Um relatório da empresa de segurança blockchain Hacken mostra que investidores em projetos cripto podem estar depositando confiança excessiva em selos de auditoria que não cobrem justamente os pontos mais visados por hackers. Segundo a companhia, isso ajuda a explicar por que perdas por ataques voltaram a crescer com força no terceiro trimestre.
De acordo com o levantamento, divulgado nesta quinta-feira, hackers roubaram US$ 1,18 bilhão em 107 incidentes distintos ao longo do terceiro trimestre, um salto de 55% em relação ao trimestre anterior. Desse total, US$ 906,8 milhões decorreram de fornecedores ou ferramentas de desenvolvimento comprometidas, de correções de segurança já disponíveis publicamente mas não instaladas, ou de componentes que haviam sido deixados de fora da revisão de segurança mais recente.
Escopo limitado das auditorias
Para Andrii Matiukhin, cofundador e membro do conselho da Hacken, o problema central está na delimitação do que cada auditoria efetivamente cobre. Em entrevista ao CoinDesk, ele afirmou que mapear todos os componentes que interagem com os fundos ou influenciam a economia de um protocolo tem custo elevado, o que leva equipes a restringir a auditoria apenas às partes consideradas mais críticas do serviço.
Isso cria uma distorção de percepção: segundo a Hacken, clientes costumam assumir que um selo de auditoria significa que toda a plataforma foi verificada, quando na prática o exame pode ter se limitado a contratos inteligentes específicos. Carteiras, sistemas de assinatura e softwares de terceiros frequentemente ficam fora desse perímetro. Matiukhin resumiu o risco afirmando que o usuário vê o selo, presume que o sistema inteiro foi testado e acaba perdendo dinheiro por uma chave, um fornecedor ou uma configuração que nunca passou por verificação.
Os maiores incidentes do trimestre
O episódio de maior impacto no período foi o ataque de setembro à exchange Bitget, que perdeu ao menos US$ 352 milhões depois que invasores exploraram uma vulnerabilidade em um produto de segurança de terceiros para acessar a infraestrutura de retiradas da corretora, segundo o relatório.
Os riscos não se restringem a exchanges centralizadas. Nesta mesma semana, a fabricante de hardware wallets Ledger informou ter identificado um implante de espionagem não autorizado embutido em um dispositivo vendido pela CryptoBilis, revendedora no Sudeste Asiático, resultando em perdas de cerca de US$ 93 milhões.
Pontes entre blockchains e protocolos cross-chain também foram alvo recorrente: três delas somaram mais de US$ 35 milhões em prejuízo durante um ataque de seis horas em julho, segundo a Hacken. A AFX Trade respondeu por US$ 24 milhões desse montante, depois que atacantes assumiram o controle de suas chaves de validador. Outros episódios listados pela empresa incluem perdas de US$ 319 milhões na Liquid Network, de ao menos US$ 75 milhões na Tectonic e de aproximadamente US$ 114 milhões ligadas ao software de carteira Coldcard.
Fragilidade em arranjos de chaves
A Hacken também analisou 12 exchanges de derivativos e mercados de previsão e constatou que mais de US$ 700 milhões em ativos classificados como seguros, em duas plataformas de grande porte, dependiam de um arranjo de assinatura com quatro chaves que exige apenas três assinaturas, ou de chaves administrativas cujos responsáveis não eram publicamente identificados.
Matiukhin optou por não revelar os nomes das plataformas nem detalhar a avaliação antes da publicação do relatório. Segundo ele, a empresa não encontrou evidência de uma vulnerabilidade ativa, mas considerou alguns desses arranjos insuficientes diante da escala de recursos envolvidos. Ele afirmou que a Hacken não tem conhecimento de uma falha explorável em funcionamento nos sistemas das plataformas revisadas, mas que identificou configurações de chaves consideradas pouco seguras para o volume de ativos sob custódia.
Outro ponto citado por Matiukhin é o atraso na correção de vulnerabilidades já conhecidas, problema que se agrava quando múltiplas blockchains compartilham o mesmo software mas aplicam atualizações em ritmos diferentes. Ele explicou que, em alguns casos, uma vulnerabilidade crítica acaba classificada como de baixo risco pela própria equipe responsável, o que atrasa ou até inviabiliza a implementação da correção.
A Hacken conclui que a responsabilidade final recai sobre as empresas que custodiam fundos de clientes, que precisam monitorar vulnerabilidades e aplicar correções com agilidade, em vez de confiar em uma auditoria concluída meses ou até anos antes.
O que isso significa para o investidor
O relatório da Hacken reforça um ponto que investidores em ativos digitais tendem a subestimar: um selo de auditoria não é garantia de segurança integral de uma plataforma, e sim um indicativo de que determinado escopo — muitas vezes limitado a contratos inteligentes — foi revisado em um momento específico. Diante de arranjos de custódia, fornecedores terceirizados e sistemas de chaves que ficam fora desse perímetro, o risco operacional pode permanecer elevado mesmo em projetos que se apresentam como auditados.
Para quem aloca capital em exchanges, pontes cross-chain ou plataformas de derivativos cripto, os números do trimestre — do caso Bitget às perdas em Liquid Network, Tectonic e Coldcard — sugerem a necessidade de ir além do selo de auditoria e questionar diretamente quais componentes foram ou não cobertos, com que frequência as correções de segurança são aplicadas e como são estruturados os arranjos de assinatura múltipla que protegem os fundos.
O episódio da Ledger, envolvendo um implante físico em hardware wallet vendido por um revendedor terceirizado, amplia ainda mais o espectro de atenção: a cadeia de suprimentos de dispositivos e softwares usados para guardar ativos também se torna um vetor relevante de risco, algo que escapa inteiramente do escopo de auditorias centradas em código on-chain.
Vale acompanhar se a alta de 55% nas perdas trimestrais reportada pela Hacken se traduzirá em mudanças de prática por parte de exchanges e protocolos — como ampliação do escopo das auditorias, divulgação de responsáveis por chaves administrativas e redução do intervalo entre a descoberta e a correção de falhas conhecidas. Até lá, a mensagem da própria empresa de segurança é direta: confiar apenas no selo de auditoria, sem entender seus limites, pode deixar investidores expostos a riscos que o próprio mercado já identificou.
Agregado por AAR News · fonte: CoinDesk
Texto reescrito pela redação AAR com assistência de IA · confira a fonte · como produzimos