Ataque a oráculo RWA: quando o feed de preços mente

Como é, na prática, um ataque a um oráculo de RWA

Um RWA, ou token de ativo do mundo real, representa algo fora da cadeia: uma obrigação do Tesouro dos EUA, uma participação em capital próprio de imobiliário comercial, uma posição de crédito privado, uma unidade de um fundo do mercado monetário. Para usar esse token como garantia, para cunhar uma stablecoin contra ele ou para liquidar um mutuário, um protocolo DeFi precisa de um preço. Esse preço tem de vir de algum lado, e esse algum lado é aquilo a que chamamos um oráculo.

Um ataque a um oráculo, em sentido estrito, é qualquer incidente em que o preço visto pelo protocolo diverge de forma material do preço a que o ativo subjacente seria realmente transacionado. A divergência pode resultar de um adversário a manipular um feed baseado no mercado, de um emitente a pausar um feed de NAV, de um operador de nó a ficar offline, de um banco custodiante a congelar resgates ou simplesmente de uma atualização lenta durante um fim de semana. A característica comum é que o número on-chain deixa de corresponder à realidade durante tempo suficiente para alguém extrair valor dessa diferença.

Isto é importante para protocolos RWA de uma forma que não é, por exemplo, para uma pool simples ETH/USDC. A pool pode autocorrigir-se porque os arbitragistas fecham a diferença em poucos blocos. Um fundo imobiliário tokenizado não consegue fazê-lo. Não existe um mercado global 24/7 para um edifício de escritórios em Brooklyn, por isso, quando o NAV on-chain diz uma coisa e as avaliações subjacentes dizem outra, o protocolo fica preso ao que o oráculo publicou pela última vez.

Como a perda se propaga: descrição passo a passo de um cenário com um REIT tokenizado

Imagine um protocolo chamado BlockREIT que aceita um fundo imobiliário tokenizado, chamado tREIT, como garantia. O protocolo permite que os utilizadores cunhem uma stablecoin, digamos rUSD, contra tREIT com um rácio loan-to-value de 70 por cento. O oráculo é um feed baseado no NAV gerido pelo emitente do tREIT, atualizado on-chain a cada 24 horas e assinado por uma multisig de três custodiantes. Os contratos inteligentes são auditados. O marketing diz que é de nível institucional.

Na sexta-feira à noite, o REIT subjacente anuncia que um dos seus maiores inquilinos entrou em incumprimento num contrato de arrendamento de 40 milhões de dólares e que o auditor do fundo precisa de quatro a seis semanas para reavaliar os ativos. O mundo off-chain passa então a acreditar que o tREIT vale aproximadamente 0,78 dólares por token. O oráculo on-chain continua a indicar 1,00 dólar porque a próxima atualização só ocorrerá ao meio-dia de sábado, e a política de governação do emitente proíbe atualizações a meio do ciclo.

Qualquer pessoa que acompanhe as notícias off-chain consegue agora ver a diferença. Um mutuário com uma posição loan-to-value de 0,95 dólares está, na prática, sobrecolateralizado em termos nominais e subcolateralizado em termos reais. O protocolo não consegue liquidar, porque o oráculo continua a indicar que o mutuário está seguro. O mutuário, que tem estado muito atento, retira a garantia em tREIT para uma nova carteira, troca-a por um token mais líquido num DEX com liquidez reduzida em tREIT e vai-se embora. O protocolo fica com um passivo em stablecoin apoiado por uma garantia que agora vale menos do que o empréstimo.

A parte interessante é o que acontece a seguir. O oráculo finalmente atualiza ao meio-dia de sábado e escreve 0,78 dólares. As liquidações são acionadas automaticamente em todas as posições acima da linha de LTV de 70 por cento. Mas a liquidez do DEX para tREIT está agora esgotada, e os bots liquidadores só conseguem executar a 0,55 dólares porque estão a vender para um mercado unilateral. A dívida incobrável acumula-se no protocolo. A rUSD perde a paridade. Os detentores resgatam rUSD através do protocolo com base no pressuposto do valor nominal, drenando o que resta da tesouraria. A perda propaga-se de um único NAV desatualizado para uma falha de stablecoin em cerca de doze horas.

