Uma blockchain para de funcionar de uma hora para outra: análise do prejuízo de US$ 2,7 milhões causado pela emissão ilimitada de tokens na Initia
Na tarde da última sexta-feira, uma blockchain pública apertou o próprio botão de pausa. Em sua conta oficial, a Initia informou que, devido a um incidente de segurança, a rede principal e os Rollups nela implantados pararam completamente às 15h41min30s UTC de 23 de outubro. A blockchain ficou travada no bloco 23365925, e nenhum bloco novo foi produzido depois disso. Até quem não teve fundos roubados foi afetado: depósitos, swaps e transferências entre Rollups foram congelados, e os tokens nas contas ficaram impossibilitados de ser movimentados naquele momento. O prejuízo financeiro não é o único problema; a própria interrupção da rede já é um incidente.
O método do ataque não foi complicado. O pesquisador de segurança Spreek foi o primeiro a alertar publicamente que alguém estava criando tokens do nada e já havia convertido quase US$ 2,6 milhões em outros ativos. Em seguida, o cofundador da Initia, Ezaan Mangalji, apresentou uma avaliação preliminar: uma vulnerabilidade Day 0, existente desde o primeiro dia no ambiente de execução MoveVM, permitiu que o invasor contornasse o limite de emissão e criasse tokens diretamente na rede principal. O rastreamento on-chain da D2 Finance completou o restante da história: o invasor teria criado cerca de 2 milhões de tokens semelhantes a AUSD, sem lastro real, transferido-os por uma bridge para a Ethereum e, por fim, reunido os fundos em uma carteira — cerca de 1.135,5 ETH, equivalentes a aproximadamente US$ 2,73 milhões pelos preços da época. A transação custou apenas 135888 unidades de Gas e chamou diretamente uma função Move. As verificações de segurança da bridge não foram comprometidas; a brecha estava na etapa de emissão dos tokens.
Há três pontos que precisam ser distinguidos. Primeiro, os US$ 2,7 milhões são uma estimativa preliminar apresentada pelo cofundador e complementada pelo rastreamento on-chain da D2 Finance. A equipe do projeto ainda não divulgou o valor final confirmado das perdas nem uma previsão para a retomada da rede; tratar a estimativa inicial como definitiva é precipitado. Segundo, o cofundador afirmou claramente que a vulnerabilidade não se aplica ao token nativo INIT. O que foi roubado foram ativos obtidos com a conversão dos tokens emitidos. Dizer que o token nativo foi inflacionado só porque o nome INIT aparece na história é confundir as coisas. Terceiro, a Agora, responsável pelo AUSD, esclareceu especificamente que não implantou nenhum contrato na Initia. O AUSD em outras blockchains continua funcionando normalmente e totalmente lastreado. Portanto, também é errado dizer que o contrato da emissora de AUSD foi comprometido.
As exchanges agiram rapidamente. A Upbit suspendeu depósitos e saques de INIT às 15h57 de 23 de outubro, enquanto as negociações dentro da plataforma continuaram normalmente. Entre a paralisação da blockchain e a suspensão dos depósitos pela grande exchange passaram apenas 16 minutos. As notícias se espalharam muito mais rápido do que qualquer pessoa conseguiria reagir manualmente. Naquele dia, o INIT caiu inicialmente cerca de 14%. A primeira reação do mercado foi de medo, mas o que muitas vezes determina se você terá prejuízo é conseguir ou não movimentar seus fundos naquele momento.
O incidente deixa três lições práticas para investidores de varejo. A paralisação de uma blockchain é um risco por si só: o fato de os tokens não terem sido roubados não significa que você consiga movimentá-los. Em geral, é mais prudente manter parte dos fundos em uma carteira que você controla do que colocar tudo no ecossistema de uma única blockchain. Limite de emissão e lastro são duas das perguntas mais importantes a fazer ao avaliar um projeto: é possível criar mais tokens do nada? O que foi emitido tem algo real que o sustente? Se essas duas questões não estiverem claras, por mais eficiente que seja a bridge, ela só ajudará a transformar mais rapidamente em dinheiro aquilo que foi criado do nada. E, no dia de um incidente, desconfie por padrão de supostas notícias sobre recuperação ou reembolso. A própria Initia alertou os usuários em seu comunicado para ficarem atentos a links não oficiais. Atalhos que aparecem durante uma paralisação quase sempre têm como alvo quem está agindo com pressa.
Minha opinião é direta: a lição deste incidente não está no tamanho do valor de US$ 2,7 milhões, mas no fato de que uma falha na emissão de tokens pode transformar uma blockchain em funcionamento em uma rede completamente congelada em apenas 16 minutos. Investidores de varejo não conseguem se proteger de uma vulnerabilidade Day 0, mas podem evitar colocar todo o patrimônio em um único ponto de falha e também podem evitar clicar em links suspeitos durante uma paralisação. Ao avaliar um projeto, faça mais uma pergunta: é possível emitir mais unidades desse token? Fazer essa pergunta antes de um incidente custa muito menos.
Você já passou por uma situação em que a blockchain parou, a exchange suspendeu os depósitos e, embora os tokens ainda aparecessem na sua conta, você não conseguia sacá-los? O que fez na ocasião?
#Initia #链上安全 #被黑复盘 #跨链桥 #SegurançaDaCarteira
—— web3韭菜小凯
Esta publicação é apenas uma análise do incidente e uma opinião pessoal, não constitui recomendação de investimento. Os valores mencionados baseiam-se em relatos públicos e nas declarações preliminares do projeto; as perdas finais dependem da confirmação oficial.
