778): LP_USDT_V5 = 23.232,50 · LP_USDT_CS = 832,21 · LP_LOOP_V5 = 26,97 · LP_LOOP_CS = 0,00 · COMBINED = 24.091,68. Burns 24h: -99,031% / -99,716% / -99,973% / -100,000% / combined -99,139%.

12. §12informativo

    Fontes e trilha de auditoria

    Verificação on-chain pública

    Cada número desta página é verificável em fontes públicas. Se você quer auditar, comece pelos contratos canonical no PolygonScan.

    ↗Manager V50x9826…C860↗Payments V50x4874…e120↗SubAccounts V50x6995…957C↗Manager CS0x685d…Db1D↗Payments CS0x96bF…29F1↗SubAccounts CS0x14eE…57ca↗USDT00xc213…8e8F

    ▸Detalhes técnicos
13. §13atenção

    Plano de continuidade do protocolo

    Roteiro de remint — possibilidade técnica identificada, não garantia

    ⚠️ O remint é uma possibilidade técnica identificada — não uma garantia. Variáveis identificadas durante análise, avaliação e execução podem alterar escopo ou inviabilizar o processo. Sucesso não é garantido.

    No primeiro momento será conduzida análise técnica para possível resolução da liquidez identificada nos smart contracts SubAccount. Em um segundo momento será trabalhado o volume de ordens em aberto.

    O remint é processo técnico-econômico complexo e cada fase depende do sucesso da anterior — variantes identificadas durante o processo podem alterar o caminho.

    Atualizações materiais sobre cada fase serão publicadas nesta página /incident e nos canais oficiais quando houver progresso técnico relevante.

    ▸Detalhes técnicos

Financiador do evento

Rastro on-chain da conta administrativa que financiou as wallets dos executores ao longo de meses.

Pattern visual replicado do Wallet Sentinel admin (deployado VPS). Monitoramento on-chain 24/7 desde a resposta operacional 17/04 mesmo dia.

Resposta operacional e técnica

Ações executadas pós-incidente — rastreáveis na cronologia oficial.

Roadmap de remint

1. Fase 1 — Preparação técnica

   • ●Deploy de uma cópia idêntica do contrato V5
   • ●Replicar caminhos e funções executadas pelos executores (em ambiente isolado)

2. Fase 2 — Estresse + remint inicial

   • ●Criação de novos contratos de segurança intermediários para o remint
   • ●Estresse de remint de LP e ajustes em ambiente de teste
   • ●Investigação, identificação e análise completa dos snapshots para um remint justo aos operadores
   • ●Discussões do início do remint e variantes identificadas junto à comunidade
   • ●Execução da primeira fase do remint

3. Fase 3 — Ordens em aberto

   • ●Identificação completa de ordens em aberto
   • ●Verificação da possibilidade de reivindicação das ordens (LPs queimados)
   • ●Criação de estratégia para execução de recuperação de ordens em aberto
   • ●Aplicação das estratégias de recuperação
   • ●Período de testes e estresse da estratégia

Perguntas frequentes

Voice DeFi-first — todas respostas rastreáveis para fontes públicas (§12).

1. Q1Posso retirar meu USDT agora?▸

   Sem os LP tokens de reivindicação, o acesso direto à liquidez nos contratos de SubAccount não é possível via fluxo padrão do protocolo. O LP token é a prova de fornecimento de liquidez — sem ele, não há posição economicamente associada ao USDT on-chain. As decisões de continuidade do protocolo, incluindo o roadmap de remint (§13), determinarão os próximos passos. Sem timeline pública até deliberação formal.

2. Q2Quem é responsável pela perda?▸

   WEbdEX é um ambiente DeFi non-custodial. Fornecedores de liquidez, no momento da adição de liquidez, assumiram o risco residual de smart contract em troca de potencial retorno (yield + fees + profit-share). O evento foi executado por agentes externos via comprometimento de controle administrativo (não por falha estrutural do protocolo em si). Classificação técnica: CAT-B Role Hijack + EIP-7702 abuse novel. Mapeamento forense: 5 endereços canonical (4 executores + 1 admin EOA financiadora, 5º executor pending reconcile). O protocolo executará as ações tecnicamente viáveis para mitigar o vetor explorado e manter transparência empírica completa sobre o ocorrido. Categoria taxonômica conhecida em DeFi: Ronin Bridge $625M 2022, Wormhole $325M 2022, Nomad $190M 2022, Multichain ~$130M 2023 — não é falha única do protocolo, é padrão de risco residual da indústria.

3. Q3O protocolo continua operando?▸

   Operações de trading nas subcontas existentes seguem tecnicamente ativas via smart contracts. A capacidade operacional foi materialmente impactada pela destruição de LP supply (-99,03%). Observabilidade pública disponível via Oracle Live (auditoria dos endpoints `/v1/oracle/*`) e Wallet Sentinel (monitoramento on-chain).

4. Q4Como auditar os números desta página?▸

   Cada número desta página rastreia para fontes públicas: contratos PolygonScan (§12), CSV lp_snapshot_combined.csv (link em §3), pre-attack-snapshot.json (forensics dir do repositório). Nenhum statement nesta página é especulação — todos verificáveis on-chain.

5. Q5Quando haverá comunicação sobre rotas de continuidade?▸

   Decisões formais sobre rotas serão comunicadas publicamente apenas quando estabelecidas. O protocolo prioriza transparência empírica sobre o ocorrido em vez de estimativas de timeline antes de deliberação completa (técnico/legal). O plano de continuidade está descrito em §13 — possibilidade técnica identificada, não garantia.

6. Q6O incidente WEbdEX é único na indústria DeFi?▸

   Não. Comprometimento de controle administrativo (role hijack) é vetor recorrente em DeFi: Ronin Bridge ($625M, 2022), Wormhole ($325M, 2022), Nomad ($190M, 2022), Multichain (~$130M, 2023). WEbdEX se enquadra na mesma categoria taxonômica — não é falha única; é padrão de risco da indústria. Isso não anula a responsabilidade de mitigação — que está em curso.

7. Q7O que faço agora?▸

   1. Não execute nenhuma ação no contrato. 2. Guarde suas chaves privadas com segurança — caso o remint tenha êxito, sua wallet principal será necessária. 3. Acompanhe o painel do protocolo — próximas etapas serão disponibilizadas ali. 4. Aguarde o processo conduzido pela Engenharia do Protocolo WEbdEX. 5. Acompanhe os comunicados oficiais via canais oficiais do protocolo.

8. Q8Como registrar formalmente minha posição?▸

   Toda contestação formal deve ser encaminhada pelo Canal de Ouvidoria Técnica (https://ouvidoria.webdex.fyi), mediante apresentação de: (1) endereço de wallet Polygon (0x...); (2) hashes das transações relevantes (TXID); (3) snapshot do saldo de LP tokens no bloco pré-evento 85.662.605. A blockchain é a única fonte de verdade. Dados off-chain (prints de tela, afirmações verbais) não constituem prova hábil para fins de análise técnica.