DeFi Hacks Reproduce - Foundry

Reproduza incidentes de hacks DeFi usando Foundry.

845 incidentes incluídos.

Vamos tornar a Web3 segura! Junte-se ao Discord

Notion: análise de causa raiz de 101 incidentes passados de hacks DeFi

Aviso Legal: Este conteúdo serve exclusivamente como uma prova de conceito que demonstra incidentes passados de hacks DeFi. Destina-se estritamente a fins educacionais e não deve ser interpretado como incentivo ou endosso a qualquer forma de atividades ilegais ou tentativas reais de hacking. As informações fornecidas são apenas para fins informativos e de aprendizado, e quaisquer ações tomadas com base neste conteúdo são de responsabilidade exclusiva do indivíduo. O uso destas informações deve estar em conformidade com as leis, regulamentos e padrões éticos aplicáveis.

Começando

Siga as instruções para instalar o Foundry.
Clone e instale as dependências:git submodule update --init --recursive
Diretrizes de Contribuição

Academia de Cibersegurança Web3

Todos os artigos também são publicados no Substack.

Depuração de transações on-chain

Lição 1: Ferramentas ( Inglês | 中文 | Vietnamita | Coreano | Espanhol | 日本語 )
Lição 2: Aquecimento ( Inglês | 中文 | Coreano | Espanhol | 日本語 )
Lição 3: Escreva Seu Próprio PoC (Manipulação de Oráculo de Preço) ( Inglês | 中文 | Coreano | Espanhol | 日本語 )
Lição 4: Escreva Seu Próprio PoC (Bot MEV) ( Inglês | 中文 | Coreano | | )

Doe para nós

Se você aprecia nosso trabalho, considere doar. Mesmo uma pequena quantia nos ajuda a continuar desenvolvendo e melhorando nossos projetos e promovendo a segurança da web3.

Gitcoin - Doe para o DeFiHackLabs
EVM Chains - 0xD7d6215b4EF4b9B5f40baea48F41047Eb67a11D5
Giveth

Lista de Incidentes DeFi Passados

20260730 UnprotectedArbBot 20260730 ExchangeIssuance (Index Coop)

20260726 LULA 20260725 Pro Token

20260725 Projekt Reward Vault

20260724 Lien Finance

20260719 NFT Auction Marketplace

20260719 RWT Token

20260716 CompoundProvider

20260716 CrowdRingCircle

20260716 Perpetual Protocol

20260714 Lumi Finance

20260627 CookFinanceIssuance

20260625 LixirPermitDrain

20260625 OceanBPoolSideStaking

20260624 DLMC

20260623 RoyalRoyalties

20260622 Aztec Escape Hatch

20260614 Aztec Connect

20260609 TOPBPool

20260609 NovaBox

20260607 AmbientCrocSwapDex

20260606 BOSS

20260605 DTXT

20260605 AISOTHPresale

20260528 LegendaryMoneyMonNft

20260528 DxSale

20260527 Joe Agent

20260526 SKP Token

20260525 SquidRouterModule

20260525 New Market Trading

20260525 WUSD.fi

20260522 FractalProtocol

20260521 MureDistribution

20260515 AdsharesBridge

20260512 SQTokenStaking

20260511 INKFinance

20260511 HumaFinance

20260510 Renegade

20260507 TrustedVolumes

20260505 Ekubo

20260501 SharwaMarginTrading

20260428 RWAVault

20260428 JUDAO

20260427 Unverified_a152

20260425 SingularityDynaVault

20260423 GiddyVaultV3

20260421 KipseliPropAMM

20260420 JuiceboxREVLoans

20260420 ThetanutsVaultShareRounding

20260419 AaveRebalancerCreditDelegation

20260415 XLootStaking

20260414 MONA LisaVault

20260414 Saturn Protocol

20260412 SubQuerySettings

20260407 SquidMulticallAllowanceDrain

20260405 PerpPair

20260331 WhalebitOracleManipulation

20260328 VTSwapHook

20260327 EST Token

20260324 XocolatlLiquidator

20260324 Univ3CollateralToken

20260302 Curve LlamaLend

2025

20251020 SharwaFinance

20250830 EverValueCoin

20250827 0xf340

20250823 EquilibriaEPendle

20250823 ABCCApp

20250822 Unverified_6f7a

20250820 MulticallWithXera

2024

20241120 MainnetSettler

20241119 PolterFinance

20241117 MFT

20241114 vETH

2023

20231231 Channels BUSD&USDC

20231230 ChannelsFinance

20231228 CCV

20231228 DominoTT

20231225 Telcoin

20231222 PineProtocol

20231220 TransitFinance

20231217 Bob

20231217 FloorProtocol

20231211 GoodCompound

20231209 BCT

[20230313 EulerFinance](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/past/2023/README.md#20230313---eulerfinance---business-logic-flaw)

20230218 RevertFinance

20230217 Starlink

20230217 Dexible

20230217 Platypusdefi

20230203 Orion Protocol

20230203 Spherax USDs

20230202 BonqDAO

20230130 BEVO

20230126 TomInu Token

20230119 SHOCO Token

20230119 ThoreumFinance

20230118 QTN Token

20230118 UPS Token

20230117 OmniEstate

20230116 MidasCapital

2022

20221211 MEVbot_0x28d9

2021

20211221 Visor Finance

20211218 Grim Finance

20211214 Nerve Bridge

20211130 MonoX Finance

20211123 Ploutoz Finance

20211027 Cream Finance

20211015 Indexed Finance

20210916 SushiSwap Miso

20210915 Nimbus Platform

20210915 NowSwap Platform

20210912 ZABU Finance

20210903 DAO Maker

20210830 Cream Finance

20210817 XSURGE

20210811 Poly Network

Antes de 2020

20201229 Cover Protocol

20201121 Pickle Finance

20201026 Harvest Finance

20200912 bzx

20200804 Opyn Protocol

20200628 Balancer Protocol

20200618 Bancor Protocol

20180422 Beauty Chain

20171106 Parity - 'Accidentally Killed It'

20170719 Parity Multisig

Ferramentas de depuração de transações

Banco de dados de assinaturas Ethereum

4byte | sig db | etherface

Ferramentas úteis

ABI to interface | Get ABI for unverified contracts | ETH Calldata Decoder | ETHCMD - Guess ABI | Abi tools

