Hackers roubaram US$ 1.4 bilhão este ano usando pontes criptográficas

Os investidores em criptomoedas foram duramente atingidos este ano por hacks e golpes. Uma razão é que os cibercriminosos encontraram um caminho particularmente útil para alcançá-los: pontes.

As pontes Blockchain, que conectam redes de forma tênue para permitir trocas rápidas de tokens, estão ganhando popularidade como uma maneira de os usuários de criptomoedas realizarem transações. Mas, ao usá-los, os entusiastas de criptografia estão ignorando uma troca centralizada e usando um sistema amplamente desprotegido.

Um total de cerca de US$ 1.4 bilhão foi perdido em violações nessas pontes de cadeia cruzada desde o início do ano, de acordo com dados da empresa de análise de blockchain Chainalysis. O maior evento individual foi o recorde de US$ 615 milhões roubado da Ronin, uma ponte que suporta o popular jogo de token não fungível Axie Infinity, que permite aos usuários ganhar dinheiro enquanto jogam.

Houve também o US$ 320 milhões roubados de Wormhole, uma ponte criptográfica apoiada pela empresa de negociação de alta frequência de Wall Street Jump Trading. Em junho, a ponte Horizon da Harmony sofreu um ataque de US$ 100 milhões. E na semana passada, quase US$ 200 milhões foram apreendidos por hackers em uma violação visando o Nomad.

“As pontes de blockchain se tornaram o fruto mais fácil para os cibercriminosos, com bilhões de dólares em ativos criptográficos bloqueados dentro delas”, disse Tom Robinson, cofundador e cientista-chefe da empresa de análise de blockchain Elliptic, em uma entrevista. “Essas pontes foram violadas por hackers de várias maneiras, sugerindo que seu nível de segurança não acompanhou o valor dos ativos que eles possuem.”

As explorações da ponte estão ocorrendo em uma taxa impressionante, considerando que é um fenômeno tão novo. De acordo com dados da Chainalysis, o valor roubado em assaltos a pontes representa 69% dos fundos roubados em hacks relacionados a criptomoedas até agora em 2022.

Uma ponte é um software que permite que alguém envie tokens de uma rede blockchain e os receba em uma cadeia separada. Blockchains são os sistemas de contabilidade distribuídos que sustentam várias criptomoedas.

Ao trocar um token de uma cadeia para outra - como ao enviar alguns éter do ethereum para a rede solana — um investidor deposita os tokens em um contrato inteligente, um pedaço de código no blockchain que permite que os acordos sejam executados automaticamente sem intervenção humana.

Essa criptografia é então “cunhada” em um novo blockchain na forma de um token encapsulado, que representa uma reivindicação sobre as moedas ether originais. O token pode então ser negociado em uma nova rede. Isso pode ser útil para investidores que usam o Ethereum, que se tornou notório por picos repentinos nas taxas e tempos de espera mais longos quando a rede está ocupada.

“Eles geralmente detêm enormes quantias de dinheiro”, disse Adrian Hetman, líder de tecnologia da empresa de segurança cripto Immunefi. “Essas quantias de dinheiro e a quantidade de tráfego que passa pelas pontes são um ponto de ataque muito atraente.”

A vulnerabilidade das pontes pode ser atribuída em parte à engenharia descuidada.

O hack na ponte Horizon da Harmony, por exemplo, foi possível devido ao número limitado de validadores necessários para aprovar transações. Os hackers só precisaram comprometer duas de um total de cinco contas para obter as senhas necessárias para sacar fundos.

Uma situação semelhante ocorreu com Ronin. Os hackers só precisavam convencer cinco dos nove validadores na rede a entregar suas chaves privadas para obter acesso à criptografia bloqueada dentro do sistema.

No caso do Nomad, a ponte era muito mais simples para os hackers manipularem. Os invasores conseguiram inserir qualquer valor no sistema e, em seguida, retirar fundos, mesmo que não houvesse ativos suficientes depositados na ponte. Eles não precisavam de nenhuma habilidade de programação, e suas façanhas levaram os imitadores a se acumularem, levando ao oitavo maior roubo de criptografia de todos os tempos, de acordo com a Elliptic.

Nômade é oferecendo hackers uma recompensa de até 10% para recuperar os fundos do usuário e diz que se absterá de entrar com ação legal contra qualquer hacker que devolva 90% dos ativos que levaram.

A Nomad disse à CNBC que está “comprometida em manter sua comunidade atualizada à medida que aprende mais” e “agradece todos aqueles que agiram rapidamente para proteger os fundos”.

As pontes são uma ferramenta essencial no setor de finanças descentralizadas (DeFi), que é a alternativa das criptomoedas ao sistema bancário.

Com o DeFi, em vez de jogadores centralizados dando as ordens, as trocas de dinheiro são gerenciadas por um código programável chamado contrato inteligente. Este contrato é escrito em uma blockchain pública, como ethereum or Solana, e é executado quando certas condições são atendidas, negando a necessidade de um intermediário central. 

“Não podemos simplesmente transferir esses ativos”, disse Hetman. “É por isso que precisamos de pontes de blockchain.”

À medida que o espaço DeFi continua a evoluir, os desenvolvedores precisarão tornar as blockchains interoperáveis ​​para garantir que ativos e dados possam fluir sem problemas entre as redes.

“Sem eles, os ativos ficam bloqueados em cadeias nativas”, disse Auston Bunsen, cofundador da QuikNode, que fornece infraestrutura de blockchain para desenvolvedores e empresas.

Mas eles são arriscados.

“Eles são efetivamente desgovernados”, disse David Carlisle, chefe de assuntos regulatórios da Elliptic. Eles são “muito vulneráveis ​​a hacks ou a serem usados ​​em crimes como lavagem de dinheiro”.

Criminosos transferiram pelo menos US$ 540 milhões em ganhos ilícitos através de uma ponte chamada RenBridge desde 2020, de acordo com nova pesquisa que a Elliptic forneceu à CNBC.

“Uma grande questão é se as pontes ficarão sujeitas à regulamentação, já que agem muito como as exchanges de criptomoedas, que já são regulamentadas”, disse Carlisle.

Esta semana, o Escritório de Controle de Ativos Estrangeiros do Departamento do Tesouro dos EUA, ou OFAC, anunciou sanções contra Tornado Cash, um popular misturador de criptomoedas, que proíbe os americanos de usar o serviço. Mixers são ferramentas que combinam os tokens de um usuário com um pool de outros fundos para ocultar as identidades de indivíduos e entidades envolvidas.

Carlisle disse que está ficando evidente que “os reguladores dos EUA estão preparados para ir atrás de serviços DeFi que facilitam atividades ilícitas”.

ASSISTIR: Adrian Hetman, da Immunefi, explica como hackers roubaram US$ 200 milhões