Cripto: ataque de US$ 20 milhões esvazia 6.678 wallets D’CENT

Um ataque contra os usuários da Carteira D’CENT App permitiu desviar 11,746 milhões de XRP, quase 20 milhões de dólares. Entre 15 e 20 de setembro, 6.678 carteiras foram afetadas em seis ondas. Mais de 5,59 milhões de XRP já saíram da rede via THORChain. O caso não vem de uma falha do XRP Ledger: as transações cripto foram assinadas com chaves privadas que o atacante controlava. D’CENT ainda investiga como essas chaves foram comprometidas.

Seis ondas esvaziaram 6.678 carteiras D’CENT

O ataque começou em 15 de setembro com oito grandes carteiras. Cada uma continha pelo menos 99.999 XRP. O operador iniciou manualmente e retirou mais de 1,6 milhão de XRP antes mesmo do lançamento do script usado para o restante da operação. Algumas horas depois, 1.682 carteiras já haviam sido afetadas.

Esse tipo de comprometimento vem ocupando espaço crescente nas perdas do setor. A Cointribune notou neste verão que os roubos de chaves privadas, phishing e os comprometimentos de carteiras agora são responsáveis por uma parte significativa dos hacks de criptomoedas.

Após um dia calmo em 16 de setembro, os saques recomeçaram. Cinco novas ondas se sucederam até 20 de setembro. No total, a análise on-chain do XRPL.to contabilizou 4.208 carteiras esvaziadas por transferência. Além disso, 2.470 contas que não tinham sido atingidas anteriormente foram diretamente excluídas com os saldos que continham.

Os atacantes usaram as chaves uma segunda vez para excluir 5.001 contas XRP e recuperar seus saldos restantes. Em um caso, uma carteira ainda ativa desde 2022 continha mais de 107.000 XRP no momento da exclusão.

Portanto, o ataque cripto parece ter sido preparado com uma lista já constituída. XRPL.to observa até que as maiores carteiras foram tratadas manualmente, enquanto as outras eram processadas por diversos scripts.

Mais de 5,5 milhões de XRP já saíram da rede

Os fundos não demoraram a sair. 5.594.530 XRP foram enviados para THORChain e depois trocados por Ethereum. Cerca de 3,24 milhões de XRP também passaram por unionchain.ai, 546.080 XRP por NEAR Intents e 535.666 XRP para endereços de depósito Binance. Esses serviços não estão acusados de participar do roubo: eles simplesmente aparecem no rastro on-chain dos fundos. 

Em 21 de setembro, cerca de 1,308 milhão de XRP ainda estava nas carteiras atribuídas ao operador.

Para um ataque cripto, essa dispersão rápida é um problema bastante comum. Quanto mais os fundos passam por swaps, pontes ou diversas plataformas, mais dificulta seu congelamento. A D’CENT diz estar trabalhando com as autoridades sul-coreanas, especialistas em segurança, equipes das blockchains envolvidas e exchanges para acompanhar os ativos e tentar bloquear parte deles. A empresa, contudo, não promete a recuperação.

Não é a primeira vez que carteiras cripto são esvaziadas em série neste ano. Desde janeiro, centenas de carteiras EVM foram afetadas em outra operação, com valores muito menores por vítima.

No caso D’CENT, a escala é diferente: quase 20 milhões de dólares em XRP em menos de uma semana. Porém, o XRP Ledger em si não foi comprometido. Cada movimentação aparece como uma transação comum, assinada validamente. A blockchain pode mostrar quando as chaves foram usadas e para onde os fundos foram enviados. Ela não pode explicar como essas chaves chegaram às mãos do atacante.

As chaves privadas trazem a segurança cripto ao primeiro plano

A D’CENT faz uma distinção importante entre seus dois produtos. A carteira de hardware cria e mantém as chaves em um dispositivo físico. O aplicativo móvel serve principalmente para exibir endereços e saldos. A frase de recuperação não é copiada automaticamente para o telefone. Ao contrário, a App Wallet é uma carteira de software: as chaves são criadas ou importadas diretamente no smartphone. É esse segundo modo que a D’CENT associou às transferências anormais.

Existe, no entanto, uma exceção. Uma carteira de hardware pode estar envolvida se o usuário já tiver inserido sua frase de recuperação na App Wallet. A D’CENT recomenda então considerar essa frase como potencialmente exposta.

A empresa pede aos usuários afetados para atualizarem o aplicativo, criarem uma nova frase de recuperação e transferirem seus ativos cripto para novos endereços. Restaurar simplesmente a antiga seed em um novo dispositivo não altera as chaves e, portanto, não resolve o problema.

A causa técnica exata ainda é desconhecida publicamente. A D’CENT continua sua análise e ainda não anunciou nenhuma conclusão sobre um possível reembolso.

O incidente soma-se a uma série de casos onde a chave privada, em vez do contrato inteligente, se torna o ponto de entrada. Em junho, o hack do Humanity Protocol já havia trazido esse risco ao centro das notícias cripto após perdas superiores a 32 milhões de dólares. Humanity Protocol caiu mais de 80% após um hack de 32 milhões de dólares Para a D’CENT, os números já são altos: 6.678 carteiras, 11,746 milhões de XRP e seis dias de atividade. A investigação ainda precisa responder à pergunta mais importante: como uma mesma lista de chaves privadas pôde acabar nas mãos do atacante?