Painel de HacksSlowmist | Defillama | De.Fi | Rekt | Cryptosec | BlockSec

Lista de Hacks e POCs de DeFi

20260730 UnprotectedArbBot - Forwarder de chamada arbitrária desprotegido drenado via allowance de WETH pré-concedida

Perdido: 16.623 WETH ($31.7K)```sh

forge test --contracts src/test/2026-07/UnprotectedArbBot_exp.sol -vvv

#### Contract
[UnprotectedArbBot_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/UnprotectedArbBot_exp.sol)

### 20260730 ExchangeIssuance (Index Coop) - Inflação do positionMultiplier por TOCTOU via hook pré-emissão malicioso
### Perdido: ~9.6K USD (~US$ 8.174 valor recuperado on-chain)```sh
forge test --contracts ./src/test/2026-07/ExchangeIssuance_exp.sol -vvv

Contract

ExchangeIssuance_exp.sol

20260726 LULA - Manipulação de deflação de reciclagem de recompensas via flash loan

Perdido: ~578K USDT```sh

forge test --contracts ./src/test/2026-07/LULA_exp.sol -vvv --evm-version cancun

#### Contrato
[LULA_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/LULA_exp.sol)
### 20260725 Pro Token - Dreno do vencedor por autonegociação com recompensa na transferência
### Perdido: ~605K USDT (tx única; ~US$ 8,2M cumulativos em ~13 txs)```sh
forge test --contracts ./src/test/2026-07/ProToken_exp.sol -vvv

Contrato

ProToken_exp.sol

20260725 Projekt Reward Vault - Autonegociação de rastreamento de compras sem permissão

Perdido: ~301.7 ETH```sh

forge test --contracts ./src/test/2026-07/ProjektRewardVault_exp.sol -vvv --evm-version cancun

#### Contrato
[ProjektRewardVault_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/ProjektRewardVault_exp.sol)
### 20260724 Lien Finance - Registro de títulos sem permissão / precificação incorreta de pagamento
### Perdido: ~542,144 USDC```sh
forge test --contracts ./src/test/2026-07/LienFinance_exp.sol -vvv

Contrato

LienFinance_exp.sol

20260719 NFT Auction Marketplace - Dupla liquidação / reembolso de delist

Perdido: ~2.2 BNB```sh

forge test --contracts ./src/test/2026-07/NFTAuctionMarketplace_exp.sol -vvv --evm-version cancun

#### Contrato
[NFTAuctionMarketplace_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/NFTAuctionMarketplace_exp.sol)
### 20260719 Token RWT - Manipulação de preço deflacionária por burn-from-pair
### Perdido: ~118.000 USDT```sh
forge test --contracts ./src/test/2026-07/RWT_exp.sol -vvv

Contrato

RWT_exp.sol

20260716 CompoundProvider - Sweep de Allowance / Controle de Acesso Ausente

Perda: ~774,943 USDC```sh

forge test --contracts ./src/test/2026-07/CompoundProvider_exp.sol -vvv

#### Contrato
[CompoundProvider_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/CompoundProvider_exp.sol)
### 20260716 CrowdRingCircle - Manipulação de Reserva via burn-from-pair + sync
### Perdido: ~201,359 USDT```sh
forge test --contracts ./src/test/2026-07/CrowdRingCircle_exp.sol -vvv --evm-version cancun

Contrato

CrowdRingCircle_exp.sol

20260716 Perpetual Protocol - Controle de Acesso / Verificação de Permissão Ausente

Perdido: ~3,062 USDC```sh

forge test --contracts ./src/test/2026-07/PerpetualProtocol_exp.sol -vvv

#### Contrato
[PerpetualProtocol_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/PerpetualProtocol_exp.sol)
### 20260714 Lumi Finance - Aprovação de Paymaster na Fase de Validação ERC-4337
### Perdido: ~264,000 USD```sh
forge test --contracts ./src/test/2026-07/LumiFinance_exp.sol -vvv --evm-version cancun

Contrato

LumiFinance_exp.sol

20260712 Sodium - Bypass de Validação de Chave de Sessão ERC-4337

Perda: 11.76 ETH ($21,200)```sh

forge test --contracts ./src/test/2026-07/Sodium_exp.sol -vvv --evm-version cancun

#### Contrato
[Sodium_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/Sodium_exp.sol)
### 20260706 SummerFi - Inflação do NAV do FleetCommander via xUSD desancorado
### Perda: ~$6M (cotas de DAI + LVUSDC)```sh
forge test --contracts ./src/test/2026-07/SummerFi_exp.sol -vvv --evm-version cancun

Contrato

SummerFi_exp.sol

Referência do link

https://etherscan.io/tx/0x0db528c44f23fc7fa4544684a2fab81096450a14aae8bc89f42cd0592d43da12

20260701 edel-xstock - Manipulação de Oráculo de Preço

Perdido: 204,215.57 USDC```sh

forge test --contracts ./src/test/2026-07/edel-xstock_exp.sol -vvv

#### Contrato
[edel-xstock_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-07/edel-xstock_exp.sol)
### Referência do link

https://x.com/TenArmorAlert/status/2072130807356129726

---

### 20260629 Vault4626 - Falha de Lógica de Negócio

### Perdido: 13.53 WETH```sh
forge test --contracts ./src/test/2026-06/Vault4626_exp.sol --evm-version shanghai -vvv

Contrato

Vault4626_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2071495744071086510

20260628 AIDC - Falha de lógica de negócio

Perda: 220.13 WBNB```sh

forge test --contracts ./src/test/2026-06/AIDC_exp.sol -vvv --evm-version shanghai

#### Contrato
[AIDC_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/AIDC_exp.sol)
### Referência do link

https://x.com/TenArmorAlert/status/2071415914948685892

---

### 20260627 CookFinanceIssuance - Manipulação de Oracle de Preço

### Perda: ~$50K```sh
forge test --contracts ./src/test/2026-06/CookFinanceIssuance_exp.sol -vvv --evm-version shanghai

Contrato

CookFinanceIssuance_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2071497001443770684

20260625 LixirPermitDrain - Verificação de Assinatura Quebrada

Perdido: 2.60 ETH, 4,477.72 USDC, 3,609.95 USDT, 24,182.56 LIX```sh

forge test --contracts ./src/test/2026-06/LixirPermitDrain_exp.sol -vvv

#### Contrato
[LixirPermitDrain_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/LixirPermitDrain_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2070362661691207935