Cada passo neste cenário é, em princípio, evitável, e quase todas as medidas de prevenção acrescentam fricção, latência ou complexidade de governação que um emitente de RWA preferiria não ter.

Os dois tipos de oráculo RWA: baseado no mercado versus baseado no NAV

Os protocolos RWA têm, na prática, duas opções para obter preços, e essa escolha é mais relevante do que o nome da marca do fornecedor do oráculo.

Oráculos baseados no mercado

Um oráculo baseado no mercado agrega preços de plataformas onde o ativo é efetivamente transacionado. Chainlink é a rede mais estabelecida neste domínio, usando uma rede de operadores de nós independentes que obtêm preços de várias exchanges centralizadas e descentralizadas, agregam-nos off-chain e enviam para on-chain um valor mediano ou ponderado por volume. Pyth segue um caminho diferente, obtendo preços diretamente de market makers e exchanges numa base opt-in e publicando-os com latência inferior a um segundo na Solana e noutras chains.

Para um T-bill tokenizado como BUIDL, que é transacionado em algumas plataformas com lista de permissões, um oráculo baseado no mercado pode funcionar, mas o volume nessas plataformas é o estrangulamento. Se um manipulador vender 5 milhões de dólares de BUIDL numa única plataforma durante a noite asiática, a mediana do oráculo pode mover-se antes de a arbitragem fechar a diferença. O desenho da Pyth defende parcialmente contra isto ao ponderar publicadores e exigir contagens mínimas de publicadores, mas a defesa é estatística, não absoluta.

O estudo de caso clássico aqui é o da Mango Markets em 2022, em que um atacante inflacionou o preço de MNGO-PERP numa única exchange, usou o preço inflacionado como colateral para pedir emprestado todo o tesouro e drenou cerca de 114 milhões de dólares. O feed de preços estava tecnicamente a funcionar. Estava apenas a ler uma única plataforma cujo volume o atacante controlava.

Oráculos baseados no NAV

Um oráculo baseado no NAV, pelo contrário, não olha para transações. Publica o valor líquido dos ativos do próprio emitente, geralmente calculado a partir de avaliações, relatórios do administrador do fundo ou contabilidade mark-to-model. Para um ativo ilíquido como um fundo imobiliário tokenizado ou uma nota de crédito privado, o NAV é muitas vezes a única resposta honesta, porque não existe um mercado contínuo de onde retirar dados.

O custo é que as atualizações do NAV são lentas. Uma atualização semanal ou diária significa que o preço on-chain está, na melhor das hipóteses, desatualizado 24 horas. Durante essa janela, qualquer vantagem informacional off-chain pode ser explorada. O incidente da Synthetix sUSD em 2019, embora anterior à maior parte da infraestrutura RWA, é ilustrativo: um feed de oráculo do won coreano forneceu uma taxa fora de mercado, e os traders drenaram o sistema antes de o feed ser corrigido. A arquitetura melhorou, mas o problema fundamental, o facto de um único publicador de confiança se tornar um ponto único de falha, persiste.

Os feeds baseados no NAV também falham de formas que os feeds de mercado não falham. O publicador pode fazer uma pausa. O publicador pode ser o próprio emitente, o que levanta questões óbvias de conflito de interesses. A chave de assinatura do publicador pode ser comprometida. O administrador do fundo pode falhar uma janela de resgate. Nada disto é manipulação de preços no sentido técnico, mas tudo parece idêntico para o protocolo: o oráculo deixa de atualizar, ou atualiza para um número em que ninguém acredita.

Casos históricos de manipulação de oráculos, com contexto RWA

A história da manipulação de oráculos na indústria cripto parece um catálogo de lições repetidas. A bZx foi explorada duas vezes em 2020 através de manipulação de oráculos com baixa liquidez para drenar cerca de um milhão de dólares nos dois incidentes. A Harvest Finance perdeu 24 milhões de dólares em outubro de 2020 para uma arbitragem de curva de stablecoins impulsionada pelo timing do oráculo. A Cream Finance perdeu 130 milhões de dólares em outubro de 2021 devido a uma manipulação de oráculo de preços que avaliou um token de colateral numa referência inflacionada.

