Os US$ 220 milhões roubados do Kelp DAO quase foram totalmente lavados; o rastreamento na cadeia é inútil diante do THORChain, Wasabi e Tornado Cash. Este não é um caso isolado — a Radiant Capital acabou de encerrar operações após um ataque de US$ 50 milhões, e a vulnerabilidade do Gnosis Pay ainda está se desenvolvendo. O livro-razão de confiança das pontes cross-chain está sendo reescrito repetidamente. Os hackers usaram o THORChain para transferir US$ 1,75 bilhão em ETH para o Bitcoin, depois misturaram e dividiram os fundos, elevando o volume diário do THORChain para US$ 394 milhões. Ferramentas de privacidade não são novidade, mas essa escala expõe um problema estrutural: quanto mais próspera a liquidez cross-chain, mais maduros se tornam os canais de lavagem de dinheiro dos hackers. Os US$ 71 milhões em ETH congelados estão agora envolvidos em uma controvérsia legal — familiares das vítimas da Coreia do Norte buscam apreendê-los como compensação. Sob uma ordem judicial, ainda é incerto se esses fundos poderão ser recuperados. A suposição de segurança no DeFi está deslizando de “código é lei” para “lei é a última linha de defesa”. Para o mercado, isso não é uma história de “má notícia já precificada”. Após cada ataque, os protocolos reforçam auditorias, mas os hackers também evoluem. O aumento do custo de confiança nas pontes cross-chain acabará se refletindo nas taxas de financiamento, no TVL e no comportamento dos usuários — você estaria disposto a colocar seus ativos em uma rede que pode ser perfurada por canais de lavagem de dinheiro? $btc #eth #defi #chaindata #ai

Nem todos os fracassos de DeFi começam com um hack. O Firelight cobrirá falhas técnicas e econômicas, incluindo dívidas ruins e impairments estruturais nas relações entre ativos de garantia e empréstimos. Cada reivindicação será respaldada por gatilhos claros e evidências verificáveis na blockchain.

O programa de bug bounty recebeu um alto volume de submissões desde o lançamento. Para dar a cada relatório a atenção que merece, estamos pausando novas submissões enquanto trabalhamos na fila. Compartilharemos uma atualização quando o programa for reaberto. Obrigado a todos que participaram até agora.

Hii. Apenas aqueles que podem pagar US$1 milhão em medidas de segurança permanecerão no mercado. ＞ O scan do Mythos detectou mais de 20 vulnerabilidades críticas no código-fonte próprio da Palo Alto Networks, consumindo mais de US$1 milhão em tokens.

Bitcoin. Sem cripto. “A DAO já não tem um caminho viável para o futuro.” Incapaz de se recuperar do ataque cibernético que lhe custou aproximadamente 50 milhões de dólares, a Radiant Capital está fechando as portas.

Recuperação Whitehat: o pesquisador Florent coordenou com a equipe da HongCoin para desbloquear ~1.003 ETH (~$2 mi) presos em um contrato de reembolso de ICO de 2016 devido a bugs legados na lógica de estouro/reembolso. #Ethereum #SmartContractSecurity

Reentrancy Decodificada – O Bug do Contrato Inteligente que Ainda Esvazia Milhões em 2026, e o Padrão Checks-Effects-Interactions que o Impede no Código Reentrância não é magia. É um bug de ordem: seu contrato atualiza seu próprio estado APÓS fazer uma chamada externa, em vez de antes, e um atacante faz uma chamada de volta durante essa lacuna. Corrija a ordem e o bug desaparece. O DAO perdeu cerca de 3,6 milhões de ETH (aproximadamente US$ 60 milhões, cerca de 5% de todo o ETH existente na época) por esse exato erro em 17 de junho de 2016. O impacto dividiu o Ethereum em ETH e ETC. Dez anos depois, ele ainda está esvaziando fundos. O Solv Protocol perdeu US$ 2,73 milhões por uma reentrância em 5 de março de 2026, e aproximadamente US$ 52 milhões foram roubados em diversos protocolos on-chain em maio de 2026 (DeFiLlama via CryptoTimes, 31 de maio de 2026). O padrão vulnerável: ler o saldo, enviar o ETH com uma chamada de baixo nível, E DEPOIS definir o saldo como zero. A função receive() do atacante reentra em withdraw() antes que esse zero seja aplicado, e entra em loop até que o contrato fique vazio. Duas correções, usadas juntas: Checks-Effects-Interactions. Valide, atualize TODO o estado e faça a chamada externa POR ÚLTIMO. Mova balances[msg.sender] = 0 acima da chamada, e a chamada reentrante lerá zero e reverterá. A proteção nonReentrant da OpenZeppelin. Um mutex de armazenamento (NÃO_ENTRADO para ENTROU) que reverte na reentrada. Use-o E CEI, não apenas um ou outro. Duas coisas que a maioria dos desenvolvedores ainda erra. 1. .transfer() não é mais um escudo: o subsídio de 2300 gás deixou de ser uma suposição segura quando o EIP-1884 aumentou o gás de SLOAD em 2019. Use .call{value:}("") com CEI. 2. A reentrância somente de leitura contorna uma proteção padrão, porque uma função view lida durante uma atualização retorna estado corrompido e pode envenenar um oracle de preços (dForce, US$ 3,64 milhões). Apenas para fins educacionais. Não é aconselhamento financeiro. Siga para insights diários – onde blockchain encontra IA, um swipe satisfatório de cada vez. #Solidity #SmartContractSecurity #Web3Security #Ethereum #DeFi #SmartContracts #BlockchainDeveloper #SolidityDev #EVM #OpenZeppelin #Reentrancy #Web3Dev #BlockchainSecurity #DeFiSecurity #SmartContractAudit #CodeSecurity #OnChain #BlockchainEducation