Setembro registra o pior balanço do ano para hacks de cripto

As piratagens crypto desencadearam mais de 766 milhões de dólares em perdas durante o mês de setembro, segundo as primeiras estimativas da PeckShield e Certik. Este é o balanço mais pesado do ano. No entanto, foi revisado para 772,4 milhões de dólares pela Certik, com Bitget e Liquid Network tendo sofrido a maior parte dos danos.

Dois piratagens crypto concentram 92 % das perdas

Cinquenta e cinco incidentes principais foram registrados pela PeckShield para um montante inicial de 766,49 milhões de dólares. A CertiK, cuja metodologia reúne mais eventos, contava cerca de uma centena e estimava as perdas em quase 768 milhões de dólares.

Agora, este total é de 772,4 milhões de dólares no painel da CertiK. Esta revisão explica a dificuldade de estabelecer diretamente um balanço definitivo, principalmente quando novos endereços ou vítimas são identificados. Os números essenciais permitem medir a concentração das perdas :

• Bitget representa 387,5 milhões de dólares em fundos afetados ;
• Liquid Network totaliza 318,7 milhões de dólares ;
• Estes dois incidentes concentram cerca de 92 % do balanço inicial ;
• Os 53 outros ataques monitorados pela PeckShield representam cerca de 59 milhões de dólares ;
• A CertiK classifica 739,5 milhões de dólares entre perdas relacionadas a exploits.

As perdas de setembro permaneceriam então inferiores à metade dos 136,3 milhões de dólares registrados pela PeckShield em agosto, sem o balanço da Bitget e Liquid Network. Este recorde mensal não indica uma explosão uniforme dos ataques.

O piratagem da Bitget custa quase 388 milhões de dólares

Bitget detectou transferências não autorizadas em 24 de setembro. O incidente afetou várias carteiras na Ethereum, outras redes compatíveis com EVM, XRP Ledger, Zcash e Tron.

A exchange inicialmente avaliou os fundos envolvidos em 351,6 milhões de dólares. Depois, elevou esta estimativa para 387,5 milhões após integrar novas transações. Suas carteiras frias e chaves privadas não teriam sido comprometidas.

Segundo a Bitget, os hackers exploraram uma falha em um produto de segurança de terceiros para obter credenciais de acesso internas. Eles teriam então falsificado ordens de saque para escapar dos controles do sistema.

A plataforma afirma que seu fundo de proteção, dotado de mais de 464 milhões de dólares, cobrirá completamente as perdas. “Não fugiremos desta situação, e cada dólar será contabilizado”, declarou a diretora geral Gracy Chen. Esta cobertura permanece no entanto um compromisso da empresa, cuja execução deverá ser acompanhada.

Liquid revela uma falha no coração do protocolo Bitcoin

O incidente da Liquid Network ocorreu em 6 de setembro. Uma vulnerabilidade no Elements, o software no qual esta sidechain do Bitcoin se baseia, permitiu criar cerca de 3.998,5 L-BTC sem bitcoins correspondentes como garantia.

A falha tinha a ver com o sistema encarregado de verificar as transações cripto confidenciais. Assim, o hacker preparou várias operações para enganar o cache de validação, e então usou uma transação maliciosa para emitir L-BTC não autorizados. Os ativos foram depois convertidos em bitcoins nativos pelo mecanismo de saída da rede.

O valor envolvido atingia cerca de 318,7 milhões de dólares no momento do ataque. O autor se apresentou como um pesquisador de segurança e prometeu devolver os fundos após a correção dos nós. Esta classificação de “white hat” contudo gerou dúvidas, pois nenhuma auditoria autorizada previa o saque de vários milhares de bitcoins.

A PeckShield estima que cerca de 285 milhões de dólares foram finalmente devolvidos. O montante bruto do incidente permanece contabilizado nas perdas mensais, antes da dedução dos fundos recuperados.

As piratagens crypto pesam sobre todo o terceiro trimestre

Por trás da Bitget e Liquid, a CertiK registra vários incidentes mais limitados. Usuários da Safe Wallet perderam cerca de 7,8 milhões de dólares. D’CENT e Duelbits sofreram cerca de 6 milhões de dólares cada um, enquanto a NEAR Intents relatou uma perda próxima a 3,9 milhões.

O terceiro trimestre totaliza assim 1,27 bilhão de dólares em perdas, contra 819,4 milhões no trimestre anterior. O aumento atinge 54,4%. Após considerar as somas congeladas ou devolvidas, a CertiK reduz as perdas ajustadas do trimestre para cerca de 869,6 milhões de dólares.

Os exploits técnicos representam 95,7% dos danos de setembro. As comprometimentos de chaves privadas, carteiras e campanhas de phishing continuam numerosos, mas seu peso financeiro parece secundário diante dos dois principais ataques.

O balanço definitivo ainda pode evoluir com o ritmo das recuperações e das novas vítimas identificadas. Setembro mostra sobretudo que uma única falha em uma infraestrutura central pode pesar mais do que várias dezenas de ataques reunidos.