---

### 20260625 OceanBPoolSideStaking - matemática de join/exit unilateral do BPool com contabilidade gulp do SideStaking

### Perdido: 127.86K mOCEAN```sh
forge test --contracts ./src/test/2026-06/OceanBPoolSideStaking_exp.sol -vvv

Contrato

OceanBPoolSideStaking_exp.sol

Referência do link

http://x.com/defimonalerts/status/2070362661540286735

20260624 DLMC - Manipulação de livePrice derivado de reserva

Perdido: 222,560.22 USDT```sh

forge test --contracts ./src/test/2026-06/DLMC_exp.sol -vvv --evm-version cancun

#### Contrato
[DLMC_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/DLMC_exp.sol)
### Referência do link

https://x.com/TenArmorAlert/status/2069957542109958498

---

### 20260623 RoyalRoyalties - Transferência em lote de ERC1155 de valor zero inflou o saldo do nível Royal LDA

### Perdidos: 261,162.93 USDC```sh
forge test --contracts ./src/test/2026-06/RoyalRoyalties_exp.sol -vvv

Contrato

RoyalRoyalties_exp.sol

Referência do link

https://x.com/TenArmorAlert/status/2069596801725002121

20260622 Aztec Escape Hatch - Bypass de Contabilidade proof_id (reprodução whitehat)

Perda: N/A (puramente educacional; o impacto no pior caso teria sido de ~$2M, correspondendo à vulnerabilidade separada que de fato drenou os contratos)```sh

forge test --contracts src/test/2026-06/AztecEscapeHatch_exp2.sol -vvv

#### Contrato
[AztecEscapeHatch_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/AztecEscapeHatch_exp2.sol)

### Referência de link

https://github.com/AztecProtocol/aztec-2.0

https://x.com/ivanbogatyy/status/2069159603942596830

### 20260622 ATM - Queima de Token LP

### Perdido: 1.603,99 WBNB```sh
forge test --contracts ./src/test/2026-06/ATM_LP_Burn_exp.sol -vvv --evm-version shanghai

Contrato

ATM_LP_Burn_exp.sol

Referência do link

https://x.com/TenArmorAlert/status/2068993748936151209

20260620 OLPC - Manipulação de reserva do par OLPC

Perda: 1,115,903.66 USDT```sh

forge test --contracts ./src/test/2026-06/OLPC_exp.sol --evm-version shanghai -vvv

#### Contrato
[OLPC_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/OLPC_exp.sol)
### Referência do link

https://x.com/exvulsec/status/2068308334512365924

---

### 20260618 JB - Ciclo repetido do JB helper drena o par JB/USDT

### Perda: 49,958.06 USDT```sh
forge test --contracts ./src/test/2026-06/JB_exp.sol -vvv --evm-version cancun

Contrato

JB_exp.sol

Referência do link

https://x.com/audit_911/status/2067943961327763788

20260617 Aztec V1 - escapeHatch Proof-Forgery (saída permissionless do RollupProcessor)

Perdido: ~$2.2M (1158 ETH + 150,000 DAI + 0.4696 renBTC)```sh

forge test --contracts src/test/2026-06/AztecEscapeHatch_exp.sol -vvv

#### Contrato
[AztecEscapeHatch_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/AztecEscapeHatch_exp.sol)


---

### 20260617 WHALE - Transfer Accounting Reserve Desync

### Perdido: 3,460.41 USDT```sh
forge test --contracts ./src/test/2026-06/WHALE_exp.sol -vvv --evm-version cancun

Contrato

WHALE_exp.sol

Referência do link

https://x.com/audit_911/status/2067451654694412720

20260617 LBP - LBP balanceOf contabilização de recompensas

Perdido: 610.56 BNB```sh

forge test --contracts ./src/test/2026-06/LBP_exp.sol -vvv --evm-version cancun

#### Contrato
[LBP_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/LBP_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2067329401977532429

---

### 20260616 DIP - Manipulação de Reserva Fee-on-Transfer

### Perdido: 111,097.59 USDC```sh
forge test --contracts ./src/test/2026-06/DIP_exp.sol -vvv --evm-version shanghai

Contrato

DIP_exp.sol

Referência do link

https://x.com/TenArmorAlert/status/2067059314519417163

20260615 Thetanuts - Falha de contabilização de participação de componentes do vault de índice

Perdido: 105471.50 USDC```sh

forge test --contracts ./src/test/2026-06/Thetanuts_exp.sol -vvv

#### Contrato
[Thetanuts_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/Thetanuts_exp.sol)
### Referência do link

https://x.com/PeckShieldAlert/status/2066540451126190312

---

### 20260614 Aztec Connect - numRealTxs Incompatibilidade de Prova/Liquidação (RollupProcessorV3 sem permissão)
### Perda: ~$2.19M (este PoC reproduz a perna de 908.99 ETH)```sh
forge test --contracts src/test/2026-06/AztecConnect_exp.sol -vvv

Contrato

AztecConnect_exp.sol

Referência do link

https://www.cryptotimes.io/2026/06/15/aztec-exploit-drains-2-19m-from-dormant-privacy-protocol/

https://dev.to/cryip/how-a-single-validation-mismatch-can-drain-millions-lessons-from-the-aztec-connect-exploit-2598

20260609 TOPBPool - Mint de token controlado por governança e dreno de pool do Balancer

Perdido: 944.20 WETH```sh

forge test --contracts ./src/test/2026-06/TOPBPool_exp.sol -vvv

#### Contrato
[TOPBPool_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/TOPBPool_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2064616112822583505

---

### 20260609 NovaBox - Bypass do Checkpoint de Dividendos no Construtor

### Perda: 56.73 ETH```sh
forge test --contracts ./src/test/2026-06/NovaBox_exp.sol --evm-version prague -vvv

Contrato

NovaBox_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2064616360466919793

20260607 AmbientCrocSwapDex - Falha de contabilização de excedente nativo

Perdido: 67.85 ETH```sh

forge test --contracts ./src/test/2026-06/AmbientCrocSwapDex_exp.sol -vvv

#### Contrato
[AmbientCrocSwapDex_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/AmbientCrocSwapDex_exp.sol)
### Referência de link

https://x.com/TenArmorAlert/status/2063816231023427861

---

### 20260606 BOSS - BOSS helper mint/burn e desequilíbrio de pool de imposto de transferência

### Perdido: 10,207.54 USDT```sh
forge test --contracts ./src/test/2026-06/BOSS_exp.sol -vvv --evm-version shanghai

Contrato

BOSS_exp.sol

Referência do link

https://x.com/audit_911/status/2063819348305985748

20260605 DTXT - Bypass de Taxa por Classificação Incorreta de Liquidez

Perdido: 35,041.11 USDT```sh

forge test --contracts ./src/test/2026-06/DTXT_exp.sol -vvv --evm-version shanghai

