A segurança dos criptoativos depende não só das próprias redes de blockchain e dos contratos inteligentes, mas também das carteiras, credenciais de conta, dispositivos de acesso, interfaces de negociação e várias infraestruturas on-chain e off-chain. À medida que a inteligência artificial continua a avançar na análise de código, geração de informação e processamento automatizado de tarefas, os atacantes podem utilizar estas ferramentas para melhorar a eficiência da investigação de vulnerabilidades e da preparação de ataques. Podem também gerar mensagens de phishing mais enganosas, fazendo evoluir determinados riscos de segurança tradicionais.
No entanto, a IA não contorna automaticamente as proteções dos sistemas, nem torna todos os ataques fáceis. Para o setor dos criptoativos, a tarefa mais importante é identificar os pontos de entrada de risco específicos que a IA pode afetar e estabelecer controlos de segurança adequados para diferentes cenários. Este artigo analisa os principais riscos em cinco áreas — contratos inteligentes, interações com carteiras, credenciais de conta, dispositivos de acesso e infraestrutura. Também apresenta medidas de proteção que as equipas de projeto, as plataformas de ativos digitais e os utilizadores individuais podem adotar, além de analisar o valor da aplicação da IA à monitorização de segurança e à gestão de riscos.
Principais conclusões
-
A IA está a alterar a forma como os ataques são preparados no setor dos criptoativos. A análise de informação, a compreensão de código e a geração de conteúdos podem melhorar a eficiência de determinadas atividades de ataque, mas não significam que um ataque terá necessariamente sucesso.
-
Os contratos inteligentes, as carteiras e a infraestrutura constituem vários pontos de entrada de risco. Podem surgir problemas de segurança devido à lógica do código, à autorização de transações, às credenciais de conta, aos dispositivos de acesso ou às dependências de terceiros.
-
As equipas de projeto precisam de estabelecer sistemas contínuos de gestão da segurança. O inventário de ativos, as auditorias de código, a gestão de vulnerabilidades, a proteção de chaves, o isolamento de permissões e a resposta a incidentes devem constituir um processo completo.
-
A proteção dos utilizadores deve centrar-se na verificação de identidade e no princípio do menor privilégio. Aceder a serviços através de canais oficiais, proteger chaves privadas e frases-semente, verificar autorizações de transações e utilizar ferramentas de IA de terceiros com cautela.
-
A IA pode apoiar tanto ataques como a defesa de segurança. A deteção de anomalias, a revisão de código e a análise de inteligência sobre ameaças podem melhorar a eficiência das operações de segurança, mas os controlos de segurança tradicionais e a revisão humana continuam a ser necessários.
Porque é que os ataques assistidos por IA merecem a atenção do setor dos criptoativos?
Os problemas de segurança no setor dos criptoativos têm uma estrutura claramente multicamada. Uma aplicação de ativos digitais pode depender simultaneamente de redes de blockchain, contratos inteligentes, software de carteiras, extensões de navegador, serviços API, infraestrutura de nuvem e dispositivos dos utilizadores. Uma configuração incorreta de permissões, um defeito de código ou um problema de verificação de identidade em qualquer uma destas áreas pode afetar a segurança de todo o sistema. A verificabilidade pública das transações de blockchain e a irreversibilidade de determinadas operações também podem fazer com que os problemas de segurança tenham um impacto direto nos ativos.
O desenvolvimento da IA está a mudar a forma como atacantes e defensores abordam estas questões. Capacidades como a análise de código, a organização de informação, a geração de conteúdos e a orquestração automatizada de tarefas podem ajudar os investigadores de segurança a compreender sistemas complexos mais rapidamente. Também podem ser utilizadas por agentes maliciosos para melhorar a eficiência da preparação de ataques. Os atacantes não precisam necessariamente de desenvolver técnicas de ataque inteiramente novas. Se conseguirem utilizar a IA para identificar fraquezas existentes de forma mais eficiente, gerar conteúdos enganosos ou organizar processos de ataque, o custo e a escala de determinados ataques podem alterar-se.