O exploit da Mango Markets em 2022 foi a demonstração mais clara do padrão: um feed de preços de uma única plataforma, um manipulador com capital e um protocolo de empréstimos que confiava no feed sem verificar o volume. A defesa de Avraham Eisenberg em julgamento foi que estava a negociar, não a hackear. O júri discordou. Os 114 milhões de dólares eram reais.

No espaço específico dos RWA, 2024 acrescentou casos mais discretos, mas instrutivos. Um protocolo de crédito privado tokenizado sofreu um evento parcial de dívida incobrável quando o seu oráculo NAV continuou a marcar posições ao par mesmo depois de o emitente subjacente ter pedido reestruturação. Um fundo de mercado monetário tokenizado sofreu uma perda temporária de paridade quando o seu banco custodiante pausou resgates para revisão AML, deixando o preço on-chain inalterado enquanto os titulares off-chain faziam fila para sair. Nenhum dos eventos foi um hack no sentido jurídico. Ambos produziram perdas reais para os utilizadores do protocolo.

A lição não é que os oráculos sejam especialmente maus. A lição é que a manipulação de oráculos é uma categoria de ataque, não um único bug, e que os protocolos RWA herdam todas as variantes da categoria, mais algumas novas ligadas à custódia e à governação do emitente.

Porque é que um oráculo com 1 ponto base ainda perde dinheiro

O texto de marketing dos produtos RWA institucionais gaba-se frequentemente da precisão dos oráculos. O preço on-chain atualiza até ao ponto base mais próximo, ou 0,01 por cento, em alguns casos com mais precisão do que o próprio mercado obrigacionista. Isto é real, mas responde à pergunta errada.

Um T-bill tokenizado com um oráculo perfeitamente preciso ainda perde dinheiro se o custodiante que detém os Treasuries subjacentes falhar. O exemplo clássico é o incidente de outubro de 2023, em que um pequeno custodiante cripto institucional pausou levantamentos; produtos de T-bill tokenizados que tinham esse custodiante como único subcustodiante viram o seu NAV estagnar porque os ativos subjacentes não podiam ser resgatados. A precisão do oráculo não importou, porque a precisão estava a ser aplicada a um número que ninguém conseguia verificar de forma independente.

A mesma lógica aplica-se a imobiliário tokenizado, crédito privado tokenizado e matérias-primas tokenizadas. O oráculo diz-lhe quanto vale o ativo. Não lhe diz se o ativo ainda existe, se ainda é propriedade do titular do token, se pode ser resgatado a pedido ou se está sujeito a uma reivindicação legal. Essas são questões de custódia e legais, e vivem inteiramente fora do smart contract.

Para responsáveis de risco, isto significa que uma revisão do oráculo é necessária, mas não suficiente. A revisão completa é custódia, depois oráculo, depois governação, depois exequibilidade jurídica do token contra o ativo subjacente, aproximadamente por essa ordem.

Como o consenso Hashgraph e a Canton Network abordam o problema

A maioria dos desenhos de oráculos RWA trata o feed de preços como um problema de dados: quem envia o número, com que frequência e como confiamos nessa entidade. O consenso Hashgraph e a Canton Network tratam-no antes como um problema de coordenação. A distinção é arquitetural, não apenas de marca.

O consenso Hashgraph, o protocolo subjacente da rede Hedera e uma base para o ecossistema HASH, é um protocolo gossip tolerante a falhas bizantinas, com tolerância assíncrona a falhas bizantinas e finality em segundos. Para casos de uso RWA, a propriedade relevante não é a velocidade bruta, mas a finality determinística com carimbos temporais verificáveis. Um feed de oráculo publicado numa rede baseada em hashgraph transporta um carimbo temporal de consenso com o qual todos os participantes concordam, o que torna mais difícil argumentar depois do facto que um preço não era o preço de consenso num determinado momento.