#### Contrato
[DTXT_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/DTXT_exp.sol)
### Referência do link

https://x.com/audit_911/status/2063793931138347015

---

### 20260605 AISOTHPresale - Arbitragem de pré-venda a preço fixo

### Perda: 30,314.76 USDT```sh
forge test --contracts ./src/test/2026-06/AISOTHPresale_exp.sol -vvv --evm-version shanghai

Contrato

AISOTHPresale_exp.sol

Referência do link

https://x.com/audit_911/status/2063565495073415618

20260604 BYToken - Manipulação de Reserva triggerAutoBurn sem permissão

Perda: ~$87,402 (146.60 WBNB)```sh

forge test --contracts src/test/2026-06/BYToken_exp.sol -vvv

#### Contrato
[BYToken_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-06/BYToken_exp.sol)
### Referência do link
https://hacked.slowmist.io

### 20260604 ATM Token - Dreno de transferFrom oculto com Auto-Swap
### Perda: ~$243,543 USDT```sh
forge test --contracts src/test/2026-06/ATM_exp.sol -vvv

Contrato

ATM_exp.sol

Link de referência

https://hacked.slowmist.io

20260530 AROS - Replay de Assinatura

Perda: ~$295K```sh

forge test --contracts src/test/2026-05/AROS_exp.sol -vvv --evm-version prague

#### Contrato
[AROS_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/AROS_exp.sol)
### Referência de link
https://bscscan.com/tx/0xe89fe640ec5241edfca7d8dcae77a0a4270dee15e4bbd043fc60e393aabf41e1
https://x.com/TenArmorAlert/status/2061289921990570349

---

### 20260529 YSDAO - Manipulação de Preço e Bypass de Taxa

### Perdido: ~19.49K USDT```sh
forge test --contracts src/test/2026-05/YSDAO_exp.sol -vvv

Contrato

YSDAO_exp.sol

Referência do link

https://bscscan.com/tx/0x91f26d96373bbec6a6a8517c7be995a739d65f20fed589d53bc47d8140f91907

20260528 LegendaryMoneyMonNft - Bypass de Assinatura por ecrecover address(0)

Perdido: ~US$ 85,5 mil (85.519 USDT)```sh

forge test --contracts src/test/2026-05/LegendaryMoneyMonNft_exp.sol -vvv

#### Contrato
[LegendaryMoneyMonNft_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/LegendaryMoneyMonNft_exp.sol)
### Referência do link
https://x.com/SlowMist_Team/status/2060205558687486441

---

### 20260528 DxSale - Ataque de Sobrescrita de Propriedade
### Perda: ~7,3M USD```sh
forge test --contracts src/test/2026-05/DxSale_exp.sol -vvv

Contrato

DxSale_exp.sol

Referência de links

https://crypto.news/dxsale-exploit-drains-7-3m-in-bnb-through-hidden-contract-backdoor/ https://x.com/Tahax1/status/1928169316736651568 https://x.com/CoinsultAudits/status/1928203831996297670

20260527 Joe Agent - Reentrância em removeLiquidityViaContract

Perdido: ~$45K USD (62.5 BNB + ~1.196M JOE)```sh

forge test --contracts src/test/2026-05/JoeAgent_exp.sol -vvv

#### Contrato
[JoeAgent_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/JoeAgent_exp.sol)
### Referência do link
https://x.com/SlowMist_Team/status/2059887450663551352

---
### 20260526 SKP Token - Queima de LP por Backdoor do Proprietário + Manipulação de Preço
### Perda: ~$212K USD```sh
forge test --contracts src/test/2026-05/SKP_exp.sol -vvv

Contrato

SKP_exp.sol

Referência do link

https://www.cryptotimes.io/2026/05/27/skp-liquidity-exploit-drains-212k-across-bnb-chain-defi-protocols/

20260526 SKP Token - Dreno Deliberadamente Projetado (Exploit Interno / Rug Pull)

Perda de ~$212,195 USDT

Classificação: Exploit interno premeditado — NÃO é um hack externo convencional.```sh forge test --contracts src/test/2026-05/SKP_exp2.sol -vvv

#### Contrato
[SKP_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/SKP_exp2.sol)

### Referência de link
- https://bscscan.com/tx/0xbc01ea37bd2ff8f6aa6afcfbe0406114ff27a01e9aa56102bfa4ad8a0c2f25ee
- https://bscscan.com/tx/0xadf1b6ff02a917043c816bc8bd1ed67038d64a19d06544b09ceeb872518fda37
- https://www.bitget.com/amp/news/detail/12560605230076

---

### 20260525 SquidRouterModule - Verificação de chamador ausente

### Perdido: 0.25 WBTC + 0.29 wTAO + 0.02 WETH```sh
FOUNDRY_EVM_VERSION=cancun forge test --contracts ./src/test/2026-05/SquidRouterModule_exp.sol -vvv

Contrato

SquidRouterModule_exp.sol

Referência do link

https://t.me/defimon_alerts/3045

20260525 Nova Negociação de Mercado - Verificação de Chamador Ausente no SquidRouterModule

Perda: ~$3.98M USD```sh

FOUNDRY_EVM_VERSION=cancun forge test --contracts src/test/2026-05/NewMarketTrading_exp.sol --match-contract NewMarketTradingExploit -vv

#### Contract
[NewMarketTrading_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/NewMarketTrading_exp.sol)
### Referência do link
https://rekt.news/newmarkettrading-rekt

---

### 20260525 WUSD.fi - _englove Abuso de incentivo Sybil
### Perda: ~US$ 200 mil (emissões GLOVE + dreno de LP)```sh
forge test --contracts src/test/2026-05/WUSD_exp.sol -vvv

Contrato

WUSD_exp.sol

Referência do link

https://x.com/exvulsec/status/2058803971947385330

20260522 FractalProtocol - Falha de Lógica de Negócios

Perda: ~$13.7K```sh

forge test --contracts src/test/2026-05/FractalProtocol_exp.sol -vvv

#### Contrato
[FractalProtocol_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/FractalProtocol_exp.sol)
### Referência do link
https://arbiscan.io/tx/0x20db78913a51c3b3aece860ea142c240f3f8fa3b5bbf533a3d1d48eed857e10f
https://x.com/DefimonAlerts/status/2058619391776878967

