Um selo de auditoria pode ser o placebo mais caro do mundo cripto.
O relatório do terceiro trimestre divulgado esta semana pela empresa de segurança blockchain Hacken colocou os números na mesa: no Q3, hackers levaram US$ 1,18 bilhão de projetos cripto, em 107 incidentes — um aumento de 55% em relação ao trimestre anterior.
O mais alarmante não é o total, mas a composição: cerca de US$ 906,8 milhões (77%) das perdas ocorreram fora do escopo das auditorias — fornecedores comprometidos, ferramentas de desenvolvimento contaminadas, correções já públicas que ninguém instalou e componentes excluídos da auditoria.
Andrii Matiukhin, cofundador da Hacken, resumiu o problema em uma frase: “O problema está sempre no escopo.” Em geral, as auditorias analisam apenas alguns contratos inteligentes específicos; carteiras, sistemas de assinatura e softwares de terceiros ficam de fora. Os usuários veem o selo “auditado” e presumem que a plataforma inteira foi coberta. No fim, o dinheiro some por causa de chaves, fornecedores e configurações que nunca foram testados.
Alguns dos grandes casos desta temporada: em setembro, a Bitget perdeu cerca de US$ 387 milhões (segundo relatos, uma vulnerabilidade em um produto de segurança de terceiros afetou o sistema de saques); a Liquid Network, cerca de US$ 320 milhões; a Tectonic, cerca de US$ 120 milhões; e uma vulnerabilidade no firmware da Coldcard, cerca de US$ 115 milhões. As vulnerabilidades em contratos inteligentes, por sua vez, foram o tipo de incidente mais frequente, mas com as menores perdas por caso: 71 incidentes, totalizando cerca de US$ 228 milhões.
O lado positivo é que os mecanismos de recuperação estão funcionando: cerca de US$ 387 milhões foram recuperados ou revertidos (um hacker ético devolveu US$ 272 milhões após o incidente da Liquid, e validadores da Cronos reverteram transações relacionadas à Tectonic); as operadoras cobriram cerca de US$ 410 milhões. No fim, cerca de US$ 384 milhões ficaram sem recuperação — pouco mais de 30% do total.
Na minha opinião, auditorias não são inúteis: elas protegem a “lógica do código”. Mas hoje os hackers atacam “pessoas, cadeia de suprimentos e chaves”. Para o investidor de varejo, só há uma regra prática: pare de tratar o selo “auditado” como garantia contra qualquer problema e preste mais atenção a medidas operacionais contínuas, como aplicação de correções, programas de recompensa por bugs, multisig e chaves de hardware.
Da próxima vez que vir um grande banner dizendo “auditado”, pergunte: afinal, que parte foi auditada?
Você costuma ler os relatórios de auditoria dos projetos ou olha só para o rendimento?
#黑客 #安全审计 #Segurança
O conteúdo acima não constitui recomendação de investimento. Faça sua própria pesquisa (DYOR); negociar envolve riscos.
O relatório do terceiro trimestre divulgado esta semana pela empresa de segurança blockchain Hacken colocou os números na mesa: no Q3, hackers levaram US$ 1,18 bilhão de projetos cripto, em 107 incidentes — um aumento de 55% em relação ao trimestre anterior.
O mais alarmante não é o total, mas a composição: cerca de US$ 906,8 milhões (77%) das perdas ocorreram fora do escopo das auditorias — fornecedores comprometidos, ferramentas de desenvolvimento contaminadas, correções já públicas que ninguém instalou e componentes excluídos da auditoria.
Andrii Matiukhin, cofundador da Hacken, resumiu o problema em uma frase: “O problema está sempre no escopo.” Em geral, as auditorias analisam apenas alguns contratos inteligentes específicos; carteiras, sistemas de assinatura e softwares de terceiros ficam de fora. Os usuários veem o selo “auditado” e presumem que a plataforma inteira foi coberta. No fim, o dinheiro some por causa de chaves, fornecedores e configurações que nunca foram testados.
Alguns dos grandes casos desta temporada: em setembro, a Bitget perdeu cerca de US$ 387 milhões (segundo relatos, uma vulnerabilidade em um produto de segurança de terceiros afetou o sistema de saques); a Liquid Network, cerca de US$ 320 milhões; a Tectonic, cerca de US$ 120 milhões; e uma vulnerabilidade no firmware da Coldcard, cerca de US$ 115 milhões. As vulnerabilidades em contratos inteligentes, por sua vez, foram o tipo de incidente mais frequente, mas com as menores perdas por caso: 71 incidentes, totalizando cerca de US$ 228 milhões.
O lado positivo é que os mecanismos de recuperação estão funcionando: cerca de US$ 387 milhões foram recuperados ou revertidos (um hacker ético devolveu US$ 272 milhões após o incidente da Liquid, e validadores da Cronos reverteram transações relacionadas à Tectonic); as operadoras cobriram cerca de US$ 410 milhões. No fim, cerca de US$ 384 milhões ficaram sem recuperação — pouco mais de 30% do total.
Na minha opinião, auditorias não são inúteis: elas protegem a “lógica do código”. Mas hoje os hackers atacam “pessoas, cadeia de suprimentos e chaves”. Para o investidor de varejo, só há uma regra prática: pare de tratar o selo “auditado” como garantia contra qualquer problema e preste mais atenção a medidas operacionais contínuas, como aplicação de correções, programas de recompensa por bugs, multisig e chaves de hardware.
Da próxima vez que vir um grande banner dizendo “auditado”, pergunte: afinal, que parte foi auditada?
Você costuma ler os relatórios de auditoria dos projetos ou olha só para o rendimento?
#黑客 #安全审计 #Segurança
O conteúdo acima não constitui recomendação de investimento. Faça sua própria pesquisa (DYOR); negociar envolve riscos.