10 incidentes conhecidos de segurança DeFi e de pontes em 2021–2022

Estes dez incidentes históricos mostram riscos diferentes em DeFi, pontes entre blockchains e serviços de criptoativos. DeFi significa finanças descentralizadas e inclui negociação, empréstimos e liquidez. Descentralização não garante privacidade, segurança ou retorno. Nem toda empresa citada é um protocolo descentralizado.

O crescimento revelou falhas em contratos, gestão de chaves, governança e interfaces web. A seleção reúne episódios conhecidos de 2021–2022, não um ranking atual dos maiores ataques. Os valores em dólares são estimativas históricas: ativos roubados, fundos expostos e perdas definitivas são medidas distintas.

1. Ronin Network — cerca de US$ 625 milhões

A ponte Ronin foi atacada em 23 de março de 2022; a descoberta foi divulgada em 29 de março. A avaliação histórica era próxima de US$ 625 milhões. A ponte ligava Ronin ao Ethereum e era usada também para ativos de jogadores de Axie Infinity.

Axie Infinity é um jogo blockchain no qual jogadores colecionam, fazem batalhar e reproduzem criaturas digitais. Características podem afetar a raridade, mas recompensas e valor de mercado não são garantidos.

O invasor controlou as permissões de cinco dos nove validadores e assinou saques indevidos de 173.600 ETH e 25,5 milhões de USDC. A Sky Mavis posteriormente repôs os fundos dos usuários, o que difere de recuperar os ativos roubados. Em setembro de 2022, a Chainalysis informou que mais de US$ 30 milhões do roubo haviam sido apreendidos. Portanto, a afirmação de que nada havia sido recuperado era incorreta.

2. Poly Network — cerca de US$ 610 milhões

Em 10 de agosto de 2021, cerca de US$ 610 milhões foram retirados da Poly Network no Ethereum, BNB Smart Chain e Polygon. A análise técnica da SlowMist mostrou abuso de chamadas entre contratos para substituir o keeper confiável. Não se tratava de roubo de chaves privadas de validadores como na Ronin.

Durante a recuperação, um grande saldo ficou temporariamente em carteira com múltiplas assinaturas, exigindo cooperação do projeto e do invasor. A Poly Network ofereceu US$ 500 mil e falou em não processar o responsável, mas não poderia garantir imunidade perante autoridades. A alegação de que US$ 268 milhões continuavam bloqueados não descrevia o desfecho.

Em 23 de agosto, a Poly Network declarou que o controle dos ativos restantes havia sido restabelecido. A Tether também enviou cerca de 33,43 milhões de USDT congelados à carteira designada em 25 de agosto. No dia 26, o projeto anunciou a recuperação de todos os ativos afetados. Os US$ 33 milhões não estavam simplesmente desaparecidos. O invasor alegou ter agido por diversão; essa era sua própria explicação.

3. Wormhole Bridge — cerca de US$ 325 milhões

A Wormhole transmite mensagens e tokens entre blockchains. Um token wrapped representa ativos em outra rede e depende de verificação correta e cobertura suficiente.

Neste incidente de 2 de fevereiro de 2022, a verificação no lado Solana foi contornada. O invasor criou 120.000 wETH sem cobertura correspondente, não apenas 93.750. Desses, 93.750 foram resgatados em ETH no Ethereum pela ponte. A Jump Crypto forneceu 120.000 ETH para recompor as reservas; isso não foi devolução pelo invasor.

4. Nomad Bridge — cerca de US$ 186–190 milhões

Em 1º de agosto de 2022, uma alteração contratual da Nomad havia deixado uma falha de autenticação que aceitava mensagens inválidas. Os saques não exigiam depósitos correspondentes. Não era uma nova modalidade de empréstimo criada pelos invasores.

O método era fácil de copiar. A Nomad informou a participação de mais de 300 endereços e publicou dados de endereços e transações para a investigação. Endereços não equivalem necessariamente a pessoas distintas. A equipe pediu devoluções e criou uma carteira de recuperação e um programa de recompensas.

Em 17 de agosto de 2022, a Nomad declarou que mais de US$ 37 milhões, cerca de 20%, haviam retornado. O dado datado é mais preciso que a afirmação indefinida de mais de US$ 30 milhões devolvidos e todo o restante ainda desaparecido. Devoluções voluntárias acompanharam a investigação posterior.

5. Beanstalk Farms — impacto de cerca de US$ 182 milhões, US$ 77 milhões em ativos não-Bean roubados

Beanstalk é um protocolo de stablecoin baseado em crédito. Buscava sustentar o preço-alvo do Bean por incentivos a credores, não uma reserva comum de um dólar por token. Stablecoins algorítmicas têm modelos diferentes e não usam todas as mesmas reservas digitais.

Em 17 de abril de 2022, o invasor usou um empréstimo-relâmpago para obter votos suficientes e executar uma proposta maliciosa que transferia os ativos do protocolo. O impacto frequentemente citado de US$ 182 milhões não era o ganho líquido do invasor. A Beanstalk informou o roubo de aproximadamente US$ 77 milhões em ativos diferentes de Bean.

