As pontes e protocolos cross-chain de criptomoedas estão tendo um dia difícil.
Pelo menos três foram esvaziados em rápida sucessão em um período de 6 horas, com um total combinado superior a US$ 35 milhões, segundo dados da blockchain avaliados pela CoinDesk e relatados pelas empresas de segurança BlockAid e Peckshield.
A série de ataques compartilha um fio comum. Nenhum deles quebrou a criptografia subjacente — cada um foi ou uma falha de lógica, na qual o código funcionava conforme escrito, mas as regras ainda permitiam a saída de dinheiro, ou uma chave comprometida que entregou ao atacante controle que nunca deveria ter tido.
O mais grave foi a rede blockchain Verus. O Blockaid detectou uma exploração na ponte Verus-Ethereum na quinta-feira de manhã, que esvaziou cerca de US$ 7,54 milhões em ether, bitcoin tokenizado e uma variedade de stablecoins.
🚨 O Blockaid detectou uma exploração na ponte Ethereum do @VerusCoin na Ethereum.
Um atacante utilizou o caminho de importação da ponte para desencadear pagamentos não garantidos no lado Ethereum, esvaziando ~$7,54 milhões em ETH, tBTC, USDC, USDT, EURC, MKR e scrvUSD das reservas da ponte.
Mais detalhes em 🧵
A empresa destacou que o ataque reutilizou o mesmo contrato de ponte e caminho de entrada de um hack anterior, explorando uma classe idêntica de falha. A CoinDesk relatou esse incidente anterior, uma perda de US$ 11,5 milhões, em maio.
Uma ponte é uma ferramenta baseada em blockchain que permite que ativos se movam entre duas redes que, de outra forma, não conseguem interagir entre si. Ela mantém tokens reais de um lado e emite reivindicações contra eles do outro, e sua segurança depende inteiramente da verificação correta de que cada retirada é genuinamente respaldada por ativos bloqueados na outra cadeia.
A falha no Verus permitiu que um atacante acionasse pagamentos no lado Ethereum que nunca foram devidamente respaldados no lado Verus, fazendo com que a ponte liberasse dinheiro real contra uma reivindicação quase sem valor.
O atacante devolveu a maioria dos fundos em troca de uma recompensa após o ataque em maio. O Verus então redesposiou o dinheiro recuperado na mesma ponte em 8 de julho, segundo registros onchain compilados por pesquisadores de segurança, e a ponte foi esvaziada novamente duas semanas depois.
O custo dessa confiança é visível nos próprios números do protocolo. O Verus detinha cerca de US$ 100 milhões em valor total bloqueado no início de 2025, segundo o DefiLlama. Atualmente, detém cerca de US$ 9 milhões, conforme quinta-feira, uma perda lenta interrompida por uma nova queda esta semana com o último ataque.
Tais falhas repetidas não custam apenas o dinheiro roubado em qualquer ataque individual, mas esgotam a confiança que mantém os ativos na plataforma.
Outro ataque confirmado foi o B² Network, uma rede de escalonamento construída para tornar o bitcoin mais barato e mais rápido para transações.
B² disse nas horas da manhã asiática de quinta-feira que um atacante obteve acesso não autorizado à autoridade de atualização do contrato de staking de seu token, a permissão administrativa que controla como esse contrato se comporta.
A empresa de segurança Lookonchain rastreou aproximadamente US$ 3,86 milhões em tokens B2 que foram vendidos, convertidos em ether e stablecoins e movidos. A B² afirmou que contive o incidente, suspendeu o staking e compensará integralmente os usuários afetados.
Um contrato inteligente é tão seguro quanto as chaves e permissões que o controlam. Se um atacante assumir a autoridade para alterar o funcionamento de um contrato, o código não precisa de uma falha, pois o atacante pode simplesmente reescrever as regras ou esvaziar os fundos diretamente.
Este é o modo de falha por trás dos maiores roubos da história da criptomoeda, desde os ataques às pontes Wormhole e Nomad em 2022 até a perda de aproximadamente US$ 290 milhões da KelpDAO no início deste ano.
E está prestes a ficar mais difícil de defender. Em uma análise publicada esta semana, a OpenAI revelou que, durante uma avaliação interna, seus modelos de IA escaparam do ambiente de teste e comprometeram os servidores da Hugging Face, utilizando credenciais roubadas e falhas de software previamente desconhecidas para fazer isso.
Os modelos tiveram seus limites de segurança reduzidos para o teste, portanto isso não foi um sistema agindo por conta própria. Mas foi uma demonstração concreta de que a IA agora pode realizar o trabalho intrusivo paciente e em múltiplos passos que até recentemente exigia uma equipe humana qualificada.
Na maioria das indústrias, uma violação significa resposta a incidentes e, eventualmente, recuperação. No mundo das criptomoedas, onde um contrato esvaziado é definitivo e não há estorno, a mesma capacidade aponta para uma ameaça sem botão de desfazer.
Em um período de 24 horas, quatro equipes — Verus, B², AFX e Balance — foram esvaziadas por causa da mesma razão subjacente. Nenhuma caiu por causa de uma cifra quebrada. Cada uma perdeu um controle confiável, e as ferramentas para encontrar esses controles estão se tornando cada vez mais precisas.