CrossCurve enfrentou ameaça de ação judicial após ataque aos serviços de exploração de sua infraestrutura crosschain

O projeto CrossCurve, anteriormente conhecido como EYWA, esteve no centro de um grave incidente de segurança, quando hackers não identificados utilizaram serviços de hacking de contratos inteligentes para realizar um ataque direcionado ao mecanismo de transferência de tokens entre blockchains. Como resultado da violação, no valor de cerca de três milhões de dólares, a equipe do projeto anunciou a tomada de medidas legais contra os envolvidos e concedeu-lhes um prazo de 72 horas para devolver os fundos.

Endereços detectados e resposta inicial

A equipe CrossCurve identificou rapidamente dez endereços Ethereum para os quais os ativos roubados foram transferidos imediatamente após o incidente. O CEO Boris Povar explicou que uma vulnerabilidade no protocolo de transferência foi explorada para a retirada não autorizada de fundos dos usuários. Na fase inicial, a liderança do projeto presumiu que os destinatários poderiam não estar cientes da natureza ilícita dos fundos recebidos. No entanto, essa abordagem amistosa foi motivada pelo prazo de três dias para a devolução voluntária dos ativos e pelo contato direto com as partes envolvidas.

Na ausência de resolução consensual, a CrossCurve prometeu escalar a situação até o âmbito criminal, colaborar com exchanges de criptomoedas para congelar os ativos comprometidos e envolver autoridades internacionais e empresas de análise de blockchain.

Escala das perdas distribuídas por várias redes

A plataforma de análise de segurança blockchain Defimons, gerenciada pela Decurity, revelou que o prejuízo total soma aproximadamente três milhões de dólares, distribuídos por diferentes redes blockchain. Estimativas paralelas da BlockSec, líder em segurança de sistemas distribuídos, indicam perdas de cerca de 2,76 milhões de dólares.

A análise detalhada mostra que a rede Ethereum sofreu a maior perda, de aproximadamente 1,3 milhão de dólares, enquanto a rede Arbitrum enfrentou perdas de cerca de 1,28 milhão de dólares. Valores adicionais de prejuízo foram registrados em redes como Optimism, Base, Mantle, Kava, Frax, Celo e Blast, destacando a variedade de vetores de ataque utilizados. O próprio CrossCurve ainda não divulgou uma avaliação oficial do valor total dos ativos afetados, tendo procurado especialistas através do canal de mídia Decrypt para uma análise adicional.

Causas técnicas: verificação insuficiente e cadeia de confiança

A equipe da BlockSec explicou o mecanismo de comprometimento: o principal problema foi um sistema inadequado de verificação de mensagens entre redes, que são transmitidas entre diferentes blockchains. Quando uma mensagem chega à rede de destino, o sistema deve garantir sua autenticidade, mas neste caso, o contrato aceitou dados falsificados como legítimos e executou instruções de retirada de fundos.

Os analistas da BlockSec destacaram uma vulnerabilidade crítica na arquitetura de pontes cross-chain: muitas dessas plataformas dependem de uma única camada de verificação. Se essa camada for comprometida ou contornada, toda a cadeia de confiança é destruída. Dan Dadybayo, chefe do departamento de pesquisa científica e desenvolvimento estratégico do projeto Unstoppable Wallet, explicou em entrevista à Decrypt que o problema não residia no protocolo principal Axelar, mas no contrato personalizado ReceiverAxelar, desenvolvido pelo próprio CrossCurve para processar mensagens entre redes sem um nível adequado de autenticação.

Paralelos históricos e lições sistêmicas

A história conhece incidentes semelhantes. A violação da ponte Nomad em 2022 revelou vulnerabilidades similares na lógica de verificação. Dadybayo destacou que o maior desafio de segurança para sistemas cross-chain não está no transporte de mensagens em si, mas na garantia de autenticação completa antes da execução de qualquer ação. Os contratos personalizados de recebimento de mensagens frequentemente se mostram o elo mais fraco na cadeia de proteção.

Enquanto as pontes cross-chain concentram volumes significativos de liquidez e cada projeto desenvolve sua própria lógica de verificação, esses sistemas permanecem alvos prioritários para ataques de hacking e ataques direcionados na ecossistema DeFi. O incidente CrossCurve serve como um lembrete de que arquiteturas complexas de soluções cross-chain exigem não apenas conhecimento técnico, mas uma reavaliação radical dos modelos de segurança.