No entanto, a IA não significa que um ataque terá necessariamente sucesso, nem que todos os projetos de criptoativos enfrentam os mesmos riscos. Os projetos diferem nas suas arquiteturas técnicas, conceções de permissões, dimensões de ativos e capacidades de operações de segurança. Uma abordagem mais eficaz à gestão de riscos consiste em identificar primeiro os principais pontos de entrada de ataque que a IA pode afetar e, em seguida, estabelecer medidas de proteção em camadas com base na importância dos ativos e das operações empresariais.
Cinco tipos de riscos de ataques assistidos por IA no setor dos criptoativos
Os contratos inteligentes suportam funções importantes, como transferências de tokens, custódia de ativos, empréstimos, negociação e governação. A IA pode ajudar programadores e investigadores de segurança a compreender o código dos contratos, mapear relações entre chamadas de funções e identificar lógica que requer revisão adicional. Os atacantes também podem utilizar capacidades semelhantes para analisar código de contratos publicamente disponível, estudar as causas de vulnerabilidades divulgadas e determinar se existem problemas de conceção semelhantes noutros projetos.
Os riscos comuns dos contratos inteligentes incluem controlo de acesso inadequado, validação de entradas insuficiente, problemas de reentrada, utilização incorreta de oráculos de preços e defeitos na lógica empresarial. A IA pode ajudar a localizar código suspeito, mas o risco real continua a depender das sequências de chamadas, alterações de estado, interações com contratos externos e condições de permissão. Os problemas identificados por um modelo devem ser testados e sujeitos a revisão profissional. Não devem ser tratados diretamente como vulnerabilidades exploráveis.
As carteiras são pontos de entrada importantes para os utilizadores gerirem chaves e interagirem com aplicações de blockchain. Os utilizadores podem ligar carteiras a aplicações descentralizadas, assinar transações ou conceder permissões de utilização de tokens. Os atacantes não precisam necessariamente de obter diretamente as chaves privadas dos utilizadores. Podem, em vez disso, induzir os utilizadores a assinar autorizações perigosas ou confirmar transações que não compreendem totalmente, resultando em perda de ativos.
A IA pode ajudar a gerar notificações falsas, comunicações de apoio ao cliente e anúncios de projetos com um aspeto mais natural, fazendo com que alguns conteúdos enganosos se assemelhem mais à linguagem e aos cenários familiares aos utilizadores. Os utilizadores precisam de distinguir entre ligações de carteira, assinatura de mensagens, assinatura de transações e autorizações de tokens. Antes de confirmar uma operação, devem verificar o destinatário da transação, as alterações de ativos e o âmbito das permissões. Um pedido de operação aparentemente normal não deve ser considerado fiável apenas por estar redigido de forma profissional ou por chegar através de um canal de comunicação familiar.
Riscos de phishing e usurpação de identidade
As capacidades de geração de conteúdos da IA podem tornar o phishing mais fácil de personalizar. Os atacantes podem ajustar o tom, o idioma e o cenário de comunicação para criar mensagens que imitam plataformas de negociação, serviços de carteiras, equipas de projeto ou representantes de apoio ao cliente. Em comparação com modelos de phishing tradicionais que contêm erros gramaticais evidentes, este tipo de conteúdo pode ser mais difícil de autenticar apenas com base na linguagem superficial.
Os utilizadores de criptoativos devem ter especial cuidado com airdrops falsos, notificações de anomalias na conta, recompensas promocionais, oportunidades de investimento e pedidos de apoio técnico. Os atacantes podem utilizar informações sociais disponíveis publicamente para saber que projetos os utilizadores seguem e, em seguida, gerar conteúdos enganosos mais direcionados. A proteção não depende de identificar um único tipo fixo de linguagem de phishing. Em vez disso, os utilizadores devem verificar as fontes de informação através de canais oficiais, evitar abrir ligações desconhecidas e nunca fornecer palavras-passe, códigos de verificação, chaves privadas ou frases-semente a ninguém.
