As chaves privadas não foram perdidas, mas o dinheiro sumiu: a indenização de US$ 950 mil da Bloom merece mais atenção do que o próprio ataque
A Bloom Trading divulgou hoje os resultados da investigação: 9 usuários, 49 carteiras e 9.408 SOL (cerca de US$ 947 mil). A porta de entrada do ataque foi uma vulnerabilidade de execução remota de código (RCE) em um módulo de terceiros. As chaves privadas não foram acessadas nem expostas.
Essas duas informações juntas formam a combinação que mais merece nos fazer parar e pensar por um segundo hoje: por mais que você proteja sua frase-semente, alguém pode entrar por um pequeno módulo do qual você depende e levar seu dinheiro do mesmo jeito.
E este já não é um caso isolado. O relatório do terceiro trimestre da Hacken traz um dado: no terceiro trimestre de 2026, o setor cripto perdeu US$ 1,18 bilhão em ataques hackers. Desse total, 77% (cerca de US$ 906 milhões) vieram diretamente de fornecedores terceirizados comprometidos, ferramentas de desenvolvimento ou patches que não foram instalados e componentes que não foram incluídos nas auditorias. Em outras palavras, o setor gasta a maior parte do orçamento de segurança auditando os próprios contratos, mas o dinheiro acaba sumindo por causa de “módulos dos outros”.
A forma como a Bloom lidou com o caso é outro ponto que merece destaque nesta notícia: prometeu indenizar integralmente os usuários, tirou o sistema do ar antes de investigar e, após a retomada, exigiu que os usuários verificassem novamente suas identidades. Em um setor em que “primeiro negar, depois investigar e, por fim, lamentar profundamente” já virou quase um reflexo, admitir a responsabilidade e suspender o serviço no mesmo dia são, por si só, ativos raros.
A comparação com outro caso ocorrido no mesmo dia deixa isso ainda mais claro. A CoinDCX admitiu uma perda de 15,99 milhões de USDT, mas, três dias antes, seu CEO havia chamado as notícias relacionadas de “falsas” no X. A explicação final foi que o serviço de consolidação automática falhou e os fundos ficaram retidos em um endereço antigo, invadido em julho de 2025. A Bloom deixou claro que iria indenizar no próprio dia do incidente; a CoinDCX primeiro disse “não aconteceu” e, três dias depois, disse “aconteceu”.
Anote isso: antes de aprovar uma autorização da próxima vez, além de conferir o endereço do contrato, tire dez segundos para perguntar: quem mantém esse módulo? Ele sofreu alguma alteração recentemente? Quando foi atualizado pela última vez? A segurança das chaves privadas é o mínimo; além disso, há toda uma cadeia de dependências que talvez você nem consiga ver.
$SOL #安全 #BinanceSquare
A Bloom Trading divulgou hoje os resultados da investigação: 9 usuários, 49 carteiras e 9.408 SOL (cerca de US$ 947 mil). A porta de entrada do ataque foi uma vulnerabilidade de execução remota de código (RCE) em um módulo de terceiros. As chaves privadas não foram acessadas nem expostas.
Essas duas informações juntas formam a combinação que mais merece nos fazer parar e pensar por um segundo hoje: por mais que você proteja sua frase-semente, alguém pode entrar por um pequeno módulo do qual você depende e levar seu dinheiro do mesmo jeito.
E este já não é um caso isolado. O relatório do terceiro trimestre da Hacken traz um dado: no terceiro trimestre de 2026, o setor cripto perdeu US$ 1,18 bilhão em ataques hackers. Desse total, 77% (cerca de US$ 906 milhões) vieram diretamente de fornecedores terceirizados comprometidos, ferramentas de desenvolvimento ou patches que não foram instalados e componentes que não foram incluídos nas auditorias. Em outras palavras, o setor gasta a maior parte do orçamento de segurança auditando os próprios contratos, mas o dinheiro acaba sumindo por causa de “módulos dos outros”.
A forma como a Bloom lidou com o caso é outro ponto que merece destaque nesta notícia: prometeu indenizar integralmente os usuários, tirou o sistema do ar antes de investigar e, após a retomada, exigiu que os usuários verificassem novamente suas identidades. Em um setor em que “primeiro negar, depois investigar e, por fim, lamentar profundamente” já virou quase um reflexo, admitir a responsabilidade e suspender o serviço no mesmo dia são, por si só, ativos raros.
A comparação com outro caso ocorrido no mesmo dia deixa isso ainda mais claro. A CoinDCX admitiu uma perda de 15,99 milhões de USDT, mas, três dias antes, seu CEO havia chamado as notícias relacionadas de “falsas” no X. A explicação final foi que o serviço de consolidação automática falhou e os fundos ficaram retidos em um endereço antigo, invadido em julho de 2025. A Bloom deixou claro que iria indenizar no próprio dia do incidente; a CoinDCX primeiro disse “não aconteceu” e, três dias depois, disse “aconteceu”.
Anote isso: antes de aprovar uma autorização da próxima vez, além de conferir o endereço do contrato, tire dez segundos para perguntar: quem mantém esse módulo? Ele sofreu alguma alteração recentemente? Quando foi atualizado pela última vez? A segurança das chaves privadas é o mínimo; além disso, há toda uma cadeia de dependências que talvez você nem consiga ver.
$SOL #安全 #BinanceSquare
