HypurrFi Relata Vulnerabilidade de Erro de Arredondamento na Aave V3

A vulnerabilidade de erro de arredondamento encontrada na Aave V3 não é um bug genérico de matemática em contratos inteligentes, mas uma falha específica em como a versão anterior à 3.5 lida com o cálculo de juros acumulados durante ciclos rápidos de suprimento e saque em ativos com baixa precisão de escala, como XAUTO e UBTC, ambos tokens com casas decimais limitadas e alta volatilidade relativa. O problema só se manifesta quando operações são executadas em sequência sob condições de taxa de juros flutuante e saldo residual abaixo de 1 wei, gerando discrepâncias que o protocolo interpreta como saldo disponível para saque. Isso permite extração silenciosa de fundos sem gatilho de reverter transação, algo raro em implantações da Aave, que normalmente possuem proteções robustas contra underflow.

O fato de a HypurrFi ter detectado a falha internamente, e não por meio de auditoria externa ou relatório de white hat, mostra que seu sistema de monitoramento on-chain está capturando comportamentos anômalos em tempo real, como padrões de 'repetição de ciclo' com desvios subcentesimais. Isso contrasta com a postura defensiva da Aave Labs no relatório de segurança da V4, que destacou ausência de falhas críticas em 345 dias de análise, mas não abordou especificamente o comportamento de arredondamento em forks não oficiais ou em implantações com ativos não padronizados.

Essa falha expõe uma tensão crescente entre a modularidade dos protocolos DeFi e sua segurança operacional: a Aave V3 foi projetada para ser forquilhada, mas cada adaptação, especialmente com novos ativos ou camadas de abstração como as do HyperEVM, cria superfícies de ataque não cobertas pelas auditorias originais. Para usuários, o risco não está apenas no código da Aave, mas em como ele é integrado, testado e mantido por terceiros. E para desenvolvedores, o caso reforça que erros de arredondamento ainda são vetores viáveis de exploração mesmo em protocolos maduros, e que 'segurança por design' exige validação contínua, não só em lançamento.