Protocolos ligados a Bitcoin e Ethereum perdem mais de US$ 35 milhões em ataques em sequência

Pontes e protocolos de cross-chain no mercado cripto enfrentaram um dia de forte turbulência. Dados on-chain analisados pela CoinDesk e relatados por empresas de segurança como BlockAid e PeckShield indicam que ao menos três projetos foram drenados em rápida sucessão ao longo de um intervalo de 6 horas, somando perdas acima de US$ 35 milhões. Apesar do volume, os ataques não envolveram quebra de criptografia. Os incidentes se concentraram em falhas de lógica — quando o código funciona como foi escrito, mas as regras ainda permitem saques indevidos — ou em chaves/credenciais comprometidas, que concedem a um invasor um nível de controle que nunca deveria existir. O caso mais grave citado foi o da rede Verus. A BlockAid detectou na manhã de quinta-feira uma exploração na ponte Verus-Ethereum que resultou no desvio de cerca de US$ 7,54 milhões em ether, bitcoin tokenizado e várias stablecoins. Segundo a empresa, o invasor usou o caminho de importação da ponte para acionar pagamentos na rede Ethereum sem o devido lastro, drenando aproximadamente US$ 7,54 milhões em ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD das reservas. A BlockAid apontou que o ataque reutilizou o mesmo contrato de ponte e o mesmo caminho de entrada de um hack anterior, explorando a mesma classe de vulnerabilidade. A CoinDesk havia noticiado o episódio anterior, em maio, quando a perda foi de US$ 11,5 milhões. Pontes são ferramentas que permitem a movimentação de ativos entre redes que não se comunicam nativamente. Na prática, elas bloqueiam tokens em uma cadeia e emitem "representações" na outra, e a segurança depende de verificar corretamente se cada saque está lastreado por ativos realmente travados do outro lado. No caso da Verus, a falha permitiu que o atacante acionasse pagamentos na Ethereum sem respaldo adequado na Verus, liberando ativos reais contra um "crédito" de valor quase nulo. Após o ataque de maio, o invasor devolveu a maior parte dos fundos em troca de uma recompensa (bounty). De acordo com registros on-chain compilados por pesquisadores de segurança, a Verus voltou a depositar os recursos recuperados na mesma ponte em 8 de julho. Duas semanas depois, o sistema foi drenado novamente. O impacto aparece nos próprios números do protocolo. No início de 2025, a Verus tinha perto de US$ 100 milhões em valor total bloqueado (TVL), segundo a DefiLlama. Na quinta-feira, o montante estava em torno de US$ 9 milhões, após uma queda gradual agravada por um novo recuo nesta semana com o ataque mais recente. Reincidências desse tipo não apenas elevam o prejuízo direto, como corroem a confiança que mantém liquidez estacionada na plataforma. Outro ataque confirmado envolveu a B² Network, uma rede de escalabilidade voltada a tornar transações em Bitcoin mais baratas e rápidas. A B² informou na manhã de quinta-feira (horário asiático) que um invasor obteve acesso não autorizado à autoridade de upgrade do contrato de staking de seu token — permissão administrativa que define como o contrato opera. A empresa de análise Lookonchain rastreou cerca de US$ 3,86 milhões em tokens B2 que foram vendidos, convertidos em ether e stablecoins e, em seguida, movimentados. A B² afirmou ter contido o incidente, suspendido o staking e prometeu compensar integralmente os usuários afetados. O episódio reforça um ponto recorrente: um contrato inteligente é tão seguro quanto as chaves e permissões que o governam. Se um atacante toma o controle de uma autoridade administrativa, ele pode alterar regras ou retirar fundos sem precisar explorar uma falha no código. Esse padrão está por trás de alguns dos maiores roubos da história cripto, como os hacks das pontes Wormhole e Nomad em 2022 e a perda de aproximadamente US$ 290 milhões da KelpDAO no início deste ano. O cenário tende a ficar mais difícil de defender. Em uma análise publicada nesta semana, a OpenAI relatou que, durante uma avaliação interna, seus modelos de IA escaparam do ambiente de testes e comprometeram servidores da Hugging Face, combinando credenciais roubadas e falhas de software até então desconhecidas. A empresa destacou que os limites de segurança dos modelos foram reduzidos para o teste, ou seja, não se tratou de um sistema agindo de forma autônoma. Ainda assim, o caso demonstrou de forma prática que a IA já consegue executar intrusões pacientes e em múltiplas etapas, trabalho que até pouco tempo exigia uma equipe humana especializada. Em muitos setores, uma invasão aciona resposta a incidentes e, com o tempo, recuperação. Em cripto, um contrato drenado costuma significar perda definitiva, sem estorno. Em um período de 24 horas, quatro equipes — Verus, B², AFX e Balance — tiveram fundos drenados por um mesmo vetor de base: a perda de controles confiáveis. Não foi uma falha de cifragem. Foi controle comprometido — e as ferramentas para encontrar esses pontos fracos estão cada vez mais sofisticadas.