Em 11 de novembro, a blockchain pública Initia admitiu que havia sido hackeada novamente — pela segunda vez em três semanas — e que perdeu cerca de 3,27 milhões de dólares. O hacker não mexeu no código da blockchain: usou uma chave do Google Cloud.

Em 9 de novembro, o hacker usou uma injeção de comandos para obter uma chave do Google Cloud usada pela Initia para abrir nós privados. Injeção de comandos é quando instruções são inseridas às escondidas em um sistema. Com essa chave, acessou as variáveis de ambiente — onde o sistema armazena contas e senhas — e encontrou mais credenciais. Assim, conseguiu acessar as contas da Initia no GitHub e na nuvem e, por fim, o Anvil, que hospeda os rollups.

Depois de obter o Anvil, o hacker falsificou saques cross-chain de cinco rollups, liberando os ativos das contas de custódia. A Initia afirmou que cerca de 2,16 milhões de dólares ainda estão congelados na mainnet desativada. O hacker fez uma troca na própria corretora da Initia e retirou 13.400 TIA, 8.000 USDC.inj e 597.000 Noble USDC. A mainnet foi desativada na tarde de 10 de novembro, e ainda não há previsão para a retomada. A Initia apenas declarou que fará a reposição integral dos ativos.

A vez anterior foi em 23 de outubro, também com a Initia: foram perdidos cerca de US$ 2,7 milhões por causa de uma vulnerabilidade no cache de scripts do MoveVM. Três semanas, dois incidentes: o primeiro foi uma falha no código, o segundo, uma falha nas chaves. Corrigiram o código, mas as chaves se perderam de novo.

Para os pequenos investidores, fica um único lembrete: quando a equipe do projeto diz que o código passou por uma auditoria, isso só prova que ele passou por essa etapa. Chaves na nuvem, variáveis de ambiente, plataformas de custódia e contas de custódia cross-chain ficam fora do relatório de auditoria — e os hackers escolhem justamente esses pontos para atacar.

Por isso, para avaliar se um projeto é seguro, não basta olhar quantos relatórios de auditoria ele publica. O que é mais importante é como ele reage quando algo dá errado. Desta vez, a Initia interrompeu a blockchain rapidamente e os fundos congelados não foram transferidos, mas a recuperação integral ainda é apenas uma promessa; só conta quando o dinheiro chegar. Se seus ativos estiverem em uma conta de custódia de uma blockchain pequena, e uma interrupção da rede deixar seu dinheiro preso, sem que você consiga retirá-lo, esse é o risco que você precisa avaliar com cuidado.

A opinião do Xiaokai é que a segurança on-chain concentra seus esforços no código, mas cada vez mais perdas acontecem fora dele. As chaves e as operações são o elo mais fraco.

Você costuma manter seus ativos em contas de custódia de blockchains pequenas ou de novos rollups?

#Initia #黑客攻击 #云安全 #SegurançaDaCarteira

— Xiaokai, o pequeno investidor de web3

Este conteúdo expressa apenas opiniões pessoais e não constitui recomendação de investimento. Faça sua própria avaliação.