---

### 20260521 MureDistribution - Bypass de Verificação de Assinatura
### Perdido: ~5.45 ETH```sh
forge test --contracts src/test/2026-05/MureDistribution_exp.sol -vvv

Contrato

MureDistribution_exp.sol

Referência do link

https://etherscan.io/tx/0xb83040361a0ec72fa2d06ad69493226518a5f8b5d96c19b400626248f9c5b798 https://x.com/DefimonAlerts/status/2058211424761942226

20260520 MAPProtocol - Cunhagem Arbitrária

Perda: ~$180K```sh

forge test --contracts src/test/2026-05/MAPProtocol_exp.sol -vvv

#### Contrato
[MAPProtocol_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/MAPProtocol_exp.sol)
### Referência de link
https://etherscan.io/tx/0x31e56b4737649e0acdb0ebb4eca44d16aeca25f60c022cbde85f092bde27664a
https://x.com/MapProtocol/status/2059587998409490510

---

### 20260519 ElevateFi - Manipulação do Preço de Reserva

### Perda: ~16,000 USD```sh
forge test --contracts ./src/test/2026-05/ElevateFi_exp.sol -vvv --evm-version cancun

Contrato

ElevateFi_exp.sol

Referência do link

https://t.me/defimon_alerts/3040

20260518 TesseraSwap - Spread de Preço de Reembolso via Callback

Perda: ~$20K```sh

forge test --contracts ./src/test/2026-05/TesseraSwap_exp.sol -vvv --evm-version shanghai

#### Contrato
[TesseraSwap_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/TesseraSwap_exp.sol)
### Referência do link
https://t.me/defimon_alerts/3038

---

### 20260517 VerusBridge - Validação Insuficiente
### Perda: ~$11.58M```sh
forge test --contracts src/test/2026-05/VerusBridge_exp.sol -vvv

Contract

VerusBridge_exp.sol

Link reference

https://etherscan.io/tx/0x6990f01720f57fc515d0e976a0c4f8157e0a9529194c4c15d190e98d087eb321 https://x.com/VerusCoin/status/2057465214975492358

20260517 SEAToken - Falha de Lógica de Negócio

Perda: ~$110K```sh

forge test --contracts src/test/2026-05/SEAToken_exp.sol -vvv

#### Contrato
[SEAToken_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/SEAToken_exp.sol)
### Referência do link
https://arbiscan.io/tx/0x001cb16e17c4c5a5c4d02423c9e9b2f2b11ab6b2a1baf2ba53b8fcaf06167716
https://anomly.rs/metasea-redeemposition-distributor-drain-arb-2026-05-17

---

### 20260515 AdsharesBridge - Validação Insuficiente
### Perda: ~$628K```sh
forge test --contracts src/test/2026-05/AdsharesBridge_exp.sol -vvv

Contrato

AdsharesBridge_exp.sol

Referência de links

https://etherscan.io/tx/0x8844b4ec371c4b13d7fac701b5d546a7c2fba12621a9596dd14b662b14408789 https://etherscan.io/tx/0xfba82bb34515d7aefbf0c89582b71d915ec8861c96babaafdc882743dbc23509 https://etherscan.io/tx/0xa3476575183204b4a662dd6ee56f6499d806e4f41ce83d98366752d31e9e9ca3 https://x.com/DefimonAlerts/status/2055751467579936770

20260512 SQTokenStaking - Controle de Acesso

Perda: ~$346.1K```sh

forge test --contracts src/test/2026-05/SQTokenStaking_exp.sol -vvv --evm-version prague

#### Contrato
[SQTokenStaking_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/SQTokenStaking_exp.sol)
### Referência de link
https://bscscan.com/tx/0x1bae633eda9b3d98999ea116bc403712eaa07093ec32bd6d559085cc4607f5b8
https://x.com/Defi_Nerd_sec/status/2054425936746148148

---

### 20260511 INKFinance - Falha de Lógica de Negócios
### Perda: ~$140K```sh
forge test --contracts src/test/2026-05/INKFinance_exp.sol -vvv

Contrato

INKFinance_exp.sol

Referência do link

https://polygonscan.com/tx/0xb469a24ec737be16fe41367a7b5b315c7f03b4e0ff3af50b3a2db03b3066b982 https://www.cryptotimes.io/2026/05/11/ink-finance-exploited-on-polygon-140k-usdt-drained-in-flash-loan-attack/

20260511 HumaFinance - Bypass de Aprovação de Crédito

Perda: ~$101K (82,315 USDC + 19,074 USDC.e)```sh

forge test --contracts src/test/2026-05/HumaCreditApprovalBypass_exp.sol -vv

#### Contrato
[HumaCreditApprovalBypass_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/HumaCreditApprovalBypass_exp.sol)
### Referência do link
https://www.cryptotimes.io/2026/05/11/huma-finance-v1-exploit-on-polygon-drains-101k-in-usdc/

---

### 20260510 Renegade - Proxy Não Inicializado
### Perda: ~$209K```sh
forge test --contracts src/test/2026-05/Renegade_exp.sol -vvv

Contrato

Renegade_exp.sol

Referência de link

https://arbiscan.io/tx/0x0e494685ace16d372066c5b4db959b58ebac6d88166c2d9d618e0e421dc0c77e https://x.com/renegade_fi/status/2053531772634427599 https://x.com/DefimonAlerts/status/2053538325969977801

20260507 TrustedVolumes - Replay de Assinatura

Perda: ~$5.87M```sh

forge test --contracts src/test/2026-05/TrustedVolumes_exp.sol --match-contract TrustedVolumesExploit -vv

#### Contrato
[TrustedVolumes_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/TrustedVolumes_exp.sol)
### Referência de links
https://rekt.news/trustedvolumes-rekt
https://www.darknavy.org/web3/exploits/trustedvolumes-rfq-proxy-drain/
https://blog.verichains.io/p/trustedvolumes-exploit-analysis

---

### 20260505 Ekubo - Falha de Lógica de Negócios
### Perdido: ~US$ 1,4M```sh
forge test --contracts src/test/2026-05/Ekubo_exp.sol -vvv

