Uma exploração de segurança ligada a um projeto de empréstimos baseado em Cardano abalou o ecossistema ADA em um de seus momentos mais vulneráveis. A exploração do SecondFi Cardano, rastreada até uma falha no próprio software de geração de carteiras do projeto, drenou de 16 milhões a mais de 129 milhões de ADA das carteiras dos usuários — com perdas totais estimadas em mais de $20 milhões por um especialista em segurança de blockchain de renome.
Principais pontos
O software de geração de carteiras proprietário do SecondFi continha uma falha que deu acesso a atacantes a várias carteiras de usuários — o protocolo central do Cardano não esteve envolvido.
As perdas estimadas variam entre 16 milhões e mais de 129 milhões de ADA, além de tokens adicionais. Yu Xian, fundador da SlowMist, estima que os prejuízos totais ultrapassem $20 milhões.
A ADA caiu 3% após a notícia e está atualmente a ser negociada perto de mínimos de cinco anos, a $0.150237.
O fundador da Cardano, Charles Hoskinson, reconheceu a violação e alertou que alguns utilizadores podem ter perdido todas as suas ADA.
A SecondFi não anunciou qualquer plano de reembolso ou recuperação e está a realizar uma análise técnica com uma empresa independente de segurança em blockchain.
A SecondFi sofre uma grave violação de segurança
O incidente ocorreu a 24 de junho, apenas um dia após o lançamento da testnet Leios Musashi Dojo da Cardano — um momento que dificilmente poderia ter sido pior para um ecossistema que já tinha dificuldades em atrair o impulso necessário entre os programadores.
Falha no software proprietário de geração de carteiras
A violação não teve origem na própria blockchain da Cardano. Em vez disso, a equipa da SecondFi identificou como causa direta do ataque uma vulnerabilidade no software proprietário do projeto para geração de carteiras. A falha permitiu que os atacantes obtivessem acesso não autorizado aos fundos de várias carteiras de utilizadores em simultâneo.
Esta distinção é importante. O protocolo base da Cardano não foi comprometido. Tratou-se de uma falha na camada de aplicação — um lembrete de que, mesmo quando o código subjacente de uma blockchain se mantém robusto, os projetos construídos sobre ela podem introduzir as suas próprias vulnerabilidades críticas.
Posteriormente, a SecondFi realizou uma análise on-chain para identificar os endereços de carteira afetados e avaliar a dimensão total dos prejuízos.
Âmbito e dimensão do exploit
Os números revelam um cenário amplo e preocupante. As estimativas dos prejuízos variam entre 16 milhões de ADA, no limite inferior, e mais de 129 milhões de ADA, no limite superior. As carteiras comprometidas também continham tokens adicionais que não eram ADA, cujo valor total não foi divulgado.
Ao preço atual da ADA, $0.150237, a estimativa superior da SlowMist, de 129 milhões de ADA, equivale, por si só, a cerca de $19.4 milhões. Yu Xian, fundador da empresa de segurança em blockchain SlowMist e conhecido no setor pelo nome Cos, estimou as perdas totais em mais de $20 milhões, tendo em conta os tokens adicionais detidos nas carteiras.
A grande diferença entre as estimativas mínima e máxima reflete uma incerteza real. A análise on-chain poderá reduzir esse intervalo, mas, até à conclusão da análise técnica, a dimensão total dos prejuízos continuará por apurar.
Impacto no ecossistema Cardano e no mercado da ADA
O exploit atingiu um token que já estava sob forte pressão. A ADA era negociada perto de mínimos de cinco anos antes de surgir a notícia sobre a SecondFi, e a violação agravou ainda mais um cenário já difícil.
Queda do preço após as notícias sobre o exploit
A ADA caiu 3% nas 24 horas após a divulgação do exploit, fixando-se em $0.150237. Isoladamente, a queda pode parecer modesta, mas, para um token perto de mínimos de vários anos, uma pressão descendente adicional tem um impacto psicológico significativo nos detentores que viram o ativo perder valor ao longo de um período prolongado.
Charles Hoskinson já tinha proposto um plano de resgate da Cardano antes deste incidente — uma iniciativa recebida com amplo ceticismo por parte dos detentores de ADA. O exploit acrescenta agora um novo desafio à credibilidade de um ecossistema que já estava a trabalhar para recuperar a confiança.
