A versão antiga não foi desativada: era como deixar a porta destrancada. Desta vez, a On Nexus perdeu 8,5 BTC
Em 25 de outubro, a antiga plataforma DotSwap V1, da On Nexus, um protocolo de liquidez nativo do Bitcoin, foi atacada. Em 27 de outubro, a equipe publicou um comunicado de segurança. O invasor explorou um mecanismo de assinatura do lado do servidor que havia permanecido na V1 e, ao longo de cerca de quatro horas, retirou aproximadamente 8,5 BTC do pool de liquidez da V1 e de contas relacionadas — cerca de US$ 685 mil, pelo preço da época. As reportagens da PANews, do boletim da KuCoin e da Odaily coincidem nos valores e na duração.
A V1 era uma antiga plataforma de negociação lançada em 2024. Depois, a equipe do projeto migrou para a nova arquitetura Nexus, e a V1 já estava programada para ser desativada. O problema é que desativá-la era apenas um plano: o serviço continuava funcionando e as permissões de assinatura ainda estavam ativas. O invasor criou dados de assinatura ilegais, contornou os controles de risco habituais da plataforma e foi retirando fundos do pool. Segundo o monitoramento oficial, conforme relatado pela Odaily, o ataque usou scripts automatizados: primeiro, sondou as interfaces e depois fez saques graduais, envolvendo 99 tokens Runes. A equipe também mencionou que o método era compatível com uma tendência recente de ataques automatizados. Essa é uma avaliação da equipe, ainda sem provas independentes; por enquanto, vou registrá-la como uma opinião unilateral.
Desta vez, a equipe deixou bem claro quem perdeu dinheiro e quem não perdeu. O pool de liquidez da V1 usava uma carteira multisig custodial, na qual os fundos eram reunidos em um cofre multisig controlado pela plataforma. Por isso, todos os depósitos que ainda estavam no pool da V1 foram afetados, e quem perdeu foram os provedores de liquidez que não migraram a tempo. As carteiras de autocustódia dos usuários comuns não foram afetadas, pois as negociações do dia a dia usavam negociações nativas de Bitcoin em autocustódia, e as chaves privadas nunca foram armazenadas nos servidores da plataforma. O mesmo incidente, dois tipos de carteira, resultados completamente diferentes: a linha divisória é quem tinha a custódia dos fundos.
Após o incidente, a V1 foi totalmente desativada, e as interfaces de rede do antigo serviço de assinatura também foram removidas. Os canais de negociação da nova arquitetura Nexus não foram afetados. A equipe disse que está rastreando os fundos junto com a SlowMist e enviando às principais plataformas de negociação os endereços associados ao hacker. A análise completa do incidente e o plano de resposta ainda estão em elaboração e não haviam sido divulgados até o momento em que este texto foi escrito. Portanto, não devemos dizer que o plano de resposta já foi definido.
Para os investidores de varejo, a lição deste caso é bem concreta. O projeto lançar uma nova versão não significa que a versão antiga se tornou segura automaticamente. Enquanto ainda houver dinheiro de verdade em contratos antigos e interfaces antigas mantiverem permissões de assinatura, o invasor não precisa comprometer o novo sistema: basta encontrar a porta mais velha. E o pior é que muita gente nem sabe que ainda não migrou. Quando o comunicado é publicado e as pessoas vão conferir, o pool talvez já esteja vazio.
Minha opinião é direta. Da próxima vez que ouvir um projeto dizer que já migrou, confira duas coisas: primeiro, se há um anúncio oficial de desativação da versão antiga; segundo, se você ainda tem saldo nela. Se não houver um anúncio de desativação da versão antiga, não deixe seu saldo lá. Mesmo quem já migrou não deve olhar apenas para o bom desempenho da nova versão: até que seja publicado o anúncio de desativação da versão antiga, essa conta ainda não está encerrada.
Você já deixou fundos de uma versão antiga sem migrar em algum projeto? Quando foi a última vez que confirmou que ela havia sido desativada?
#BTC #比特币生态 #安全复盘 #DotSwap #SegurançaDeFi
—— web3韭菜小凯
Este conteúdo é apenas uma compilação de informações públicas e não constitui recomendação de investimento. Os valores mencionados têm como base o comunicado oficial da On Nexus e as reportagens públicas da PANews, do boletim da KuCoin e da Odaily. Para informações posteriores do projeto, consulte os canais oficiais.
