Eu já escrevi algumas vezes sobre a importância de integração entre os blockchains e da livre transmissão entre ativos pelas redes. Algo como comprar tokens da rede Ethereum usando Bitcoins. No entanto, se há alguns anos essa integração era um sonho, hoje ela é uma das maiores preocupações: dos quase US$ 2 bilhões roubados de protocolos DEFI em 2022, mais de 80% ocorreu através destas “pontes” entre blockchains.
O hack ocorrido nesse começo de outubro de USD 100 milhões na rede BNB Smart Chain é só mais um em uma longa lista que tem altos valores envolvidos (diferente do que acontece quando o alvo é uma pessoa física). Por exemplo, só destacando os maiores eventos, temos:
- Fevereiro: Wormhole – USD 375 milhões
- Março: Ronin Bridge – USD 624 milhões
- Agosto: Nomad Bridge – USD 190 milhões
- Setembro: Wintermute – USD 160 milhões
Acontece que do mesmo modo que no mundo real, em que ataques ficam mais “fáceis” quando o dinheiro está em trânsito (vide o famoso “Ataque ao trem pagador”), hacks também são facilitados quando os criptoativos estão sendo levados de uma rede para outra. Afinal, este processo adiciona complexidade e novos atores, que não são necessariamente tão resilientes como os blockchains interligados.
Explicando um pouco sobre como estas pontes funcionam, elas normalmente são implementadas de forma que criptomoedas são depositadas em uma conta, que “congela” esses ativos na rede de origem. Em seguida, entidades chamadas de validadores detectam o depósito e notificam o blockchain de destino, que cria uma quantidade de moedas equivalente ao valor congelado na rede original, mantendo assim o valor total de moedas constante.
Estes novos atores/processos (validadores, congelamento/criação ativos) são obviamente os principais alvos de ataque e especialistas citam as três fraquezas abaixo como causa dos recentes hacks:
- Falsos depósitos: atacantes conseguindo simular um depósito no blockchain em que os ativos são originados e, como consequência, servindo de gatilho para o saque na rede de destino.
- Invasão de validadores: como nome indica, os validadores viraram fontes de ataque, com hackers conseguindo assumir controle sobre os servidores que rodam os validadores ou se passando por estes serviços.
- Falhas nos códigos validadores: este modelo é diferente do anterior porque os hackers fazem uso de alguma fraqueza existente do código-fonte que faz a validação.
Alguma chance de solução no curto prazo? Pior que não. Desenvolvedores ainda estão aprendendo como projetar estas pontes entre blockchains. Para o usuário comum, o risco é pouco, mas a melhor proteção é sempre manter suas criptomoedas em hardware wallets.
Nota: este texto é fortemente baseado nesta fonte, escrito por um ex-analista do FBI e que atualmente trabalha com predição de risco para blockchains.