Contrato

Ekubo_exp.sol

Referência do link

https://etherscan.io/tx/0x770bc9a1f7c32cb63a5002b9ceb5c7994cd3af0fc6b2309cb32d3c46f629daa0 https://x.com/EkuboProtocol/status/2051754481465856038 https://x.com/blockaid_/status/2051757787714118125

20260501 SharwaMarginTrading - Manipulação do preço spot do colateral do Hegic

Perdido: 32.85K USDC```sh

forge test --contracts ./src/test/2026-05/SharwaMarginTrading_exp.sol -vvv

#### Contrato
[SharwaMarginTrading_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-05/SharwaMarginTrading_exp.sol)
### Referência do link

https://t.me/defimon_alerts/2975

---

### 20260428 RWAVault - Falta verificação de allowance do ERC4626

### Perdido: 398,655.47 USDC```sh
forge test --contracts ./src/test/2026-04/RWAVault_exp.sol -vvv

Contrato

RWAVault_exp.sol

Referência do link

https://t.me/defimon_alerts/2958

20260428 JUDAO - dreno de reserva do sell-hook JUDAO

Perda: 205K USDT + 36 BNB```sh

forge test --contracts ./src/test/2026-04/JUDAO_exp.sol -vvv --evm-version shanghai

#### Contrato
[JUDAO_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/JUDAO_exp.sol)
### Referência do link

https://t.me/defimon_alerts/2955

---

### 20260427 Unverified_a152 - AllowanceTarget approval drain

### Perda: 229K USDT```sh
forge test --contracts ./src/test/2026-04/unverified_a152_exp.sol -vvv

Contrato

unverified_a152_exp.sol

Referência do link

https://t.me/defimon_alerts/2987

20260425 SingularityDynaVault - Configuração incorreta de Oráculo / Inflação de Cotas

Perda: 413.13K USDC```sh

forge test --contracts ./src/test/2026-04/SingularityDynaVault_exp.sol -vvv --evm-version shanghai

#### Contrato
[SingularityDynaVault_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/SingularityDynaVault_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2048698708309705069

---

### 20260423 GiddyVaultV3 - Cobertura de Assinatura Incompleta

### Perdido: $1.3M```sh
forge test --contracts ./src/test/2026-04/giddyvaultv3_compound_auth_exp.sol -vvv --evm-version cancun

Contrato

giddyvaultv3_compound_auth_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2047334517535642024

20260421 KipseliPropAMM - Precificação / Incompatibilidade de Decimais

Perda: 0.93 cbBTC```sh

forge test --contracts ./src/test/2026-04/KipseliPropAMM_exp.sol -vvv --evm-version cancun

#### Contrato
[KipseliPropAMM_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/KipseliPropAMM_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2046873857571934254

---

### 20260420 JuiceboxREVLoans - Bypass na validação de origem de empréstimo de terminal falso

### Perdido: 21.77 ETH```sh
forge test --contracts ./src/test/2026-04/JuiceboxREVLoans_exp.sol -vvv

Contrato

JuiceboxREVLoans_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2046862935650345139

20260420 ThetanutsVaultShareRounding - Manipulação de Arredondamento de Cotas do Vault

Perdido: 0.15 WBTC```sh

forge test --contracts ./src/test/2026-04/ThetanutsVaultShareRounding_exp.sol -vvv

#### Contrato
[ThetanutsVaultShareRounding_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/ThetanutsVaultShareRounding_exp.sol)
### Referência do link

https://t.me/defimon_alerts/2933

---

### 20260419 AaveRebalancerCreditDelegation - Chamada externa arbitrária / Abuso de delegação de crédito

### Perdido: 6,999.91 WAVAX```sh
forge test --contracts ./src/test/2026-04/AaveRebalancerCreditDelegation_exp.sol -vvv

Contrato

AaveRebalancerCreditDelegation_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2046504796463808991

20260415 XLootStaking - Resgate duplicado de xLOOT

Perdido: 6.21 ETH```sh

forge test --contracts ./src/test/2026-04/XLootStaking_exp.sol -vvv

#### Contrato
[XLootStaking_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/XLootStaking_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2044709964091187660

---

### 20260414 MONA LisaVault - exploit de contabilidade de reward-farming / BurnAddress!

### Perdido  ~60.95K USDT```sh
forge test --contracts src/test/2026-04/MONA_LisaVault_exp.sol -vvv

Contrato

MONA_LisaVault_exp.sol

Referência do link

https://x.com/exvulsec/status/2043928546662592949

20260414 Saturn Protocol - Divulgação de Vulnerabilidade

Perda: 0 (Somente divulgação; nenhum exploit ocorreu)

TVL em Risco: ~$35.7M```sh forge test --contracts src/test/2026-04/SaturnProtocol_exp.sol -vvv --fork-url https://rpc.ankr.com/eth

#### Contrato

[SaturnProtocol_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/SaturnProtocol_exp.sol)

### Referência do link

https://gist.github.com/sgInnora/b70ad98327649ed4ab976a122f45e485

Nota: O fornecedor afirma que o SAT-001 (underflow) é mitigado por `_validateTotals`, e o SAT-002 (composto de tolerância) é uma observação de design de função confiável.

---

### 20260412 SubQuerySettings - Controle de acesso às configurações

### Perdido: 218.07M SQT```sh
forge test --contracts ./src/test/2026-04/SubQuerySettings_exp.sol -vvv --evm-version shanghai

Contrato

SubQuerySettings_exp.sol

Link de referência

https://t.me/defimon_alerts/2909

20260407 SquidMulticallAllowanceDrain - Chamada Arbitrária / Aprovação Incorreta

Perdido: 1 ETH```sh

forge test --contracts ./src/test/2026-04/SquidMulticallAllowanceDrain_exp.sol -vvv --evm-version shanghai

#### Contrato

[SquidMulticallAllowanceDrain_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-04/SquidMulticallAllowanceDrain_exp.sol)

### Referência do link

https://x.com/DefimonAlerts/status/2041530294369386806

---

### 20260405 PerpPair - Manipulação de AMM Virtual

### Perda: 165K USDC```sh
forge test --contracts ./src/test/2026-04/PerpPair_exp.sol -vvv --evm-version prague

Contrato

PerpPair_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2041070927908126897

20260331 WhalebitOracleManipulation - Manipulação do oráculo de preço spot da Algebra

Perda: 824K USD```sh

forge test --contracts ./src/test/2026-03/WhalebitOracleManipulation_exp.sol -vvv

#### Contrato
[WhalebitOracleManipulation_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/WhalebitOracleManipulation_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2039372077686251787