A Canton Network adota uma abordagem mais radical. Em vez de uma única chain global com um único feed de preços, Canton é uma rede de sub-redes interoperáveis, cada uma das quais pode ser um ledger permissionado operado por instituições reguladas. O componente synchronizer coordena transações atómicas entre sub-redes sem as obrigar a partilhar um único ambiente de execução. Para um oráculo RWA, isto significa que o feed de preços não tem de ser publicado numa chain pública. O banco que detém os Treasuries subjacentes, o administrador do fundo que calcula o NAV, o custodiante e o protocolo DeFi que consome o preço podem todos executar as suas próprias sub-redes e usar o synchronizer para acordar um preço atomicamente com uma transação relacionada, como a emissão de um token ou uma verificação de colateral.

O efeito prático é empurrar o problema do oráculo para fora da chain pública, para uma camada de coordenação privada onde cada participante é identificado e o recurso jurídico permanece intacto. Isto não é uma solução universal. Exige cooperação institucional e vontade de operar dentro de um enquadramento permissionado. Mas, para grandes implementações RWA em que o ativo é um título regulado e os participantes são entidades conhecidas, remove várias categorias de ataque a oráculos ao eliminar a superfície de preço da chain pública.

O que os responsáveis de risco devem realmente fazer

Para alguém que avalia uma integração de RWA, as perguntas não são abstratas. São concretas, e a maioria delas tem respostas desconfortáveis.

Primeiro, pergunte que tipo de oráculo o protocolo utiliza e se o ativo é de facto negociado continuamente nos mercados que o oráculo consulta. Se a resposta for baseada em NAV, pergunte quem a publica, com que frequência e qual é a política para atualizações não programadas. Se a resposta for omissa, assuma o pior.

Segundo, pergunte o que acontece durante uma falha do oráculo. O protocolo fica em pausa? Recorre a um preço conservador, como a última atualização menos um desconto? Permite novos empréstimos contra o preço desatualizado? Os exploits da Mango e da bZx funcionaram ambos porque o protocolo continuou a operar durante a manipulação. Um protocolo bem concebido deve tratar um oráculo desatualizado como uma emergência.

Terceiro, pergunte sobre a custódia. Quem detém o ativo subjacente? O custodiante está segregado? Existe uma estrutura à prova de insolvência? O custodiante alguma vez pausou levantamentos? Um oráculo de 1 ponto-base sobre uma estrutura de custódia que pode congelar resgates não é um sistema de 1 ponto-base.

Quarto, pergunte sobre a governação. Quem pode alterar a fonte do oráculo? Quem pode pausar o feed? Quem pode atualizar o preço manualmente? Numa implementação RWA com permissão, a governação é o oráculo, e as respostas determinam a que tipo de ataque o protocolo está exposto.

Por fim, dimensione a exposição em conformidade. Mesmo um protocolo RWA bem concebido pode falhar de formas que nenhuma análise de oráculo conseguiria prever. Os casos-limite de 2024 envolveram todos emitentes, custodiantes ou contrapartes a fazer coisas inesperadas. A diversificação entre emitentes de RWA e entre tipos de oráculo reduz a probabilidade de uma única falha se propagar por uma carteira.

Mantenha-se à frente do risco de oráculos RWA com sinais estruturados

A manipulação de oráculos RWA evolui mais depressa do que qualquer analista consegue acompanhar sozinho. Novos exploits, novas pausas de custodiantes, novas disputas sobre NAV e novas propostas de governação surgem todas as semanas, e a maioria fica enterrada em fóruns de governação, processos judiciais ou análises post-mortem que não se tornam tendência nas redes sociais. O Zippfeed destaca manchetes sobre RWA com pontuação de sentimento, classificando cada notícia como bullish, neutral ou bearish consoante a notícia aponte para um protocolo subjacente mais saudável ou mais fraco, e com uma classificação de importância que realça as histórias com maior probabilidade de mover preços ou desencadear liquidações. Esta combinação permite aos responsáveis de risco e aos traders avançados detetar os primeiros sinais de um problema de oráculo ou de custódia antes de o preço on-chain o refletir.