Comprar cripto- Mercados
Futuros- Spot
- Copy Trade
- Renda
- Mais
1 bilhão de DOTs foram criados do nada, mas o hacker só conseguiu 230.000 dólares
Autor: Zhou, ChainCatcher
Em 13 de abril, às 10h, horário de Pequim, a plataforma de monitoramento on-chain emitiu alertas: houve uma emissão anormal de ativos ponteados na rede Ethereum a partir da Polkadot.
De acordo com a análise da CertiK, o invasor enviou um pedido de ponteamento cuidadosamente elaborado ao contrato HandlerV1 no lado Ethereum por meio do protocolo ISMP do Hyperbridge, juntamente com uma prova de MMR real historicamente aceita, contornando com sucesso o mecanismo de verificação.
A BlockSec Phalcon posteriormente divulgou um alerta técnico, classificando essa vulnerabilidade como uma vulnerabilidade de replay à prova de MMR. De acordo com sua análise, a raiz da vulnerabilidade reside no fato de que a proteção contra replay do contrato HandlerV1 apenas verifica se o hash de um determinado pedido já foi usado antes, mas o processo de verificação da prova não vincula o payload do pedido enviado à prova verificada.
Essa lacuna lógica permitiu que o invasor reproduzisse uma prova historicamente válida e a emparelhe com um pedido malicioso recém-construído, executando assim a operação ChangeAssetAdmin através do caminho TokenGateway.onAccept(), transferindo os direitos de admin e de cunhagem do contrato DOT envolto no Ethereum (endereço: 0x8d...8F90b8) para um endereço controlado pelo invasor.
De acordo com dados on-chain, após obter os direitos de cunhagem, o invasor cunhou 1 bilhão de DOTs ponteados, o que foi aproximadamente 2805 vezes o suprimento circulante relatado de cerca de 356.000 desse token no Ethereum na época.
Posteriormente, o atacante trocou todos os chips por cerca de 108,2 ETH através do Roteador Odos e do pool de liquidez Uniswap V4, transferindo-os para a conta externa do atacante, obtendo um lucro de cerca de $237.000 com base no preço na época, com todo o ataque consumindo apenas cerca de $0,74 em taxas de gás.
A BlockSec Phalcon também mencionou que houve um ataque anterior usando o mesmo método, visando os tokens MANTA e CERE, resultando em uma perda de cerca de $12.000. A perda total de ambos os ataques totalizou aproximadamente $242.000.
Após o incidente, as principais bolsas sul-coreanas Upbit e Bithumb anunciaram a suspensão dos serviços de depósito e retirada para DOT e AssetHub Polkadot network para prevenir potenciais riscos de depósito falso.
Os oficiais da Polkadot afirmaram que essa vulnerabilidade afeta apenas o DOT conectado à Ethereum via Hyperbridge e não impacta os ativos DOT dentro do ecossistema Polkadot ou o DOT transferido através de outras pontes de cadeia cruzada. A Polkadot e suas parachains, bem como a DOT nativa, permanecem seguras e não afetadas. Atualmente, o Hyperbridge foi suspenso para investigar o problema.
Vale ressaltar que, embora a escala de cunhagem tenha atingido 1 bilhão, a perda real foi muito menor do que o valor teórico. Devido à liquidez extremamente limitada na cadeia de DOTs embrulhados na Ethereum, a venda concentrada de 1 bilhão de tokens fez o preço do DOT embrulhado cair instantaneamente de $1,22 para $0,00012831, uma queda de 99,98%, tornando a maioria dos tokens ineficazes para liquidação.
De acordo com os dados da CoinMarketCap, o preço do token DOT nativo também caiu brevemente quase 5% devido ao sentimento do mercado.
Os usuários do X declararam abertamente que quem teria pensado que o mito da cadeia cruzada DOT, que já esteve ao lado do Ethereum, explodiria nas redes sociais dessa maneira. As pontes de cadeia cruzada tornaram-se mais uma vez o "calcanhar de Aquiles" do mundo das criptomoedas, transformando-se de uma área anteriormente negligenciada em um cenário de devastação. Quando 1 bilhão de DOT apareceu do nada, todos os indicadores técnicos se tornaram inúteis.
Alguns usuários comentaram brincando que a baixa liquidez salvou a Polkadot desta vez, mantendo a perda real em torno de $237.000.