Riscos de malware e dispositivos de acesso
O estado de segurança do dispositivo de acesso de um utilizador pode afetar a segurança das chaves privadas e das credenciais de conta. Malware, aplicações disfarçadas de carteiras, extensões de navegador desconhecidas e ficheiros de transferência adulterados podem tornar-se pontos de entrada de ataque. A IA pode ajudar os atacantes a compreender código malicioso existente, modificar conteúdos ou organizar informações de ataque. No entanto, a possibilidade de o malware ter um impacto real continua a depender de fatores como as permissões do sistema, a proteção do dispositivo e o ambiente operativo.
Os utilizadores devem descarregar carteiras e software relacionado a partir de fontes fiáveis, atualizar prontamente os sistemas operativos e componentes de segurança e evitar instalar extensões ou programas de fontes desconhecidas. Para ferramentas que precisam de aceder a carteiras, ler informações da conta ou executar transações, os utilizadores devem confirmar cuidadosamente o respetivo âmbito de permissões. As equipas de projeto e as plataformas devem também dar atenção à formação sobre segurança de dispositivos, à deteção de inícios de sessão anómalos e aos mecanismos de proteção de contas.
Riscos de infraestrutura on-chain e off-chain e da cadeia de fornecimento
A infraestrutura que suporta serviços de criptoativos vai muito além dos contratos inteligentes. Inclui também nós, serviços RPC, interfaces de negociação, oráculos, pontes entre cadeias, servidores de nuvem e dependências de terceiros. A IA pode ajudar as equipas de segurança a organizar inventários de ativos, analisar registos e identificar padrões de acesso anómalos. Os atacantes também podem utilizar informações disponíveis publicamente para investigar serviços expostos ou defeitos de software conhecidos.
As pontes entre cadeias, os oráculos e os serviços externos envolvem normalmente relações de confiança entre vários componentes. Se um componente essencial tiver uma configuração incorreta de permissões, um problema na fonte de dados ou uma vulnerabilidade numa dependência de software, poderá afetar a segurança das aplicações criadas sobre esse componente. As equipas de projeto precisam de incluir a infraestrutura e a cadeia de fornecimento nas suas avaliações globais de segurança, em vez de verificarem apenas se o código dos contratos inteligentes foi aprovado numa auditoria.
Como podem as equipas de projeto estabelecer um sistema de defesa contra ataques assistidos por IA?
Começar por identificar a superfície de ataque através de inventários de ativos e sistemas
As equipas de projeto precisam primeiro de compreender que componentes constituem os seus sistemas, quais os componentes com permissões críticas e de que forma os diferentes serviços dependem uns dos outros. As avaliações de segurança não devem limitar-se aos contratos inteligentes. Devem também abranger processos de ligação a carteiras, autenticação de contas, interfaces de terceiros, serviços de nós, infraestrutura de nuvem e a cadeia de fornecimento de software.
Ao criar um inventário de ativos, as equipas podem classificar contratos críticos, contas administrativas, sistemas de gestão de chaves, dados de utilizadores e serviços externos de acordo com a sua importância empresarial. Para cada tipo de ativo, devem definir as respetivas permissões de acesso, dependências e impacto potencial. Isto é necessário para determinar que problemas poderiam afetar diretamente a segurança dos fundos ou a continuidade dos serviços.
Integrar a IA no processo de revisão de segurança em vez de substituir auditorias
A IA pode ajudar os programadores a compreender código, resumir lógica suspeita e organizar ideias de teste, mas não deve ser tratada como um mecanismo de auditoria de segurança independente. As equipas de projeto podem combinar a análise assistida por modelos com análise estática de código, testes dinâmicos, auditorias independentes e a verificação formal necessária. Cada método pode assim tratar, respetivamente, da organização de informação, identificação de problemas e validação de resultados.
Os relatórios de vulnerabilidades gerados por modelos devem ser posteriormente revistos quanto às condições de ativação, âmbito de impacto e resultados reais de execução. Uma análise não verificada não deve ser utilizada diretamente para efetuar alterações de alto risco no sistema, nem servir como única base para determinar que um sistema é seguro ou tem uma vulnerabilidade grave. A IA pode melhorar a eficiência da revisão, mas a responsabilidade pela segurança deve continuar a ser assumida por uma equipa profissionalmente qualificada.