---

### 20260328 VTSwapHook - Erro de precificação no hook do UniswapV4

### Perdido: 4,507,034.03 vATH + 2,007,935.14 ATH```sh
forge test --contracts ./src/test/2026-03/VTSwapHook_exp.sol -vvv --evm-version cancun

Contrato

VTSwapHook_exp.sol

Referência do link

https://x.com/DefimonAlerts/status/2038647146098954283

20260327 EST Token - Mecanismo Incorreto de Queima de Token

Perdido: 150.2 WBNB```sh

forge test --contracts src/test/2026-03/EST_exp.sol -vvv --evm-version shanghai

#### Contrato
[EST_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/EST_exp.sol)

### Link reference
https://bscscan.com/address/0xD4524Be41cd452576aB9FF7b68a0b89aF8498a91

---

### 20260324 XocolatlLiquidator - Controle de Acesso / Validação de Entrada

### Perdido: 3.25 cbETH e 0.22 WETH```sh
forge test --contracts ./src/test/2026-03/XocolatlLiquidator_exp.sol -vvv --evm-version shanghai

Contrato

XocolatlLiquidator_exp.sol

Referência do link

https://t.me/defimon_alerts/2834

20260324 Univ3CollateralToken - Erro de lógica

Perda: 57K USD```sh

forge test --contracts ./src/test/2026-03/Univ3CollateralToken_exp.sol -vvv --evm-version shanghai

#### Contrato
[Univ3CollateralToken_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/Univ3CollateralToken_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2036449500512891317

---

### 20260323 BCE - Erro de Lógica em Token Deflacionário

### Perda: ~800.000 USDT```sh
forge test --contracts ./src/test/2026-03/bce_exp.sol -vvv --evm-version cancun

Contrato

bce_exp.sol

Referência do link

https://t.me/defimon_alerts/2814

20260319 ATMBlindBox - Aleatoriedade Fraca / RNG Previsível

Perda: 99K USD```sh

forge test --contracts ./src/test/2026-03/ATMBlindBox_exp.sol -vvv --evm-version shanghai

#### Contrato
[ATMBlindBox_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/ATMBlindBox_exp.sol)
### Referência do link

https://t.me/defimon_alerts/2808

---

### 20260319 Revamp - Dreno de Contabilidade de Recompensas

### Perda: 2.99 BNB```sh
forge test --contracts ./src/test/2026-03/Revamp_exp.sol -vvv --evm-version cancun

Contrato

Revamp_exp.sol

Referência de link

https://x.com/DefimonAlerts/status/2034532544239088053

20260316 não verificado - CheckoutPool Old BOC Ausência de Controle de Acesso

Perdido: 85,730 USDC```sh

forge test --contracts ./src/test/2026-03/unverified_1304_exp.sol -vvv --evm-version cancun

#### Contrato
[unverified_1304_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/unverified_1304_exp.sol)
### Referência de link

https://x.com/DefimonAlerts/status/2034532547191820390

---

### 20260315 Venus THE - BorrowBehalf + Donation Attack

### Perdido: 913,858.263360521396654198 CAKE + 1,972.530910582753621682 WBNB```sh
forge test --contracts src/test/2026-03/Venus_THE_exp.sol --match-test testTraceDrivenPoC -vvv

Contrato

Venus_THE_exp.sol

Referência do link

https://bscscan.com/tx/0x4f477e941c12bbf32a58dc12db7bb0cb4d31d41ff25b2457e6af3c15d7f5663f

20260315 StakeOnMe - Dreno da reserva de burn JAKE com privilégio de proprietário

Perdido: 0.28 ETH```sh

forge test --contracts ./src/test/2026-03/unverified_237d_exp.sol -vvv

#### Contrato
[unverified_237d_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/unverified_237d_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2034532549905580417

---

### 20260310 AlkemiEarn - Lógica de Negócio

### Perdido: 43.45 ETH```sh
forge test --contracts ./src/test/2026-03/AlkemiEarn_exp.sol -vvv

Contrato

AlkemiEarn_exp.sol

Referência do link

https://x.com/blockaid_/status/2031351881029546194

20260302 Curve LlamaLend - Manipulação do preço das cotas

Perda: ~240.000 US$```sh

forge test -vvv --contracts ./src/test/2026-03/Curve_LlamaLend_exp.sol

#### Contrato
[Curve_LlamaLend_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-03/Curve_LlamaLend_exp.sol)

### Referência do link
https://x.com/yieldsandmore/status/2028368378457362629

---

### 20260222 LAXO Token - Lógica de Queima Incorreta

### Perda: ~137,000 US$```sh
forge test src/test/2026-02/LAXO_Token_exp.sol -vvv

Contrato

LAXO_Token_exp.sol

Referência do link

https://x.com/CertiKAlert/status/2027317095420072317

20260216 XDKRecycle - Manipulação da reserva de reciclagem XDK

Perda: 6.84 WBNB```sh

forge test --contracts ./src/test/2026-02/XDKRecycle_exp.sol -vvv --evm-version shanghai

#### Contrato
[XDKRecycle_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-02/XDKRecycle_exp.sol)
### Referência do link

https://x.com/DefimonAlerts/status/2024163654631882916

---

### 20260215 Moonwell - Oracle defeituoso

### Perda: 1.78M USD```sh
forge test --contracts ./src/test/2026-02/Moonwell_exp.sol -vvv

Contrato

Moonwell_exp.sol

Referência de links

https://forum.moonwell.fi/t/mip-x43-cbeth-oracle-incident-summary/2068

https://forum.moonwell.fi/t/recovery-plan-cbeth-incident-and-moonwell-apollo-onboarding/2084

https://x.com/pashov/status/2023872510077616223

https://x.com/moo9000/status/2024040101982990534

20260120 SynapLogic - Falha de Lógica de Negócios

AVISO: SynapLogic é totalmente um contrato fraudulento, com backdoors, vulnerabilidades e rug pulls.

