Alguém perdeu (mais um) milhões de dólares em fundos para um ataque de phishing ao usar finanças descentralizadas (DeFi). Este é um erro comum entre usuários, afetando até mesmo investidores com conhecimento avançado se usarem criptomoedas que facilitam esses ataques.
Neste evento mais recente, o endereço Ethereum ‘0xAA1582084c4f588eF9BE86F5eA1a919F86A3eE57‘ perdeu 12.083,6 spEWTH, no valor de US$ 32,33 milhões. O blockchain do Ethereum registrou a transação para dois endereços rotulados como “Phishing Falso” em 28 de setembro às 6h15 UTC.
Finbold consultou o banco de dados Arkham Intelligence, que sugere que o endereço pertence a Shixing Mao, também conhecido como DiscusFish no X. No momento, ele ainda detém US$ 8,25 milhões em tokens, dos quais US$ 2,85 milhões estão na stablecoin DAI.
Notavelmente, Shixing Mao é um executivo experiente em cripto e cofundador da F2Pool e Cobo. Se esse endereço realmente pertence a Mao, é mais um conto de advertência sobre como até mesmo especialistas podem ser vítimas de tais ataques – insistindo na necessidade de encontrar soluções universais para evitar eventos semelhantes.
Transação 0xAA1582084c4f588eF9BE86F5eA1a919F86A3eE57 no EtherScan (para cima) e saldo no Arkham Intelligence (para baixo).
1 em cada 7 investidores de criptomoedas foram vítimas de phishing
Uma pesquisa da WalletConnect mostra que quase um em cada sete usuários de criptomoedas foi vítima de um ataque de phishing. De acordo com a WalletConnect, 14,4% dos entrevistados disseram: “Sim, perdi criptomoedas devido a um ataque de phishing ou golpe”.
Pesquisa: “Você já perdeu criptomoedas devido a phishing ou hacks?” Fonte: WalletConnect
Contas no X relataram alguns dos grandes números que investidores de criptomoedas perderam ao interagir com contratos ou endereços maliciosos. Um exemplo recente envolve o relatório do Scam Sniffer em 23 de julho de uma perda de US$ 4,69 milhões em tokens de re-staking Pendle (PENDLE).
Além disso, a perda de US$ 55 milhões do DAI para um ataque de phishing que a Lookonchain relatou em 21 de agosto, pedindo aos usuários que verificassem duas vezes as transações. No primeiro semestre de 2024, o Scam Sniffer identificou mais de US$ 314 milhões roubados em cadeias de Ethereum Virtual Machine (EVM).
No Finbold, relatamos muitos desses casos. Nomeadamente relacionados ao ecossistema TON, atividade suspeita de congelamento do Tether e o invasor que devolveu o wBTC roubado.
No entanto, essas são apenas parte de um problema mais amplo que custa milhões de dólares aos usuários em todo o mundo. Surpreendentemente, tecnologias e protocolos de criptografia mais novos, mas menos populares, já estão atenuando parcialmente esse problema.
Como evitar ataques de phishing e esvaziamento de carteira no DeFi?
Essencialmente, a maioria desses ataques se deve a erro humano, explorado de diferentes maneiras. Por exemplo, conectando uma carteira a um aplicativo malicioso ou assinando uma permissão ou transação maliciosa.
A maneira mais natural de evitar ser vítima de um ataque de phishing ou de um dreno de carteira é verificar novamente os sites e entender o que você está assinando, literalmente. Para isso, os usuários podem priorizar carteiras e protocolos com assinatura de transação facilmente legível, divulgando a ação em detalhes.
No entanto, tecnologias mais avançadas já desenvolveram soluções integradas para protocolos de criptografia que ajudam a prevenir erros humanos, com foco na segurança.
Os ativos nativos evitam phishing e perdas de carteira
Blockchains populares como Ethereum (ETH), BNB Chain (BNB), Solana (SOL), Tron (TRX), Avalanche (AVAX) e Near (NEAR) usam um modelo em que os tokens funcionam de forma diferente de seus ativos nativos, funcionando por meio de chamadas de contratos inteligentes que exigem uma permissão especial prévia para movimentar os fundos.
Dave, também conhecido como DBCrypto, comentou sobre esse modelo com Finbold.
“O modelo de token baseado em contrato inteligente encontrado nas cadeias Ethereum, L2 e EVM não é apenas ineficiente, mas também inseguro, atrasando a adoção do Web3.”
– Dave (DBCrypto)
Por outro lado, cadeias como Cardano (ADA), MultiversX (EGLD) e Radix (XRD) usam um modelo de token de ativo nativo. Neste modelo, todos os tokens se comportam como ativos nativos dentro do protocolo, não exigindo permissões de banco de dados que podem ser exploradas. Os usuários precisam assinar cada transação para mover tokens em sua propriedade, criando outra camada de segurança.
Buscando uma perspectiva mais técnica, Finbold consultou Avaunt, especialista em TI e criador do ShardSpaceApp.
“Ao contrário de VMs baseadas em mensagens como EVM e SVM, onde os saldos de token e NFT dos usuários são definidos como itens de linha dentro de contratos inteligentes, os ativos nativos são como ativos físicos que vivem dentro de cofres no livro-razão dentro de contas inteligentes que existem no nível do protocolo. Então, quando um usuário está transferindo um token ou NFT de uma conta para outra, o protocolo impõe regras rígidas de nível de protocolo para retirar um número exato de tokens do cofre isolado dentro da conta inteligente do usuário, que é independente de todos os outros cofres de recursos em sua conta. Radix, MVX e Cardano são algumas das plataformas que fazem uso dos recursos inerentemente mais seguros dos ativos nativos.”
– Avante
Curiosamente, os usuários agora podem se beneficiar, pois os desenvolvedores têm um olhar mais cuidadoso em relação às preocupações com segurança, ataques de phishing e modelos de token. Em um ponto, os investidores inevitavelmente precisarão escolher se aceitam os padrões antigos ou migram para os mais novos no mercado livre competitivo e inovador que é a criptografia.
