CoinDesk
Os maiores hacks da criptomoeda já não vêm de bugs em smart contracts — vêm de vetores operacionais e humanos que as auditorias tradicionais de código nunca foram concebidas para detetar, segundo uma nova investigação da Oak Security. Desde 2022, agentes maliciosos, sobretudo o Lazarus Group da Coreia do Norte, roubaram mais de 2,2 mil milhões de $ em toda a indústria, mesmo quando o número de auditorias de código realizadas quase triplicou. As perdas e a contagem de incidentes não diminuíram de forma significativa na mesma janela, porque a maioria dos ataques bem-sucedidos visa agora as pessoas e os processos à volta do código, e não o código em si.
Os maiores exploits têm agora origem em chaves privadas comprometidas, manipulação de governança, compromissos internos, atualizações maliciosas de dependências e falhas operacionais — não em Solidity defeituoso ou bytecode EVM. A análise da Oak Security é direta: a indústria continua a defender-se da última geração de ataques, enquanto os atacantes já mudaram de tática. Essa desconexão criou uma perigosa ilusão de segurança, à medida que as plataformas apresentam o número de auditorias que passaram ou a reputação das firmas contratadas como sinónimos de segurança, quando na realidade uma auditoria é apenas uma fotografia de uma base de código dentro de um âmbito definido, invalidada de imediato por qualquer mudança de governança, integração ou alteração operacional.
Por que razão importa
A qualidade do código melhorou de facto e as auditorias estão a fazer o que foram concebidas para fazer. O problema é estrutural: os vetores de ataque mais dispendiosos continuam comparativamente mal defendidos, porque ficam fora do âmbito da auditoria. O hack da KelpDAO foi um lembrete recente de que os utilizadores não distinguem entre um bug de smart contract e um ponto de falha centralizado off-chain — apenas veem mais um protocolo supostamente seguro a perder milhões de um dia para o outro. Esse padrão ameaça diretamente qualquer caminho credível para a adoção em massa, porque nenhum investidor racional coloca capital em jogo à procura de yield contra uma narrativa de falhas repetidas e de grande impacto mediático.
Impacto no mercado
A implicação é que a defesa em profundidade já não é opcional.
Perguntas frequentes
-
Quais são hoje as maiores causas dos exploits em cripto?
Segundo a Oak Security, as maiores perdas advêm agora de chaves privadas comprometidas, manipulação de governança, compromissos internos, atualizações maliciosas de dependências e falhas operacionais — e não de bugs no código de smart contracts.
-
Quanto é que os hackers ligados à Coreia do Norte roubaram em cripto desde 2022?
Mais de 2,2 mil milhões de $ foram roubados por agentes maliciosos — sobretudo o Lazarus Group da Coreia do Norte — desde 2022, mesmo quando o número de auditorias de código em toda a indústria quase triplicou.
-
Porque é que mais auditorias de código não estão a reduzir os hacks em cripto?
A investigação da Oak Security identifica um desfasamento claro: as auditorias visam a base de código, mas os atacantes migraram para vetores humanos e operacionais, fora do âmbito da auditoria. O resultado são mais auditorias sem uma descida significativa das perdas ou dos incidentes.
-
O que foi o hack da KelpDAO e por que razão importa?
O hack da KelpDAO é citado como exemplo recente de um protocolo que perdeu milhões devido a uma falha off-chain ou operacional, e não a um bug de smart contract. Ilustra que os utilizadores não distinguem entre falhas de código e pontos de falha centralizados — apenas veem mais um protocolo supostamente seguro a…
-
O que é a defesa em profundidade na segurança em cripto?
Defesa em profundidade significa combinar uma revisão de código sólida com segurança operacional reforçada: gestão de chaves, descentralização de signatários, restrições de governança, deteção de anomalias, monitorização em tempo real e circuit breakers que dificultam ataques de vetor humano.
CryptoSlate
TheBlock
Crypto Rank News
WuBlockchain
Lookonchain