Na tarde da última sexta-feira, uma blockchain pública apertou o próprio botão de pausa. Em sua conta oficial, a Initia informou que, devido a um incidente de segurança, a rede principal e os Rollups nela implantados pararam completamente às 15h41min30s UTC de 23 de outubro. A blockchain ficou travada no bloco 23365925, e nenhum bloco novo foi produzido depois disso. Até quem não teve fundos roubados foi afetado: depósitos, swaps e transferências entre Rollups foram congelados, e os tokens nas contas ficaram impossibilitados de ser movimentados naquele momento. O prejuízo financeiro não é o único problema; a própria interrupção da rede já é um incidente.
O método do ataque não foi complicado. O pesquisador de segurança Spreek foi o primeiro a alertar publicamente que alguém estava criando tokens do nada e já havia convertido quase US$ 2,6 milhões em outros ativos. Em seguida, o cofundador da Initia, Ezaan Mangalji, apresentou uma avaliação preliminar: uma vulnerabilidade Day 0, existente desde o primeiro dia no ambiente de execução MoveVM, permitiu que o invasor contornasse o limite de emissão e criasse tokens diretamente na rede principal. O rastreamento on-chain da D2 Finance completou o restante da história: o invasor teria criado cerca de 2 milhões de tokens semelhantes a AUSD, sem lastro real, transferido-os por uma bridge para a Ethereum e, por fim, reunido os fundos em uma carteira — cerca de 1.135,5 ETH, equivalentes a aproximadamente US$ 2,73 milhões pelos preços da época. A transação custou apenas 135888 unidades de Gas e chamou diretamente uma função Move. As verificações de segurança da bridge não foram comprometidas; a brecha estava na etapa de emissão dos tokens.
Há três pontos que precisam ser distinguidos. Primeiro, os US$ 2,7 milhões são uma estimativa preliminar apresentada pelo cofundador e complementada pelo rastreamento on-chain da D2 Finance. A equipe do projeto ainda não divulgou o valor final confirmado das perdas nem uma previsão para a retomada da rede; tratar a estimativa inicial como definitiva é precipitado. Segundo, o cofundador afirmou claramente que a vulnerabilidade não se aplica ao token nativo INIT. O que foi roubado foram ativos obtidos com a conversão dos tokens emitidos. Dizer que o token nativo foi inflacionado só porque o nome INIT aparece na história é confundir as coisas. Terceiro, a Agora, responsável pelo AUSD, esclareceu especificamente que não implantou nenhum contrato na Initia. O AUSD em outras blockchains continua funcionando normalmente e totalmente lastreado. Portanto, também é errado dizer que o contrato da emissora de AUSD foi comprometido.
As exchanges agiram rapidamente. A Upbit suspendeu depósitos e saques de INIT às 15h57 de 23 de outubro, enquanto as negociações dentro da plataforma continuaram normalmente. Entre a paralisação da blockchain e a suspensão dos depósitos pela grande exchange passaram apenas 16 minutos. As notícias se espalharam muito mais rápido do que qualquer pessoa conseguiria reagir manualmente. Naquele dia, o INIT caiu inicialmente cerca de 14%. A primeira reação do mercado foi de medo, mas o que muitas vezes determina se você terá prejuízo é conseguir ou não movimentar seus fundos naquele momento.
O incidente deixa três lições práticas para investidores de varejo. A paralisação de uma blockchain é um risco por si só: o fato de os tokens não terem sido roubados não significa que você consiga movimentá-los. Em geral, é mais prudente manter parte dos fundos em uma carteira que você controla do que colocar tudo no ecossistema de uma única blockchain. Limite de emissão e lastro são duas das perguntas mais importantes a fazer ao avaliar um projeto: é possível criar mais tokens do nada? O que foi emitido tem algo real que o sustente? Se essas duas questões não estiverem claras, por mais eficiente que seja a bridge, ela só ajudará a transformar mais rapidamente em dinheiro aquilo que foi criado do nada. E, no dia de um incidente, desconfie por padrão de supostas notícias sobre recuperação ou reembolso. A própria Initia alertou os usuários em seu comunicado para ficarem atentos a links não oficiais. Atalhos que aparecem durante uma paralisação quase sempre têm como alvo quem está agindo com pressa.
Minha opinião é direta: a lição deste incidente não está no tamanho do valor de US$ 2,7 milhões, mas no fato de que uma falha na emissão de tokens pode transformar uma blockchain em funcionamento em uma rede completamente congelada em apenas 16 minutos. Investidores de varejo não conseguem se proteger de uma vulnerabilidade Day 0, mas podem evitar colocar todo o patrimônio em um único ponto de falha e também podem evitar clicar em links suspeitos durante uma paralisação. Ao avaliar um projeto, faça mais uma pergunta: é possível emitir mais unidades desse token? Fazer essa pergunta antes de um incidente custa muito menos.
Você já passou por uma situação em que a blockchain parou, a exchange suspendeu os depósitos e, embora os tokens ainda aparecessem na sua conta, você não conseguia sacá-los? O que fez na ocasião?
#Initia #链上安全 #被黑复盘 #跨链桥 #SegurançaDaCarteira
—— web3韭菜小凯
Esta publicação é apenas uma análise do incidente e uma opinião pessoal, não constitui recomendação de investimento. Os valores mencionados baseiam-se em relatos públicos e nas declarações preliminares do projeto; as perdas finais dependem da confirmação oficial.