Reforçar a gestão de chaves e o isolamento de permissões
As chaves privadas, frases-semente, tokens de acesso e credenciais administrativas são informações de elevado valor nos sistemas de ativos digitais. As equipas de projeto devem limitar o acesso a credenciais sensíveis e evitar colocá-las em registos comuns, documentos partilhados ou ferramentas de IA não aprovadas. As operações com privilégios elevados podem ser combinadas com várias aprovações, segregação de funções e registos auditáveis para reduzir o impacto de erros relacionados com uma única conta ou processo.
Para agentes de IA com capacidades de chamada de ferramentas, as equipas também precisam de definir claramente os dados a que podem aceder e as operações que podem realizar. Os modelos não devem obter chaves, permissões de gestão de fundos ou capacidades de ambiente de produção de alto risco sem autorização explícita. Incluir os sistemas de IA na gestão de permissões e nas revisões de segurança é um passo importante para evitar que novas ferramentas introduzam riscos adicionais.
Estabelecer mecanismos de monitorização contínua e resposta a incidentes
As revisões de segurança não devem ocorrer apenas antes de um produto entrar em funcionamento. As equipas de projeto precisam de monitorizar continuamente acessos anómalos, alterações de permissões, alterações de configuração do sistema e o estado dos serviços críticos. Devem também estabelecer processos claros de classificação de alertas e tratamento de incidentes. Para ativos importantes e sistemas críticos, as equipas devem definir quem é responsável por confirmar riscos, quem tem autoridade para tomar medidas restritivas, como devem ser preservadas as provas da investigação e como deve ser conduzida a recuperação subsequente.
A IA pode ajudar a organizar alertas, analisar registos e resumir indícios de incidentes, mas não pode substituir responsabilidades de resposta claramente definidas. As organizações devem realizar exercícios de segurança regulares para verificar a eficácia dos seus processos de deteção de anomalias, isolamento de riscos, comunicação e coordenação e recuperação. Só através da combinação de ferramentas técnicas com sistemas operacionais as organizações podem estabelecer um sistema de defesa em funcionamento contínuo.
Como podem os utilizadores de criptoativos reduzir os riscos de ataques assistidos por IA?
Os utilizadores devem aceder a serviços de ativos digitais através de sites e aplicações oficiais verificados. Não devem determinar a autenticidade das informações apenas com base em mensagens diretas nas redes sociais, notificações de grupos ou ligações publicitárias nos resultados de pesquisa. Para mensagens sobre anomalias na conta, recompensas promocionais, reivindicações de airdrops ou assistência de apoio ao cliente, os utilizadores devem verificar ativamente as informações através de canais oficiais, em vez de seguir diretamente as ligações ou os contactos fornecidos na mensagem.
Proteger chaves privadas, frases-semente e credenciais de conta
Os utilizadores devem guardar as suas chaves privadas e frases-semente e não devem fornecê-las a representantes de apoio ao cliente, pessoal de projetos, ferramentas de terceiros ou serviços de IA. As palavras-passe e os códigos de verificação não devem ser enviados através de janelas de conversa ou páginas web desconhecidas. Para ferramentas que afirmam gerir carteiras, recuperar contas ou automatizar negociações em nome dos utilizadores, deve primeiro ser verificada a origem do serviço e os requisitos de permissão. Deve haver especial atenção a pedidos para importar frases-semente.
Verificar permissões e detalhes de transações antes de assinar
As assinaturas de carteira e as autorizações on-chain podem criar diferentes níveis de risco para os ativos. Os utilizadores devem verificar o endereço do contrato, o montante de ativos, o âmbito da autorização e a operação real envolvida numa transação. Não devem confirmar uma transação de forma apressada quando não conseguem compreender o seu significado. Para autorizações que já não são necessárias, os utilizadores podem rever e revogar permissões desnecessárias com base nas suas necessidades reais.
