Bybit Perdeu $1.46B num Ataque que Auditorias Nunca Cobriram

A transferência de carteira fria para quente da Bybit em 21 de fevereiro parecia rotineira nas telas dos signatários autorizados: o endereço de destino correspondia ao que esperavam. Por trás disso, a transação deu ao atacante controle da carteira. A exchange posteriormente avaliou a perda em $1.46 bilhões, o FBI atribuiu ao Norte da Coreia, e o CryptoSlate relatou que aproximadamente 401,347 ETH, além de várias posições de Ethereum em staking, foram drenados. A Safe afirmou que uma máquina de desenvolvedor comprometida moldou a proposta maliciosa; seus contratos inteligentes e front end nunca foram a vulnerabilidade.

Por que isso importa

O incidente é a demonstração mais clara até agora de que um selo de 'auditoria' nunca cobriu a camada onde as maiores perdas realmente se originam. Um preprint da Oak Security por Stefan Beyer comparou 23,818 descobertas de auditoria pública de 22 empresas com 218 incidentes catalogados pelo rekt.news entre janeiro de 2022 e março de 2026, um conjunto de dados que totaliza aproximadamente $7.764 bilhões em perdas. Defeitos de lógica e lógica de negócios representaram 14.6 por cento de todas as descobertas de auditoria, com qualidade de código em 13 por cento, validação de entrada em 10 por cento e controle de acesso em 9.8 por cento. As três principais categorias juntas representam 37.6 por cento do que os auditores encontram. Em contraste, o comprometimento de chaves privadas e phishing, que estão amplamente fora da revisão padrão de contratos, representaram 43.9 por cento do valor roubado. Adicionando ataques de dependência e governança, a parte 'vetor-humano' de Beyer chega a 49.6 por cento das perdas.

Impacto no mercado

Dos 218 incidentes, 105 envolveram um protocolo que havia sido auditado anteriormente; esses eventos representaram aproximadamente $4.3 bilhões, ou 55 por cento das perdas observadas. O número não estabelece que os auditores perderam código explorável, uma vez que as auditorias cobrem um hash de commit específico e um perímetro que frequentemente divergem da implantação em produção, configuração e controles operacionais. A Bybit sozinha contribuiu com $1.43 bilhões do total de $1.51 bilhões em phishing, cerca de 18.4 por cento de cada dólar no conjunto de dados. A prescrição do artigo, substituindo o selo de 'auditoria' por um rótulo nutricional padronizado que nomeia o commit auditado, correspondência de bytecode implantado, configuração de produção, gerenciamento de chaves e infraestrutura de front-end, dá a cada camada da pilha sua própria linha de revisão. A Bybit poderia absorver a lição sem perder usuários; a maioria dos protocolos não pode financiar um reabastecimento de $1.46 bilhões, e reconstruir reservas corrige o balanço, mas não o processo de aprovação que o esvaziou.