De dois vaults de lending do protocolo Affluent na rede TON — TON Lending Vault e USDT Lending Vault — entre 30 de setembro e 16 de outubro, foram drenados cerca de 782 mil Gram e 13,8 mil USDT, aproximadamente US$ 1,17 milhão pela taxa de câmbio no momento da retirada. Os depositantes desses vaults não conseguem sacar seus fundos: em 4 de novembro, a carteira do vault de USDT continha 0,5 USDT, a carteira do vault de TON continha 82,8 Gram, e não há pagamentos para as demais posições. A Affluent não emitiu nenhuma declaração pública, relatório sobre o incidente ou plano de compensação.
Foram afetados os detentores de share tokens affTONl (42 endereços em 4 de novembro), affUSDTl (81 endereços) e affUSDTm (70 endereços).
O que aconteceu com o dinheiro dos depositantes
| Vault | Share Token | Status em 4 de novembro |
|---|---|---|
| TON Lending Vault | affTONl | 82,8 Gram na carteira; o aplicativo mostra US$ 136.606 em pools; depósitos e saques desativados |
| USDT Lending Vault | affUSDTl | 0,5 USDT na carteira; cerca de 17,1 mil USDT são atribuídos ao vault em pools; depósitos e saques desativados |
| USDT Multiply Vault | affUSDTm | cerca de US$ 197 mil em ativos, depósitos e saques desativados, 3 solicitações de saque de 113.076 USDT na fila |
| Ethena Vault, Gold Multiply Vault, Sentora Vault, GRAM Multiply Vault | — | o aplicativo mostra US$ 274 mil, US$ 239 mil, US$ 533 mil e US$ 643 mil em ativos |
Nos dados de ambos os vaults de lending, a taxa mínima para depósito e saque foi definida em 10 bilhões de Gram, o que significa que as operações estão, de fato, fechadas. No papel, eles ainda possuem posições em lending pools — cerca de 108 mil Gram e 17,1 mil USDT —, mas desde 19 de outubro, nenhuma queima de share tokens trouxe pagamentos para essas posições. No cartão do USDT Lending Vault na página app.affluent.org/earn, o Net Asset é de cerca de US$ 999 bilhões — uma consequência de um campo de contabilidade de fundos corrompido no contrato, e não um valor real.
O preço do share token affUSDTl em 7 de outubro era de 1,068 USDT: na transação, 5.340,12 USDT foram pagos por 5.000 share tokens. Após 16 de outubro, o share token vale cerca de 0,0000032 USDT: em 19 de outubro, 1.500,95 USDT foram pagos por 466.366.695 share tokens.
Como os vaults funcionam
Affluent, anteriormente conhecido como Factorial Finance, é um protocolo de lending na TON: o site é affluent.org, o aplicativo é app.affluent.org. O vault aceita depósitos e os distribui entre os próprios lending pools da Affluent, emitindo share tokens para o depositante. O share token valoriza à medida que os pools geram juros; ao sacar, o share token é queimado, e o depositante recebe sua parte dos ativos do vault.
O contrato do vault emite share tokens simultaneamente: o endereço do vault é o próprio master-contrato do token affUSDTl ou affTONl. Portanto, a minting de share tokens extras e a retirada de fundos são a mesma operação.
Como os fundos foram drenados
As transações mostram o seguinte: o lending pool da Affluent aceitava uma notificação falsa de recebimento de tokens como se fosse verdadeira e a repassava ao vault, e o vault fazia a minting de share tokens para os quais nada havia sido depositado. Em seguida, esses share tokens eram queimados, e o vault pagava por eles Gram e USDT reais dos depositantes. Nem a Affluent nem o auditor explicaram a causa.
| Data (UTC) | O que aconteceu | Recebido |
|---|---|---|
| 30 de setembro, 04:36–05:21 | minting de 3.556.217 affTONl, 45 queimas | ≈505 mil Gram |
| 12 de outubro, 10:02–10:21 | 24 queimas de affTONl pela mesma carteira | ≈126,8 mil Gram |
| 16 de outubro, 20:36–20:48 | minting de 10 bilhões de affUSDTl e 10 milhões de affTONl, queima de share tokens | 13.824,93 USDT e 150.041 Gram |
No total, os vaults pagaram cerca de 781,6 mil Gram e 13,8 mil USDT. Pela taxa de câmbio do Gram na hora de cada wave (US$ 1,52, US$ 1,42 e US$ 1,35), isso equivale a cerca de US$ 1,17 milhão; pela taxa de 4 de novembro (US$ 1,18), cerca de US$ 0,93 milhão. Imediatamente após a retirada, os fundos foram para outros endereços: em 30 de setembro, 504,8 mil Gram foram em uma única transferência, em 16 de outubro, 12.824 USDT foram enviados para a bridge Symbiosis.
De 19 de outubro a 4 de novembro, a minting e a queima foram repetidas com seis novas carteiras, e em 3 de novembro — também com as duas carteiras originais, mas sem mais pagamentos. As últimas mintings ocorreram em 4 de novembro às 00:05 e 00:07 UTC, o que significa que a vulnerabilidade nos contratos não havia sido corrigida até essa data.
Quem relatou e qual foi a resposta do projeto
A análise das três waves — com os hashes das transações da wave de 16 de outubro — foi publicada em 19 de outubro, e uma investigação independente, estimando as perdas em "~$1.1M", saiu em 28 de outubro. De acordo com o autor da investigação, em 19 de outubro, membros da comunidade transmitiram as descobertas à equipe da Affluent, mas não há relatório público nem plano de compensação.
Em 4 de novembro, o site e o aplicativo da Affluent estão funcionando; não há declarações sobre o incidente no site, na documentação ou nas publicações disponíveis da conta @AffluentOrg, e o link para o canal do Telegram do projeto no site abre um cartão vazio sem feed.
Este não é o único caso semelhante na TON neste outono: no final de outubro, retiradas anômalas ocorreram da bridge BabyDoge.
Perguntas
É possível sacar dinheiro da Affluent?
Do TON Lending Vault e do USDT Lending Vault — não: as carteiras dos vaults têm quase nada, não há pagamentos para as posições nos pools, e a taxa para operações foi definida de forma proibitiva. No USDT Multiply Vault, os saques estão desativados, e as solicitações estão na fila. Os outros vaults no aplicativo mostram ativos.
Quanto foi drenado dos vaults da Affluent?
Cerca de 781,6 mil Gram e 13,8 mil USDT em três waves em 30 de setembro, 12 e 16 de outubro — aproximadamente US$ 1,17 milhão pela taxa de câmbio no momento da retirada.
