Uma única assinatura maliciosa bastou para drenar 316.000 USDC de uma carteira de utilizador, segundo a Web3 Antivirus, o serviço de análise de contratos que assinalou o caso. O incidente é o mais recente numa sucessão constante de exploits de drainers de carteira que não exigem a quebra de qualquer código de smart contract — basta que o utilizador assine a transação errada.
Por que importa
A classe de drainers continua a ter sucesso porque o modo de falha é humano, não ao nível do protocolo. Um permit ou setApprovalForAll assinado pode conferir a um contrato malicioso direitos que o utilizador nunca leu para além do prompt da carteira, e assim que essa assinatura chega on-chain os fundos desaparecem. Nenhuma auditoria, nenhum patch de protocolo e nenhuma atualização resolve isso — só a higiene do lado do utilizador.
Impacto no mercado
A checklist prática que o canal divulgou é a mesma que se aplica há dois anos: analisar o contrato, verificar o URL, ler a aprovação antes de assinar, revogar permissões desatualizadas em ferramentas como revoke.cash e manter a maior parte das holdings numa carteira hardware ou cold wallet isolada do endereço dApp que faz os cliques. Nada disto é novidade. O valor de 316.000 USDC é o lembrete de que o básico continua a ser onde se perde mais.
Perguntas frequentes
-
O que aconteceu no drain de 316.000 USDC de uma carteira?
Uma única assinatura maliciosa bastou para drenar 316.000 USDC de uma carteira de utilizador, segundo a Web3 Antivirus. O caso é o mais recente numa série de exploits de drainers que não exigem qualquer bug ao nível do protocolo — apenas que um utilizador assine a transação errada.
-
Como funcionam, na prática, os exploits de drainers de carteira?
Os kits de drainer enganam os utilizadores para que assinem mensagens de permit ou setApprovalForAll que concedem a um contrato malicioso direitos sobre a carteira. Assim que a assinatura fica on-chain, os fundos podem ser movidos. A vulnerabilidade é humana, não ao nível do código.
-
Pode uma auditoria ou atualização de protocolo prevenir perdas por drainer?
Não. Os exploits de drainer não dependem de bugs nos contratos, pelo que auditorias, patches e atualizações de protocolo não os resolvem. As únicas mitigações eficazes são do lado do utilizador: analisar contratos, verificar links, ler aprovações e revogar permissões desatualizadas.
-
Qual é a checklist básica de segurança de carteira que a Web3 Antivirus recomenda?
Analisar o contrato antes de interagir, verificar o URL, ler o pedido de aprovação antes de assinar, revogar permissões antigas regularmente através de uma ferramenta como revoke.cash e manter a maior parte das holdings numa carteira hardware ou cold wallet isolada do endereço dApp.
-
Por que é que os exploits de drainer continuam a ter sucesso?
Porque o modo de falha é humano e não ao nível do protocolo. Os kits de drainer são baratos, fáceis de copiar e basta que um utilizador assine uma vez. Até que os hábitos de assinatura mudem, é na checklist básica de higiene que se continua a evitar a maior parte das perdas.
CryptoSlate
TheBlock
CoinDesk
Lookonchain
WuBlockchain