No entanto, a baixa liquidez dos ativos em ponte, embora limitando os lucros do hacker, expôs as potenciais vulnerabilidades da camada de interoperabilidade de cadeia cruzada.
Relata-se que o Hyperbridge, desenvolvido pela Polytope Labs, é um projeto de interoperabilidade entre cadeias dentro do ecossistema Polkadot, que há muito depende de provas criptográficas em vez de comitês de múltiplas assinaturas como seu mecanismo de segurança central, posicionando-se como uma infraestrutura entre cadeias com minimização de confiança. O projeto havia enfatizado anteriormente sua resistência a ataques comuns à ponte.
Mas este incidente pode indicar que a integridade do mecanismo de prova criptográfica por si só não é suficiente para garantir a segurança; a lógica de implementação específica do contrato Gateway no lado Ethereum também constitui uma superfície de ataque.
De uma perspectiva mais ampla, este incidente reflete a grave situação de segurança em andamento na DeFi desde 2026. Vários ataques significativos ocorreram este ano, incluindo a Venus gerando $2,15 milhões em dívida ruim devido à manipulação de preços, a Resolve emitindo 80 milhões de USR a mais e o Drift sendo hackeado por mais de $285 milhões em ativos, com vários métodos de ataque e uma ampla gama de áreas afetadas.
Assumir os direitos de cunhagem para emissão ilimitada não é um novo modelo de ataque. No entanto, devido à liquidez extremamente superficial do Hyperbridge, as perdas foram inesperadamente minimizadas.
De acordo com os dados da CertiK, houve 46 incidentes de segurança registrados apenas em março, com perdas totais de aproximadamente $39,8 milhões, marcando o recorde mensal mais alto desde novembro de 2024. A CertiK também apontou que a frequência de exploração de vulnerabilidades de código aumentou, possivelmente relacionada ao aumento das ferramentas de descoberta de vulnerabilidades assistidas por IA.
O aumento na frequência de ataques também está levando a indústria a reexaminar os limites da segurança e da regulamentação. O Diretor de Estratégia da Circle, Dante Disparte, anteriormente pediu que protocolos, carteiras, exchanges e emissores de stablecoins vissem a segurança e a responsabilidade como uma obrigação compartilhada em resposta ao incidente de roubo do Protocolo Drift, sugerindo que os protocolos DeFi poderiam desenvolver medidas de proteção técnica on-chain, referenciando mecanismos tradicionais de interrupção de mercado e promover legislação relevante para incorporar direitos de propriedade e padrões de proteção de privacidade financeira em lei antes que o próximo grande incidente ocorra.
Você também pode gostar
Encontrei uma “meme coin” que disparou em poucos dias. Alguma dica?
TAO é Elon Musk, que investiu na OpenAI, e Subnet é Sam Altman
A era da "distribuição em massa de moedas" em cadeias públicas chega ao fim
Com uma valorização de 50 vezes e um FDV superior a 10 bilhões de dólares, por que escolher a RaveDAO?
A lagosta é coisa do passado? Conheça as ferramentas do Hermes Agent que multiplicam sua produtividade por 100
Após o bloqueio do Estreito de Ormuz, quando terminará a guerra?
Antes de usar o X Chat, o “WeChat ocidental” de Musk, é preciso entender estas três questões
O X Chat estará disponível para download na App Store nesta sexta-feira. A mídia já divulgou a lista de recursos, incluindo mensagens que se autodestruem, bloqueio de capturas de tela, conversas em grupo para até 481 pessoas, integração com o Grok e cadastro sem número de telefone, posicionando-o como o “WeChat ocidental”. No entanto, há três questões que quase não foram abordadas em nenhum relatório.
Há uma frase na página de ajuda oficial do X que ainda está lá: "Se funcionários mal-intencionados ou a própria X fizerem com que conversas criptografadas sejam expostas por meio de processos judiciais, nem o remetente nem o destinatário terão a menor ideia do que está acontecendo."
Não. A diferença está no local onde as chaves são armazenadas.
Na criptografia de ponta a ponta do Signal, as chaves nunca saem do seu dispositivo. Nem a X, nem o tribunal, nem qualquer outra parte externa possui suas chaves. Os servidores do Signal não possuem nada que permita descriptografar suas mensagens; mesmo que fossem intimados, eles só poderiam fornecer os carimbos de data e hora do registro e os horários das últimas conexões, conforme comprovado por registros de intimações anteriores.
