As notícias de segurança de hoje não param de chegar. De manhã, acabamos de falar sobre um cofre na Avalanche que foi drenado em cerca de US$ 1,01 milhão por meio de um empréstimo-relâmpago. Às 11h, outra notícia relatou uma tomada de controle da governança. Ao meio-dia, chegou a terceira: a ponte cross-chain da zkLink na Ethereum foi atacada.

Segundo o monitoramento da Blockaid, o invasor usou um retransmissor público para inserir uma raiz de lote falsificada na Ethereum e, em seguida, finalizou saques do contrato de custódia L1 da zkLink Nova, transferindo os fundos para um endereço indicado pelo atacante. PANews, KuCoin e BBX noticiaram o caso hoje pela manhã, com informações consistentes: até o momento da publicação, cerca de US$ 786 mil haviam sido retirados, provenientes tanto da custódia L1 $ETH quanto da ponte ERC-20, e o ataque ainda estava em andamento.

Essa técnica parece complicada quando explicada, mas, resumindo, é simples: a ponte deveria esperar que um lote de transações fosse confirmado antes de liberar os fundos. O atacante falsificou a autorização de liberação, e o sistema acreditou nela. Ele seguiu o próprio processo de saque da ponte; só que a autorização era falsa. Esse é também o aspecto mais problemático das pontes cross-chain: os fundos ficam bloqueados em um contrato e, quando alguém consegue contornar a etapa de verificação, o saque é concluído seguindo o processo normal.

US$ 786 mil não é muito se comparado aos casos de pontes que envolvem centenas de milhões, mas não olhe só para o valor. Hoje já foram notificados três incidentes de segurança: no tesouro, na governança e em uma ponte cross-chain — todos causados por problemas nos próprios protocolos. Os usuários tomaram cuidado com phishing e links falsos, mas ainda assim perderam dinheiro. É isso que mais revolta.

Eu faço assim: uso a ponte só de passagem, nunca deixo fundos lá durante a noite. Se preciso mesmo fazer uma transferência cross-chain, assim que termino, tiro os fundos de lá. Não trato a ponte como carteira. Você costuma fazer muitas transferências cross-chain ou nem chega perto de pontes?