Reduzir os riscos de dispositivos de acesso e fontes de software
As carteiras e aplicações relacionadas devem ser descarregadas a partir de fontes fiáveis, e os sistemas e o software devem ser mantidos atualizados. Os utilizadores devem ter cuidado ao instalar extensões de navegador, ferramentas de controlo remoto e assistentes de negociação de terceiros, devendo evitar permitir que programas desconhecidos obtenham permissões excessivas de dispositivo ou conta. Nos dispositivos utilizados para operar ativos, deve ser minimizada a instalação de software desnecessário e a exposição de informações sensíveis.
Os assistentes de negociação com IA, as ferramentas de estratégia automatizada e os agentes podem precisar de ler dados de mercado, ligar-se a contas ou chamar serviços externos. Antes de utilizar estas ferramentas, os utilizadores devem verificar o prestador de serviços, as práticas de processamento de dados, o âmbito das permissões API e as permissões de operações sobre fundos. A permissão para ler dados de mercado não é o mesmo que a permissão para iniciar negociações ou levantar ativos. Os utilizadores devem seguir o princípio do menor privilégio sempre que possível e evitar conceder permissões elevadas desnecessárias.
O papel da IA na defesa da segurança dos criptoativos
A IA pode ser utilizada não só para ajudar em ataques, mas também como parte de um sistema de defesa. Durante o desenvolvimento de contratos inteligentes, os modelos podem ajudar nas revisões de código e na conceção de casos de teste, ajudando as equipas a identificar lógica que requer validação adicional. Nas operações de infraestrutura, a IA pode ajudar a classificar registos, resumir padrões de acesso anómalos e organizar alertas dispersos em materiais de investigação mais fáceis de compreender.
Ao nível da proteção dos utilizadores, a IA também pode ser utilizada para identificar tentativas de usurpação de identidade, analisar ligações suspeitas e detetar padrões de comportamento anómalos. Para plataformas e equipas de projeto que precisam de processar grandes volumes de informação de segurança, os modelos podem ajudar a reduzir o trabalho repetitivo de organização de informação e permitir que as equipas se concentrem mais na confirmação de riscos e na resposta a incidentes. No entanto, a eficácia real destas capacidades depende da qualidade dos dados, da conceção do modelo, da integração de sistemas e dos mecanismos de verificação humana.
As próprias ferramentas de defesa baseadas em IA também estão sujeitas a falsos positivos, falsos negativos e compreensão contextual insuficiente. Se as equipas de segurança dependerem inteiramente dos juízos dos modelos, podem ignorar por engano ameaças reais ou reduzir a eficiência da resposta devido a um grande número de falsos positivos. As decisões essenciais que envolvem transferências de ativos, alterações de permissões e operações com chaves continuam a exigir limites de permissão claros, revisão humana e registos auditáveis.
Uma abordagem mais adequada consiste em utilizar a IA como uma camada auxiliar nas operações de segurança, em vez de conceder aos modelos controlo ilimitado do sistema. Os modelos podem melhorar a eficiência da análise, as ferramentas de segurança tradicionais podem executar deteção e controlos determinísticos, e os profissionais podem validar decisões de alto risco. Esta divisão de responsabilidades ajuda a controlar os riscos causados por erros de avaliação dos modelos e abuso de permissões, tirando simultaneamente partido das capacidades da IA.
Para as plataformas de negociação de ativos digitais, os sistemas de segurança precisam de abranger várias áreas, incluindo contas, negociação, gestão de ativos e interações com utilizadores. Os riscos associados a ataques assistidos por IA recordam aos participantes do setor que, mesmo quando a blockchain subjacente possui características como verificabilidade pública e imutabilidade, os utilizadores podem continuar a ser afetados por phishing, roubo de credenciais, malware e riscos de serviços de terceiros. A segurança da plataforma não pode depender apenas das características da rede subjacente. Requer também atenção contínua à proteção de contas, verificação de identidade, permissões do sistema e formação dos utilizadores sobre riscos.
