O pós-mortem secreto foi divulgado. A verdadeira história: as pessoas que modificaram aquela ponte não entendiam como sua própria autenticação funcionava. Nenhum auditor externo foi nunca solicitado para verificá-la. E, por três anos, nenhum atacante também a entendeu. A ponte permaneceu segura até (minha aposta) que uma IA finalmente leu o contrato e viu o que todos os humanos haviam perdido. O erro é quase tolo em retrospectiva. O contrato começou como uma ponte de custódia, um guarda-roupa: ele apenas devolvia um casaco que alguém havia registrado anteriormente, então a pergunta “este depósito é real?” era respondida gratuitamente pela lógica do bilhete. Depois, foi bifurcado para cunhar tokens Axelar em vez disso. Os tokens cunhados nunca foram registrados, então a lógica do bilhete não se aplicava e foi excluída. Quem fez isso não percebeu que essas exatas funções eram as únicas que verificavam de qual cadeia um depósito tinha vindo. A Lista de Permissão que as substituiu verificava qual token poderia ser cunhado, nunca sua origem. Portanto, a porta ficou aberta desde janeiro de 2023. Depois, alguém criou uma cadeia falsa, nomeou um ativo real como USDT, e cunhou US$ 4,67 milhões do nada. A lição não é realmente sobre o Secret. Por três anos, encontrar esse erro exigia um humano disposto a ler todo o contrato, e ninguém fez isso. Essa barreira desapareceu. Uma IA lê tudo isso, cuidadosamente, por centavos. Portanto, se seu contrato é público e não passou por uma auditoria de IA, assuma que a IA do atacante já está lendo-o. Faça a auditoria do seu primeiro.