O X Chat utiliza o protocolo Juicebox. Essa solução divide a chave em três partes, cada uma armazenada em um dos três servidores operados pela X. Ao recuperar a chave com um código PIN, o sistema busca esses três fragmentos nos servidores da X e os recombina. Por mais complexo que seja o código PIN, é a X quem detém a chave, e não o usuário.
Este é o contexto técnico da "frase da página de ajuda": como a chave está nos servidores da X, a X tem a capacidade de responder a processos judiciais sem o conhecimento do usuário. O Signal não possui essa funcionalidade, não por uma questão de política, mas simplesmente porque não possui a chave.
A ilustração a seguir compara os mecanismos de segurança do Signal, WhatsApp, Telegram e X Chat em seis aspectos. O X Chat é o único dos quatro em que a plataforma detém a chave e o único sem sigilo direto.
A importância da confidencialidade prospectiva reside no fato de que, mesmo que uma chave seja comprometida em determinado momento, as mensagens anteriores não podem ser descriptografadas, pois cada mensagem possui uma chave exclusiva. O protocolo Double Ratchet do Signal atualiza automaticamente a chave após cada mensagem, um mecanismo que não existe no X Chat.
Após analisar a arquitetura do XChat em junho de 2025, Matthew Green, professor de criptologia da Universidade Johns Hopkins, comentou: “Se considerarmos o XChat como um esquema de criptografia de ponta a ponta, essa vulnerabilidade parece ser do tipo que põe fim ao jogo.” Mais tarde, ele acrescentou: "Não confiaria nisso mais do que confio nas mensagens diretas não criptografadas atuais."
Desde uma reportagem da TechCrunch de setembro de 2025 até sua entrada em operação em abril de 2026, essa arquitetura não sofreu alterações.
Em um tuíte publicado em 9 de fevereiro de 2026, Musk comprometeu-se a submeter o X Chat a rigorosos testes de segurança antes de seu lançamento na plataforma e a disponibilizar todo o código como código aberto.
Até a data de lançamento, em 17 de abril, nenhuma auditoria independente por terceiros havia sido concluída; não há um repositório oficial de código no GitHub; e o selo de privacidade da App Store revela que o X Chat coleta cinco ou mais categorias de dados, incluindo localização, informações de contato e histórico de pesquisa, o que contradiz diretamente a afirmação de marketing de “Sem anúncios, sem rastreadores”.
Não se trata de um monitoramento contínuo, mas de um ponto de acesso claro.
Para qualquer mensagem no X Chat, os usuários podem manter pressionado e selecionar “Perguntar ao Grok”. Quando esse botão é clicado, a mensagem é enviada ao Grok em texto simples, passando do formato criptografado para o não criptografado nessa etapa.
Esse projeto não é uma vulnerabilidade, mas sim uma característica. No entanto, a política de privacidade do X Chat não especifica se esses dados em texto simples serão utilizados para o treinamento do modelo do Grok ou se o Grok armazenará o conteúdo dessas conversas. Ao clicar em “Perguntar ao Grok”, os usuários estão removendo voluntariamente a proteção de criptografia dessa mensagem.
Há também uma questão estrutural: Em quanto tempo esse botão deixará de ser um “recurso opcional” para se tornar um “hábito padrão”? Quanto melhor for a qualidade das respostas do Grok, mais os usuários passarão a confiar nele, o que levará a um aumento na proporção de mensagens que saem da proteção de criptografia. A real robustez da criptografia do X Chat, a longo prazo, depende não apenas do design do protocolo Juicebox, mas também da frequência com que os usuários clicam em “Ask Grok”.
A versão inicial do X Chat é compatível apenas com iOS, enquanto a versão para Android indica apenas “em breve”, sem especificar uma data.
No mercado global de smartphones, o Android detém cerca de 73%, enquanto o iOS detém cerca de 27% (IDC/Statista, 2025). Dos 3,14 bilhões de usuários ativos mensais do WhatsApp, 73% utilizam o Android (segundo a Demand Sage). Na Índia, o WhatsApp conta com 854 milhões de usuários, com uma penetração do Android superior a 95%. No Brasil, há 148 milhões de usuários, dos quais 81% utilizam o Android, e na Indonésia, há 112 milhões de usuários, dos quais 87% utilizam o Android.