Enquanto plataforma de negociação de ativos digitais, os cenários de negócio da Gate também estão estreitamente relacionados com estas questões de segurança. Ao utilizar os serviços da plataforma, os utilizadores devem aceder às respetivas contas através de canais oficiais, proteger adequadamente as suas credenciais de início de sessão e informações de verificação e ter cautela com pedidos invulgares que aleguem vir do apoio ao cliente da plataforma, de equipas de projeto ou de ferramentas de IA de terceiros. Qualquer pedido de palavra-passe, código de verificação, chave privada ou frase-semente não deve ser considerado parte de um processo normal de apoio à conta.
Do ponto de vista do setor, a tecnologia de IA também disponibiliza novas ferramentas para as operações de segurança. A análise de riscos, a deteção de comportamentos anómalos e a organização de informações de segurança podem tornar-se componentes técnicos dos esforços contínuos de uma plataforma para melhorar as suas capacidades de segurança. No entanto, os sistemas de IA específicos adotados por uma plataforma, as áreas de negócio onde são implementados e as capacidades de defesa que disponibilizam devem ser determinados com base em informações divulgadas publicamente pela plataforma. Não devem ser inferidos apenas a partir das tendências do setor.
Para os utilizadores, a segurança da plataforma e as práticas de segurança pessoais sempre se complementaram. Escolher uma plataforma de serviços fiável, utilizar medidas adequadas de proteção de contas, verificar informações de transações e evitar a divulgação de credenciais sensíveis pode reduzir muitos riscos desnecessários. Para o setor, o verdadeiro desafio colocado pela IA não é uma ferramenta de ataque nova específica. Pelo contrário, tanto as capacidades de ataque como as de defesa estão a mudar, e os sistemas de segurança têm de se adaptar continuamente ao ambiente tecnológico em evolução.
Perguntas frequentes
Os ataques assistidos por IA tornam os criptoativos mais fáceis de roubar?
A IA pode melhorar a eficiência do processamento de informação e da geração de conteúdos para determinadas atividades de ataque. No entanto, a possibilidade de os ativos serem afetados continua a depender de o sistema visado ter vulnerabilidades, de as contas e permissões estarem protegidas e de o atacante conseguir cumprir as condições necessárias para uma exploração efetiva. A IA não significa que um ataque terá necessariamente sucesso.
Quais são os riscos de criptoativos mais comuns associados a ataques assistidos por IA?
Os principais riscos incluem ajudar a descobrir vulnerabilidades em contratos inteligentes e infraestrutura, gerar mensagens de phishing mais enganosas, apoiar o desenvolvimento de malware e utilizar informações públicas para analisar utilizadores e ambientes de projetos. Riscos diferentes envolvem pontos de entrada de ataque e medidas de proteção diferentes.
A IA consegue encontrar todas as vulnerabilidades nos contratos inteligentes?
Não. A IA pode ajudar na compreensão de código e na identificação de lógica suspeita, mas os modelos podem avaliar incorretamente ou ignorar condições de execução complexas. A segurança dos contratos inteligentes continua a exigir análise estática, testes dinâmicos, auditorias independentes e a verificação formal necessária.
Como podem os utilizadores de criptoativos proteger-se contra phishing assistido por IA?
Os utilizadores devem aceder aos serviços através de canais oficiais, verificar nomes de domínio e fontes de informação, nunca fornecer chaves privadas ou frases-semente a ninguém e verificar o destinatário da transação e o âmbito da autorização antes de assinar uma transação. Relativamente a informações sobre agentes de negociação com IA, apoio ao cliente e airdrops, os utilizadores não devem avaliar a credibilidade apenas porque o conteúdo parece profissional.
Sim. A IA pode ajudar a organizar inteligência sobre ameaças, analisar comportamentos anómalos e processar alertas de segurança. No entanto, deve ser combinada com controlos de segurança tradicionais, gestão de permissões, revisão humana e mecanismos de resposta a incidentes. A IA não deve ser a única base para decisões de segurança.
