Ataque à ponte Horizon em junho de 2022: Harmony anuncia perda de cerca de US$ 100 milhões

A Harmony, plataforma de blockchain voltada ao desenvolvimento e uso de aplicativos descentralizados, anunciou o roubo de aproximadamente US$ 100 milhões em criptoativos em um ataque à ponte Horizon em 23 de junho de 2022. A cifra era o valor estimado em dólares dos ativos roubados, não o equivalente a 1.148,63 ETH. Este artigo trata das notícias iniciais de 24 de junho.

Harmony inicia investigação

Logo após o incidente, a Harmony notificou as autoridades competentes e divulgou o ataque. A equipe afirmou ter iniciado uma investigação com órgãos de segurança e especialistas em perícia digital para identificar o responsável e, se possível, recuperar os recursos roubados.

https://twitter.com/harmonyprotocol/status/1540110924400324608

Após o primeiro anúncio, a Harmony publicou o endereço Ethereum iniciado por 0x que a equipe identificou como utilizado no ataque. O endereço também foi compartilhado na comunicação seguinte.

https://twitter.com/harmonyprotocol/status/1540110926937894913

A notícia original registrava nesse endereço um saldo de 85.867,25322706327167346 ETH. Era uma observação daquele momento inicial, não o saldo atual nem o valor total do prejuízo.

A Harmony declarou que a ponte BTC, operada separadamente e projetada para reduzir a necessidade de confiar em intermediários, não havia sido afetada pelo incidente. Segundo a equipe, os ativos naquela ponte e nos cofres descentralizados permaneciam intactos naquele momento. A declaração não era uma garantia geral de segurança de todos os ativos das pontes.

A equipe também avisou as exchanges e suspendeu temporariamente a Horizon para impedir novas transferências. A investigação continuava, sem causa exata ou data de reabertura confirmadas. O projeto afirmou: “Toda a equipe está mobilizada enquanto a investigação prossegue”.

A Harmony prometeu continuar informando a comunidade sobre novas descobertas da investigação.

Preocupações com a segurança das pontes voltam ao debate

O incidente voltou a destacar preocupações anteriores da comunidade sobre a estrutura de assinaturas. A configuração multisig de duas de quatro exigia a aprovação de duas das quatro chaves de assinatura, não dois de quatro sistemas multisig distintos. Ape Dev, fundador do fundo de capital de risco da Chainstride Capital voltado a criptoativos, havia alertado no início de abril de 2022 que o pequeno número de signatários necessários poderia deixar a ponte vulnerável. A preocupação não comprovava o método exato da invasão nessa fase inicial da investigação.

https://twitter.com/_apedev/status/1510007665400950791

Vitalik Buterin, da Ethereum, também havia discutido em janeiro de 2022 os riscos de segurança das pontes entre blockchains e a possibilidade de propagação de riscos para outras redes. Era uma preocupação geral com o desenho das pontes, não um diagnóstico de que todas sofriam ataques da mesma forma nem uma confirmação da causa deste incidente.

https://twitter.com/VitalikButerin/status/1479501366192132099

Entre os tokens apontados como roubados nas notícias iniciais estavam Frax (FRAX), Wrapped Ether (WETH), Sushi (SUSHI), Aave (AAVE), Binance USD (BUSD), Frax Share (FXS), Dai (DAI), AAG (AAG), Wrapped Bitcoin (WBTC), USD Coin (USDC) e Tether (USDT).

O texto original relatava onze transações entre 7h08 e 7h26, no horário da costa leste dos Estados Unidos. O intervalo e a contagem pertenciam à cobertura inicial, não a uma análise definitiva de todos os movimentos dos recursos. Segundo a notícia, os tokens foram enviados a diferentes carteiras, trocados por ETH na exchange descentralizada Uniswap, baseada em Ethereum, e depois reunidos no endereço do atacante.

A Horizon permitia transferir ativos entre Harmony, Ethereum e Binance Smart Chain. A ponte Bitcoin era um sistema separado e deve ser distinguida da Horizon ao descrever o incidente. A Harmony era a operadora da Horizon.

Para saber mais, consulte nosso guia de investimentos em Harmony.