Integridade do protocolo Cardano e preocupações dos programadores
Convém reiterar que o protocolo blockchain principal da Cardano não foi o vetor do ataque. A vulnerabilidade estava inteiramente na infraestrutura da própria SecondFi. Esta distinção é importante para avaliar o ecossistema a longo prazo, mas, na prática, poderá oferecer pouco consolo a curto prazo.
O exploit veio a público um dia após o lançamento da testnet Leios Musashi Dojo — um desenvolvimento que tinha gerado algum otimismo em relação ao roteiro técnico da Cardano. Os primeiros dados on-chain já mostravam sinais limitados de um aumento significativo da atividade. Um incidente de segurança de grande visibilidade associado a um projeto do ecossistema, independentemente de onde esteja tecnicamente a falha, pode dificultar os esforços para atrair novos programadores e liquidez para a rede num momento delicado.
Respostas e próximos passos
Até agora, a resposta da SecondFi tem-se centrado na contenção e na investigação, e não em compromissos de recuperação.
Análise técnica com uma empresa de segurança independente
O projeto está agora a colaborar com uma empresa independente de segurança em blockchain para realizar uma análise técnica completa. Essa análise tem dois objetivos principais: determinar se é possível recuperar alguma parte dos fundos perdidos e identificar que alterações estruturais devem ser feitas à infraestrutura de carteiras da SecondFi antes de as operações poderem ser retomadas em segurança.
Não foi indicado qualquer prazo para nenhum dos resultados. A SecondFi não anunciou um plano de reembolso nem qualquer forma de compensação para os utilizadores afetados. Até à conclusão da análise, não é claro qual será o caminho a seguir para os utilizadores que perderam fundos.
Declarações de Charles Hoskinson e atualizações sobre a recuperação
O fundador da Cardano, Charles Hoskinson, reconheceu publicamente o incidente, abordando-o com uma franqueza notável. Embora tenha referido que as perdas em dólares possam parecer relativamente modestas em comparação com alguns dos maiores exploits de criptomoedas registados, foi direto quanto ao impacto humano: alguns utilizadores podem ter perdido todas as suas ADA. Hoskinson descreveu esse resultado como uma realidade lamentável do setor.
Esse reconhecimento é significativo. Demonstra que a situação é conhecida ao mais alto nível da organização Cardano, mas fica aquém de qualquer compromisso de apoio sistémico. Por enquanto, o processo de recuperação continua a cargo da análise em curso da SecondFi.
O que a investigação técnica acabar por revelar terá implicações que vão muito além do futuro da SecondFi. Se a análise concluir que falhas deste tipo na infraestrutura de carteiras estão mais disseminadas entre os projetos baseados na Cardano, as consequências para a confiança no ecossistema poderão estender-se muito para além de um único exploit. Para os detentores de ADA e os programadores que ponderam envolver-se na rede, essa resposta poderá ser mais importante do que qualquer variação pontual do preço.
Perguntas frequentes
O que causou o exploit da SecondFi?
Uma falha no software proprietário da SecondFi para geração de carteiras permitiu que atacantes acedessem a várias carteiras de utilizadores. O protocolo blockchain principal da Cardano não esteve envolvido na violação.
Quantas ADA terão sido perdidas no exploit?
As estimativas das perdas variam entre 16 milhões e mais de 129 milhões de ADA, além de tokens adicionais que não são ADA. Yu Xian, fundador da SlowMist, estimou as perdas totais em mais de $20 milhões, contando todos os ativos afetados.
O protocolo blockchain principal da Cardano foi afetado pelo exploit?
Não. O protocolo base da Cardano não foi comprometido. A violação limitou-se ao software de carteiras da própria SecondFi, pelo que se tratou de uma falha na camada de aplicação, e não de uma vulnerabilidade ao nível da rede.
Que medidas está a SecondFi a tomar após a violação?
A SecondFi está a trabalhar com uma empresa independente de segurança em blockchain numa análise técnica para avaliar se é possível recuperar algum dos fundos e determinar que alterações à infraestrutura das suas carteiras são necessárias antes de retomar as operações. Não foi anunciado qualquer plano de reembolso ou recuperação.
Artigo produzido com o auxílio de inteligência artificial e revisto pela equipa editorial.