Uma transferência menor, de aproximadamente US$ 250 mil, foi enviada a um endereço de doações para a Ucrânia. Era falsa a afirmação de que o invasor reteve US$ 70 milhões e doou todo o restante dos US$ 182 milhões a refugiados. A quitação de empréstimos-relâmpago e as diferenças entre impacto bruto e ganho líquido não constituíam uma enorme doação beneficente.

6. Wintermute — cerca de US$ 160 milhões

Wintermute é uma formadora de mercado de criptoativos. Em 20 de setembro de 2022, cerca de US$ 160 milhões foram roubados de suas operações DeFi. O episódio foi associado a um endereço personalizado gerado com Profanity e a uma falha na geração de chaves. Vanity wallet não era o nome de um produto de custódia para todos os usuários.

Guardar chaves offline pode limitar a exposição a ataques online, por exemplo com separação física da rede. Porém, armazenamento a frio não resolve toda falha contratual ou autorização maliciosa de tokens. Geração segura de chaves, privilégios limitados e gestão adequada das carteiras operacionais continuam sendo essenciais.

7. Compound — distribuição incorreta de COMP, não perda líquida comprovada de US$ 150 milhões

A Compound é um protocolo de empréstimos que continuou após o incidente. Em 29 de setembro de 2021, a proposta 62 introduziu erro no cálculo das recompensas COMP. A falha, às vezes descrita como uma torneira vazando, distribuía COMP existente em excesso; não cunhava novos tokens sem limite.

Os 280.000 COMP inicialmente citados eram recompensas disponíveis no contrato Comptroller, não um pool criado por hackers. Mais COMP poderia chegar depois do Reservoir. A correção exigia propostas de governança e prazos, portanto não podia ser aplicada imediatamente.

Em 14 de outubro, a Compound informou que 163.000 COMP sacados indevidamente foram devolvidos, 130.000 permaneceram no Comptroller e cerca de 200.000 distribuídos por erro ainda estavam fora. A proposta 64 corrigiu a falha em 8 de outubro; outro ajuste era necessário para a contabilidade restante. O problema envolvia recompensas, não um roubo documentado de US$ 150 milhões dos depósitos. Os dados tampouco provam que mais da metade de um total fixo foi recuperada.

8. Vulcan Forged — cerca de US$ 140 milhões

O ataque de dezembro de 2021 à Vulcan Forged atingiu carteiras de jogadores. A plataforma oferece jogos blockchain e um mercado NFT. Usar tokens em outras aplicações não garante retornos maiores.

Segundo a Venly, servidores da Vulcan Forged foram comprometidos, e PINs e credenciais empresariais foram usados para exportar pelo menos 96 carteiras. A Venly declarou que seus próprios servidores não foram invadidos. O PYR roubado era avaliado em cerca de US$ 140 milhões. Em 13 de dezembro, a Venly informou que a Vulcan Forged havia ressarcido a maioria com recursos próprios, não que todos os prejuízos foram pagos imediatamente.

9. BadgerDAO — cerca de US$ 120 milhões

O ataque de 2 de dezembro de 2021 causou perdas estimadas à época em US$ 120 milhões, incluindo tokens ligados a Bitcoin e ETH. A lista original citava aproximadamente 2.100 BTC e 151 ETH: o valor Bitcoin representava tokens ou equivalência em bitcoin, não BTC nativo em contrato Ethereum. A BadgerDAO oferecia produtos DeFi voltados a Bitcoin; a interface web foi atacada.

Código malicioso induziu usuários a assinar permissões indesejadas sobre tokens. O relatório técnico descreveu abuso de uma chave API Cloudflare do ambiente Badger, não invasão comprovada de toda a Cloudflare. Posteriormente, o site do projeto descreveu a descontinuação de produtos vault existentes. Era uma mudança separada, não prova de que todos os contratos terminaram durante o ataque.

10. Horizon Bridge — cerca de US$ 100 milhões

O ataque à Horizon Bridge ocorreu em 23 de junho de 2022 e foi anunciado no dia 24. Cerca de US$ 100 milhões foram roubados do lado Ethereum da ponte. A Harmony limitou operações e iniciou investigação com parceiros de segurança e autoridades.

Chaves privadas comprometidas permitiram assinaturas indevidas. O limite original era dois de cinco signatários, não dois de quatro. A Harmony informou posteriormente aumento para quatro de cinco. Preocupações sobre o limite baixo já haviam sido levantadas publicamente antes do ataque. A segurança depende tanto do limite quanto da gestão independente e segura das chaves.

Lições dos incidentes

Tecnologia nova não elimina fraude e ataques. Os casos mostram problemas distintos na governança com votos obtidos por empréstimo, na lógica contratual, nas chaves e nas interfaces web. Investigação e recuperação podem ajudar, mas um ataque anterior não garante prevenção em outras plataformas ou ressarcimento às vítimas.