O domínio do WhatsApp no mercado global de comunicações se baseia no Android. O Signal, com uma base de usuários ativos mensais de cerca de 85 milhões, também conta principalmente com usuários preocupados com a privacidade em países onde o Android é predominante.
O X Chat contornou esse campo de batalha, o que pode ser interpretado de duas maneiras. Um deles é a dívida técnica; o X Chat foi desenvolvido em Rust, e conseguir compatibilidade multiplataforma não é fácil, portanto, priorizar o iOS pode ser uma limitação de engenharia. A outra é uma escolha estratégica; com o iOS detendo uma participação de mercado de quase 55% nos EUA, e considerando que a base de usuários principal do X está nos EUA, priorizar o iOS significa concentrar-se nessa base de usuários, em vez de entrar em concorrência direta com os mercados emergentes dominados pelo Android e com o WhatsApp.
Essas duas interpretações não se excluem mutuamente, levando ao mesmo resultado: Com o seu lançamento, o X Chat abriu mão voluntariamente de 73% da base global de usuários de smartphones.
Este assunto já foi descrito por alguns: O X Chat, juntamente com o X Money e o Grok, forma um trio que cria um sistema de dados em circuito fechado paralelo à infraestrutura existente, semelhante em conceito ao ecossistema do WeChat. Essa avaliação não é nova, mas com o lançamento do X Chat, vale a pena revisitar o esquema.
O X Chat gera metadados de comunicação, incluindo informações sobre quem está conversando com quem, por quanto tempo e com que frequência. Esses dados são enviados para o sistema de identidade da X. Parte do conteúdo da mensagem passa pelo recurso “Ask Grok” e entra na cadeia de processamento do Grok. As transações financeiras são processadas pela X Money: os testes públicos externos foram concluídos em março, com o lançamento ao público ocorrendo em abril, permitindo transferências p2p-211">ponto a ponto de moeda fiduciária via Visa Direct. Um alto executivo da Fireblocks confirmou os planos para que os pagamentos em criptomoedas entrem em operação até o final do ano, já que a empresa possui licenças de operadora de transferência de valores em mais de 40 estados dos EUA atualmente.
Todos os recursos do WeChat operam dentro do quadro regulatório da China. O sistema de Musk opera dentro dos marcos regulatórios ocidentais, mas ele também ocupa o cargo de chefe do Departamento de Eficiência Governamental (DOGE). Isso não é uma réplica do WeChat; é uma reprodução da mesma lógica em condições políticas diferentes.
A diferença é que o WeChat nunca afirmou explicitamente, em sua interface principal, que possui "criptografia de ponta a ponta", ao passo que o X Chat o faz. Na percepção do usuário, a "criptografia de ponta a ponta" significa que ninguém, nem mesmo a plataforma, pode ver suas mensagens. O projeto arquitetônico do X Chat não atende a essa expectativa dos usuários, mas utiliza esse termo.
O X Chat concentra nas mãos de uma única empresa as três vertentes de informação: “quem é essa pessoa, com quem ela está falando e de onde vem e para onde vai o dinheiro dela”.
O texto da página de ajuda nunca se limitou a ser apenas instruções técnicas.
A versão beta recém-lançada do Parse Noise: como aproveitar essa novidade "na cadeia"?
Declarar guerra à IA? A narrativa do Juízo Final por trás da Residência em Chamas do Ultraman
Os VCs de criptomoedas estão mortos? O ciclo de extinção do mercado começou
A Jornada de Claude para a Tolosidade em Diagramas: O Custo da Economia, ou Como a Fatura da API Aumentou 100 Vezes
Regressão da Terra de Borda: Uma revisão sobre o poder marítimo, a energia e o dólar
Última entrevista com Arthur Hayes: Como os investidores de varejo devem lidar com o conflito no Irã?
Há pouco, Sam Altman foi atacado novamente, desta vez a tiros
Straits Blockade, Stablecoin Recap | Rewire Notícias Edição da manhã
Governador da Califórnia Assina Ordem para Banir Insider Trading em Mercados de Previsão
O Governador da Califórnia, Gavin Newsom, assinou uma ordem executiva para coibir o uso de informações privilegiadas em…
De altas expectativas a reviravolta controversa, o Airdrop da Genius desencadeia reação negativa da comunidade
App