$10M ETH roubado desaparece no Tornado Cash: O que o ataque de março de 2024 nos ensina sobre os riscos dos contratos inteligentes

Lembra-se do desastre de phishing de $24 milhões em setembro de 2023? Bem, a história ainda não acabou. Em 21 de março, a CertiK detectou o hacker a mover finalmente 3.700 ETH (~$10M a preços atuais) para Tornado Cash — um serviço de mistura projetado para obscurecer os rastros das transações. Isto não foi um movimento aleatório. É um exemplo clássico de como as criptomoedas roubadas acabam por ser lavadas.

O Manual do Ataque

Aqui está o que aconteceu: uma baleia de criptomoedas autorizou uma transação que parecia rotineira de “Aumentar Permissão”. Parece inofensivo, certo? Errado. Essa única autorização deu ao hacker permissão para esvaziar tokens ERC-20 diretamente da sua carteira usando um contrato inteligente malicioso. Em duas fases, o atacante siphonou 9.579 stETH e 4.851 rETH do serviço de staking da Rocket Pool.

Dados da PeckShield mostram que o hacker depois converteu o montante em 13.785 ETH + 1,64M DAI, espalhando os fundos por várias carteiras e trocas. Um padrão clássico de branqueamento de dinheiro.

Aprovações de Tokens São a Fraqueza do Cripto

A parte assustadora? Isto não é um incidente isolado. O relatório do Scam Sniffer revelou que $47M perdeu-se para phishing só em fevereiro, com 78% a acontecer na Ethereum. Por quê? Porque a maioria dos utilizadores não faz ideia do que está a aprovar ao assinar contratos.

Poucos dias após este hack, a troca Dolomite foi explorada através de um contrato antigo — $1,8M drenados de utilizadores que tinham esquecido que tinham concedido permissões meses antes. A lição: Cada autorização de token é uma potencial porta dos fundos.

A Luz ao Fim do Túnel

Nem todos os hacks acabam em perda total. A equipa do Layerswap detectou o seu site comprometido em poucas horas, limitando os danos a $100K 50 utilizadores. Estão até a reembolsar as vítimas — uma vitória rara na segurança cripto.

O Que Isto Significa Para Si

O padrão recorrente é claro: os hackers nem sempre quebram o código — eles exploram o comportamento dos utilizadores. Antes de aprovar qualquer contrato, pergunte-se: Sei realmente o que isto faz? Posso revogá-lo depois? Melhor ainda, utilize verificadores de permissões de endereço antes de assinar algo suspeito. A diferença entre uma situação de risco e um $24M desastre pode ser um passo de verificação de 30 segundos.