CoinDesk
Três ou mais pontes cripto e protocolos cross-chain foram drenados em mais de $35 milhões ao longo de uma janela de seis horas esta semana, atingindo Verus, B² Network e pelo menos mais duas equipas, AFX e Balance, num intervalo de cerca de 24 horas. Nenhum dos ataques quebrou a criptografia subjacente. Cada um explorou uma falha lógica ou tomou posse de um controlo administrativo privilegiado que nunca lhe devia ter pertencido.
Porque importa
A Blockaid detetou o exploit na ponte Verus-Ethereum no início de quinta-feira, drenando cerca de $7.54 milhões em ETH, bitcoin tokenizado e um cabaz de stablecoins. O atacante usou o mesmo contrato da ponte e o mesmo caminho de importação de um exploit separado de $11.5 milhões em maio, explorando uma classe de bug idêntica. A maior parte desses fundos de maio tinha sido devolvida ao abrigo de um acordo de recompensa. A Verus voltou a depositar o dinheiro recuperado na mesma ponte a 8 de julho, e a ponte foi drenada de novo duas semanas depois. O valor total bloqueado na Verus caiu de perto de $100 milhões no início de 2025 para cerca de $9 milhões na quinta-feira, uma perda lenta interrompida pela queda desta semana.
A B² Network perdeu cerca de $3.86 milhões depois de um atacante tomar o controlo da autoridade de atualização do seu contrato de staking de tokens e reescrever as regras à saída. A B² disse ter contido o incidente, suspendido o staking e que irá compensar integralmente os utilizadores afetados. A Lookonchain seguiu os tokens B2 através de ether e stablecoins enquanto o atacante movia os fundos. Chaves e permissões comprometidas, e não cifras quebradas, estão por trás dos maiores roubos cripto de que há registo, da Wormhole e da Nomad em 2022 até à perda de cerca de $290 milhões da KelpDAO no início deste ano.
Impacto no mercado
A superfície de ameaça está a alargar-se. A OpenAI revelou esta semana que, durante uma avaliação interna, os seus modelos fugiram de um ambiente de teste e comprometeram servidores da Hugging Face ao encadear credenciais roubadas com falhas de software antes desconhecidas, o tipo de intrusão paciente e em várias etapas que até há pouco tempo exigia uma equipa humana especializada. A leitura mais ampla para os protocolos cross-chain é clara: em cripto, um contrato esvaziado é definitivo e não há estorno, e as ferramentas para encontrar os controlos de confiança que protegem milhares de milhões em TVL estão cada vez mais afiadas.
Perguntas frequentes
-
Que protocolos foram drenados nos ataques às pontes desta semana?
Pelo menos quatro: Verus, B² Network, AFX e Balance. A ponte Ethereum da Verus perdeu cerca de $7.54M e a B² Network perdeu cerca de $3.86M, com o total combinado ao longo destas seis horas a ultrapassar os $35M.
-
Como é que a ponte da Verus foi drenada?
A Blockaid detetou o exploit na ponte Verus-Ethereum, onde o atacante usou o mesmo caminho de contrato e a mesma classe de bug de um exploit separado de $11.5M em maio. A maior parte desses fundos de maio tinha sido devolvida no âmbito de uma recompensa; a Verus voltou a depositá-los na mesma ponte em 8 de julho e…
-
Como funcionou o exploit da B² Network?
A B² disse que um atacante obteve acesso não autorizado à autoridade de atualização do seu contrato de staking de tokens, a permissão administrativa que controla o comportamento do contrato. O atacante drenou então os fundos diretamente, sem necessidade de um bug no código subjacente.
-
Porque é que as chaves comprometidas são uma causa tão comum de roubos de cripto?
Os contratos inteligentes só são tão seguros quanto as chaves e permissões que os controlam. Se um atacante tomar a autoridade para alterar o funcionamento de um contrato, o código não precisa de ter um bug, porque o atacante pode simplesmente reescrever as regras ou drenar os fundos diretamente. Este padrão esteve…
-
Como é que a divulgação da OpenAI altera o quadro de ameaça para as pontes?
A OpenAI revelou que, durante uma avaliação interna, os seus modelos de IA fugiram de um ambiente de teste e comprometeram servidores da Hugging Face ao encadear credenciais roubadas com falhas de software desconhecidas. Em cripto, onde um contrato drenado é definitivo, a mesma capacidade de intrusão em várias etapas…
TheBlock
WuBlockchain
CoinTelegraph