Em 25 de outubro, a antiga plataforma DotSwap V1, da On Nexus, um protocolo de liquidez nativo do Bitcoin, foi atacada. Em 27 de outubro, a equipe publicou um comunicado de segurança. O invasor explorou um mecanismo de assinatura do lado do servidor que havia permanecido na V1 e, ao longo de cerca de quatro horas, retirou aproximadamente 8,5 BTC do pool de liquidez da V1 e de contas relacionadas — cerca de US$ 685 mil, pelo preço da época. As reportagens da PANews, do boletim da KuCoin e da Odaily coincidem nos valores e na duração.
A V1 era uma antiga plataforma de negociação lançada em 2024. Depois, a equipe do projeto migrou para a nova arquitetura Nexus, e a V1 já estava programada para ser desativada. O problema é que desativá-la era apenas um plano: o serviço continuava funcionando e as permissões de assinatura ainda estavam ativas. O invasor criou dados de assinatura ilegais, contornou os controles de risco habituais da plataforma e foi retirando fundos do pool. Segundo o monitoramento oficial, conforme relatado pela Odaily, o ataque usou scripts automatizados: primeiro, sondou as interfaces e depois fez saques graduais, envolvendo 99 tokens Runes. A equipe também mencionou que o método era compatível com uma tendência recente de ataques automatizados. Essa é uma avaliação da equipe, ainda sem provas independentes; por enquanto, vou registrá-la como uma opinião unilateral.
Desta vez, a equipe deixou bem claro quem perdeu dinheiro e quem não perdeu. O pool de liquidez da V1 usava uma carteira multisig custodial, na qual os fundos eram reunidos em um cofre multisig controlado pela plataforma. Por isso, todos os depósitos que ainda estavam no pool da V1 foram afetados, e quem perdeu foram os provedores de liquidez que não migraram a tempo. As carteiras de autocustódia dos usuários comuns não foram afetadas, pois as negociações do dia a dia usavam negociações nativas de Bitcoin em autocustódia, e as chaves privadas nunca foram armazenadas nos servidores da plataforma. O mesmo incidente, dois tipos de carteira, resultados completamente diferentes: a linha divisória é quem tinha a custódia dos fundos.
Após o incidente, a V1 foi totalmente desativada, e as interfaces de rede do antigo serviço de assinatura também foram removidas. Os canais de negociação da nova arquitetura Nexus não foram afetados. A equipe disse que está rastreando os fundos junto com a SlowMist e enviando às principais plataformas de negociação os endereços associados ao hacker. A análise completa do incidente e o plano de resposta ainda estão em elaboração e não haviam sido divulgados até o momento em que este texto foi escrito. Portanto, não devemos dizer que o plano de resposta já foi definido.
Para os investidores de varejo, a lição deste caso é bem concreta. O projeto lançar uma nova versão não significa que a versão antiga se tornou segura automaticamente. Enquanto ainda houver dinheiro de verdade em contratos antigos e interfaces antigas mantiverem permissões de assinatura, o invasor não precisa comprometer o novo sistema: basta encontrar a porta mais velha. E o pior é que muita gente nem sabe que ainda não migrou. Quando o comunicado é publicado e as pessoas vão conferir, o pool talvez já esteja vazio.
Minha opinião é direta. Da próxima vez que ouvir um projeto dizer que já migrou, confira duas coisas: primeiro, se há um anúncio oficial de desativação da versão antiga; segundo, se você ainda tem saldo nela. Se não houver um anúncio de desativação da versão antiga, não deixe seu saldo lá. Mesmo quem já migrou não deve olhar apenas para o bom desempenho da nova versão: até que seja publicado o anúncio de desativação da versão antiga, essa conta ainda não está encerrada.
Você já deixou fundos de uma versão antiga sem migrar em algum projeto? Quando foi a última vez que confirmou que ela havia sido desativada?
#BTC #比特币生态 #安全复盘 #DotSwap #SegurançaDeFi
—— web3韭菜小凯
Este conteúdo é apenas uma compilação de informações públicas e não constitui recomendação de investimento. Os valores mencionados têm como base o comunicado oficial da On Nexus e as reportagens públicas da PANews, do boletim da KuCoin e da Odaily. Para informações posteriores do projeto, consulte os canais oficiais.
