Exploração na GMX: DEX perde R$ 220 milhões em ataque de reentrada e anuncia recompensa

O explorador desviou aproximadamente US$ 40 milhões (cerca de R$ 220 milhões) em ativos, incluindo Bitcoin, Ethereum, stablecoins e tokens como Uniswap e Chainlink. Em resposta, a GMX desativou negociações V1 e funções de cunhagem e resgate de GLP, o token de liquidez do sistema.

Leia mais:

Bitcoin rompe resistência e pode alcançar US$ 120 mil, indicam analistas com histórico de acertos

O que ocorreu: ataque de “reentrada” no GMX V1

Conversão dos fundos e desativação imediata

O investimento foi executado através de um ataque clássico de reentrada, uma vulnerabilidade onde o invasor consegue enganar contratos inteligentes para cunhar tokens repetidamente sem débito efetivo de ativos.

Conforme levantamento da GMX e da firma de segurança PeckShield, o criminoso pode ter manipulado o contrato via múltiplas chamadas dentro de um único bloco, ignorando saques e inflando artificialmente o saldo do pool GLP.

Principais ativos levados no golpe

Os valores desviados englobam:

• US$ 10 milhões em Bitcoin;
• US$ 10 milhões em USDC;
• US$ 8,5 milhões em Ethereum;
• US$ 1 milhão em USDT;
• Tokens como Uniswap e Chainlink.

Após o evento, a oferta de GLP subiu drasticamente, mas o valor em real dos fundos desapareceu do pool.

Mecanismo técnico e contexto

Falha de lógica que permitiu múltiplas cunhagens

Conforme detalha Suhail Kakar (TAC), o invasor explorou a lógica de GLP que não validava saques anteriores dentro da mesma transação:

“O invasor poderia enganar o contrato, fazendo-o pensar que não havia sacado nada — e cunhar mais tokens repetidamente, usando os mesmos fundos base.”

Além disso, a carteira envolvida foi financiada via Tornado Cash, ferramenta de mistura de ETH que dificulta rastreamento e já é alvo de sanções nos EUA.

Vulnerabilidade histórica na DeFi

Ataques deste tipo não são inéditos. O mais icônico foi o hack da DAO em 2016, que resultou em perda de US$ 55 milhões via falha semelhante de reentrada.

Reações da GMX e medidas emergenciais

Suspensão de funcionalidades para mitigar danos

A equipe da GMX desativou de imediato:

• Negociações de GMX V1;
• Cunhagem e resgate de tokens GLP nas redes Arbitrum e Avalanche.

O intuito é impedir novas emissões fraudulentas e conter a perda de liquidez.

Recompensa e oferta de retorno ético

A GMX publicou no X (Twitter) uma oferta possivelmente inédita: recompensa white‑hat de 10% do valor capturado, equivalente a R$ 22 milhões. O valor seria devolvido em até 48 horas, sem ações judiciais adicionais, se o invasor colaborar.

Comunidade reage e alertas de segurança

Recomendações de cautela

PeckShield destaca que a vulnerabilidade pode afetar forks da plataforma e recomenda atenção redobrada. A GMX orientou os usuários a:

• Desabilitar alavancagem no V1;
• Parar de cunhar tokens GLP.

Enquanto isso, usuários em grupos no Telegram questionam sobre possíveis reembolsos e informações sobre a investigação, que será divulgada assim que concluída.

Impacto no token GMX e no mercado

Queda de 30% no preço do token GMX

O valor do token GMX caiu quase 30%, sendo negociado por volta de US$ 11 após o ataque, refletindo o choque entre o mercado.

Reflexão sobre segurança no DeFi

Apesar de a GMX ter robustez comparável aos protocolos mais consolidados da cadeia Arbitrum e Avalanche, esse incidente acende um alerta sobre como falhas no design lógico de contratos podem causar perdas massivas, mesmo sem invasão de código propriamente dito.

Comparativo com outros ataques a protocolos GMX

Exploits anteriores de menor porte

Em 2022, uma exploração de US$ 565 mil ocorreu em GMX no par AVAX/USD via Avalanche, atribuída a manipulação de oráculos com spreads zero.

Já em março de 2025, um incidente envolvendo $v13 milhões em ETH (6.260 ETH) ocorreu em Abracadabra/Spell, que usa pools da GMX V2. Nesse caso, a GMX destacou que seu smart contract não foi comprometido, sendo o problema isolado ao protocolo Abracadabra.

Próximos passos da GMX e do setor DeFi

Auditoria e correção de segurança

A GMX já iniciou investigação técnica profunda e planeja relatório público detalhado assim que o processo for concluído.

Implementações essenciais

Espera-se que sejam adotadas:

• Correções nos contratos para evitar reentrância;
• Testes de auditoria extensivos em V1 e forks;
• Revisão da lógica de cunhagem e resgate de GLP.

O que devem fazer os usuários agora

• Evitar negociar ou usar GLP V1;
• Monitorar canais oficiais para atualizações;
• Habilitar alertas em aplicativos (guardar notícias);
• Ficar atentos às versões V2, que aparentemente não foram afetadas.

Considerações finais

O ataque à GMX V1 expõe novamente os riscos operacionais na DeFi: embora os contratos inteligentes sejam seguros, a lógica financeira subjacente também precisa de rigor. A detecção rápida, bloqueio da exploração, oferta de recompensa white‑hat e investigação completa mostram maturidade e comprometimento da GMX.

Fica o alerta: no universo cripto, as falhas podem custar milhões, mas a reação proporcional — como a oferecida pela GMX — pode ajudar a preservar confiança e segurança nesse ecossistema.