“Pontes de blockchain” viram alvos de ladrões de criptomoedas

O roubo de cerca de US$ 190 milhões da empresa norte-americana de criptomoedas Nomad na semana passada foi o sétimo ataque de hackers em 2022 contra uma engrenagem cada vez mais importante da indústria do dinheiro digital: as “pontes de blockchain“, sequências de código que ajudam a movimentação de criptomoedas entre diferentes aplicações.

Até agora este ano, hackers roubaram US$ 1,2 bilhão em criptomoedas por meio de ataques a essas pontes, segundo dados da empresa britânica de análise de blockchain Elliptic.

O montante já é mais que o dobro do total roubado ano passado.

“Esta é uma guerra em que as empresas de segurança digital ou os projetos de moedas digitais não podem sair vencedores”, disse Ronghui Hu, professor de ciência da computação na Universidade de Columbia em Nova York e cofundador da empresa de segurança digital CertiK.

“Temos que proteger tantos projetos. Para eles (hackers) quando olham para um projeto e não há bugs, eles podem simplesmente passar para o próximo, até encontrar um ponto fraco.”

Atualmente, a maioria dos tokens digitais é executada em seus próprios blockchains, essencialmente um banco de dados público que registra transações com criptomoedas.

Isso traz o risco de tornar os projetos que usam essas moedas em feudos, reduzindo suas perspectivas de uso mais amplo.

As pontes blockchain têm como objetivo derrubar esses feudos. Os apoiadores da tecnologia dizem que ela terá um papel fundamental na “Web3” — a tão falada visão de um futuro digital onde as criptomoedas serão realidade na vida e no comércio cotidiano. No entanto, as pontes podem ser o elo mais fraco desse futuro.

O ataque contra a Nomad foi o oitavo maior roubo de criptomoedas registrado até agora. Outros roubos de pontes este ano incluem US$ 615 milhões da Ronin, ponte usada no popular videogame online Axie Infinity, e US$ 320 milhões da Wormhole, usada nas chamadas aplicações financeiras descentralizadas.

“Pontes de blockchain são o terreno mais fértil para novas vulnerabilidades”, disse Steve Bassi, cofundador e presidente da companhia de detecção de malware PolySwarm.

Tendão de Aquiles

A Nomad e outras empresas que fazem pontes de blockchain têm atraído apoio de investidores.

Apenas cinco dias antes de ser alvo do ataque, a companhia levantou US$ 22,4 milhões de investidores que incluíram a maior corretora de criptomoedas do mundo, a Coinbase Global.

O presidente da Nomad e cofundador Pranay Mohan chamavam o modelo de segurança da companhia de “padrão ouro”.

Procurados, representantes da Nomad não se manifestaram.

A Nomad afirmou anteriormente que está trabalhando com autoridades e uma empresa de análise de blockchain para rastrear o dinheiro roubado.

Na semana passada, a companhia anunciou uma recompensa de até 10% para o retorno dos recursos roubados da ponte da empresa. A companhia disse no sábado que recuperou mais de US$ 32 milhões até agora.

“A coisa mais importante no mundo das criptomoedas é a comunidade, e nosso objetivo número um é restaurar os fundos dos usuários”, disse Mohan.

“Trataremos qualquer parte que devolva 90% ou mais dos recursos roubados como ‘white hats’. Nós não vamos processar os ‘white hats'”, disse o executivo usando uma expressão que designa os chamados “hackers éticos”.

Vários especialistas em segurança eletrônica e blockchain disseram à Reuters que a complexidade das pontes significa que elas podem representar um calcanhar de Aquiles para projetos e aplicações que as utilizam.

“Uma razão pela qual os hackers têm como alvo essas redes cruzadas ultimamente é por causa da imensa sofisticação técnica envolvida na criação desses tipos de serviços”, disse Ganesh Swami, presidente-executivo da empresa canadense de dados de blockchain Covalent, que tinha algumas criptomoedas armazenadas na ponte da Nomad quando ela foi alvo do ataque.

Por exemplo, algumas pontes criam versões de criptomoedas que as tornam compatíveis com diferentes blockchains, mantendo as moedas originais em reserva.

Outras dependem de contratos inteligentes, convênios complexos que executam negócios automaticamente.

O código de programação envolvido em tudo isso pode conter falhas, o que potencialmente deixa a porta entreaberta para hackers.

Recompensas

Então, qual a melhor forma de resolver o problema? Alguns especialistas dizem que auditorias de contratos inteligentes podem ajudar a proteger contra roubos digitais, bem como programas de “recompensa por bugs” que incentivam revisões de códigos de programação.

Outros pedem menor concentração de controle das pontes por empresas individuais, algo que afirmam que pode reforçar a resistência e transparência dos códigos de programação.

“Pontes cruzadas são um alvo atraente para hackers porque muitas vezes aproveitam uma infraestrutura centralizada que trava os ativos na maioria dos casos”, disse Victor Young, fundador da empresa norte-americana de blockchain dos Analog.