Perdidos: 27.6 ETH & 3450 USDC```sh

forge test -vvv --contracts ./src/test/2026-01/SynapLogic_exp.sol

#### Contrato
[SynapLogic_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-01/SynapLogic_exp.sol)

### Referência de links
https://x.com/TenArmorAlert/status/2013432861366292520?s=20

https://x.com/hklst4r/status/2013440353844461979?s=20

https://x.com/CertiKAlert/status/2013440963851755610?s=20

https://x.com/nn0b0dyyy/status/2013445844394279260?s=20

### 20260120 Makina - Manipulação de Oráculo de Preço

### Perda: 5,1M USD```sh
forge test -vvv --contracts ./src/test/2026-01/makina_exp.sol --evm-version cancun
# MUST use evm >= cancun

Contrato

makina_exp.sol

Referência de link

https://x.com/nn0b0dyyy/status/2013472538832314630

https://x.com/TenArmorAlert/status/2013460083078836342

https://x.com/CertiKAlert/status/2013473512116363734

20260112 MTToken - Lógica de Taxa Incorreta

Perda: 37K USD```sh

forge test -vvv --contracts ./src/test/2026-01/MTToken_exp.sol

#### Contrato
[MTToken_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-01/MTToken_exp.sol)
### Referência de link
https://x.com/TenArmorAlert/status/2010630024274010460?s=20

https://x.com/nn0b0dyyy/status/2010638145155661942?s=20


---

### 20260110 FutureSwap - Incompatibilidade de Unidade

### Perda: 433K USD```sh
forge test -vvv --contracts ./src/test/2026-01/futureswap_exp.sol

Contrato

futureswap_exp.sol

Referência do link

https://x.com/nn0b0dyyy/status/2009922304927731717?s=20

20260109 Truebit - OverFlow

Perda: 8540ETH```sh

forge test --contracts ./src/test/2026-01/Truebit_exp.sol -vvv

#### Contrato
[Truebit_exp.sol](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2026-01/Truebit_exp.sol)
### Referência do link

https://www.certik.com/zh-CN/resources/blog/truebit-incident-analysis

---

### 20260101 PRXVT - Falha de Lógica de Negócio

### Perda: 32.8 ETH```sh
forge test --contracts ./src/test/2026-01/PRXVT_exp.sol -vvv --block-gas-limit 60000000 # use gas limit control iterations

Contrato

PRXVT_exp.sol

Referência do link

https://x.com/CertiKAlert/status/2006685174587605315

Ver relatórios de gas

O Foundry também tem a capacidade de reportar o gas usado em cada chamada de função, o que imita o comportamento do hardhat-gas-reporter. De modo geral, se o custo de gas por chamada de função for muito alto, a probabilidade de sucesso é reduzida. A otimização de gas é uma atividade importante realizada por desenvolvedores de smart contracts.

Cada poc neste repositório pode produzir um relatório de gas assim:```bash forge test --gas-report --contracts -vvv

Por exemplo:
Vamos descobrir o gás usado no [Audius poc](https://github.com/sunweb3sec/defihacklabs/blob/HEAD/src/test/2022-07/Audius_exp.sol)

**Execução**```bash
forge test --gas-report --contracts ./src/test/Audius.exp.sol -vvv

Demo

Bug Reproduce

Movido para DeFiVulnLabs

FlashLoan Testing

Movido para DeFiLabs

License

Este projeto é licenciado sob a Apache License 2.0.

DeFiHackLabs

Mais Populares

DeFi Hacks Reproduce - Foundry

Índice

Começando

Academia de Cibersegurança Web3

Depuração de transações on-chain

Doe para nós

Lista de Incidentes DeFi Passados

Ferramentas de depuração de transações

Banco de dados de assinaturas Ethereum

Ferramentas úteis

Painel de HacksSlowmist | Defillama | De.Fi | Rekt | Cryptosec | BlockSec

Lista de Hacks e POCs de DeFi

20260730 UnprotectedArbBot - Forwarder de chamada arbitrária desprotegido drenado via allowance de WETH pré-concedida

Perdido: 16.623 WETH ($31.7K)```sh

Contract

20260726 LULA - Manipulação de deflação de reciclagem de recompensas via flash loan

Perdido: ~578K USDT```sh

Contrato

20260725 Projekt Reward Vault - Autonegociação de rastreamento de compras sem permissão

Perdido: ~301.7 ETH```sh

Contrato

20260719 NFT Auction Marketplace - Dupla liquidação / reembolso de delist

Perdido: ~2.2 BNB```sh

Contrato

20260716 CompoundProvider - Sweep de Allowance / Controle de Acesso Ausente

Perda: ~774,943 USDC```sh

Contrato

20260716 Perpetual Protocol - Controle de Acesso / Verificação de Permissão Ausente

Perdido: ~3,062 USDC```sh

Contrato

20260712 Sodium - Bypass de Validação de Chave de Sessão ERC-4337

Perda: 11.76 ETH ($21,200)```sh

Contrato

Referência do link

20260701 edel-xstock - Manipulação de Oráculo de Preço

Perdido: 204,215.57 USDC```sh

Contrato

Referência do link

20260628 AIDC - Falha de lógica de negócio

Perda: 220.13 WBNB```sh

Contrato

Referência do link

20260625 LixirPermitDrain - Verificação de Assinatura Quebrada

Perdido: 2.60 ETH, 4,477.72 USDC, 3,609.95 USDT, 24,182.56 LIX```sh

Contrato

Referência do link

20260624 DLMC - Manipulação de livePrice derivado de reserva

Perdido: 222,560.22 USDT```sh

Contrato

Referência do link

20260622 Aztec Escape Hatch - Bypass de Contabilidade proof_id (reprodução whitehat)

Perda: N/A (puramente educacional; o impacto no pior caso teria sido de ~$2M, correspondendo à vulnerabilidade separada que de fato drenou os contratos)```sh

Contrato

Referência do link

20260620 OLPC - Manipulação de reserva do par OLPC

Perda: 1,115,903.66 USDT```sh

Contrato

Referência do link

20260617 Aztec V1 - escapeHatch Proof-Forgery (saída permissionless do RollupProcessor)

Perdido: ~$2.2M (1158 ETH + 150,000 DAI + 0.4696 renBTC)```sh

Contrato

Referência do link

20260617 LBP - LBP balanceOf contabilização de recompensas

Perdido: 610.56 BNB```sh

Contrato

Referência do link

20260615 Thetanuts - Falha de contabilização de participação de componentes do vault de índice

Perdido: 105471.50 USDC```sh

Contrato

Referência do link

20260609 TOPBPool - Mint de token controlado por governança e dreno de pool do Balancer

Perdido: 944.20 WETH```sh

Contrato

Referência do link

20260607 AmbientCrocSwapDex - Falha de contabilização de excedente nativo

Perdido: 67.85 ETH```sh

Contrato

Referência do link