O roubo mais absurdo? Um hacker cunhou 1 bilhão de dólares em $DOT, por "este motivo" roubou apenas 230 mil dólares

Eventos de ataques a criptomoedas surgem constantemente, mas casos como este de “arriscar, ganhar pouco” são realmente raros. Hoje (13), mais cedo, um hacker aproveitou uma vulnerabilidade na ponte de cadeia cruzada Hyperbridge para criar do nada 1 bilhão de tokens Polkadot (DOT) na Ethereum, com um valor nominal de até 1,19 mil milhões de dólares. No entanto, ao tentar vender esses tokens, devido à grave falta de liquidez, acabou recebendo apenas cerca de 237 mil dólares em Ethereum. É importante esclarecer que o alvo do ataque foi o “contrato inteligente da ponte de cadeia cruzada”, portanto os tokens DOT nativos na rede principal do Polkadot não foram afetados. A causa principal dessa vulnerabilidade foi que o contrato EthereumHost do Hyperbridge, antes de transmitir a mensagem de cadeia cruzada ao TokenGateway, não verificou corretamente a autenticidade da mensagem.

Bridged $DOT (@Polkadot) acabou sendo explorado na @ethereum.

O controle foi transferido para o contrato do atacante, então 1B $DOT foi cunhado e imediatamente vendido. O preço despencou de $1,22 para frações minúsculas de centavo.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 de abril de 2026

As pontes de cadeia cruzada sempre foram uma das partes mais frágeis da arquitetura blockchain, pois detêm o controle de gerenciamento dos contratos de tokens. Uma vez que o mecanismo de verificação seja comprometido, os hackers podem facilmente obter o poder de cunhar tokens ilimitados. Método de ataque: falsificação de mensagens, tomada de controle, cunhagem ilimitada de tokens Rastreamentos na blockchain mostram que o hacker enviou uma mensagem falsificada através do dispatchIncoming, direcionando-a com sucesso para o TokenGateway.onAccept. O sistema deveria verificar a autenticidade dessa mensagem com base no estado da cadeia Polkadot, mas o mecanismo de verificação registrou o valor de promessa como “zero completo”, o que indica que o procedimento de verificação foi completamente burlado ou inexistente, levando o sistema a aceitar a mensagem falsa como uma instrução legítima. A mensagem aceita imediatamente executou a função changeAdmin no contrato de tokens de ponte do Polkadot, transferindo o controle administrativo para o endereço do atacante. Após obter o controle, o hacker cunhou 1 bilhão de DOT em uma única transação e, usando o Odos Router V3, depositou esses tokens na pool de troca DOT-ETH do Uniswap V4. Após várias trocas a preços ligeiramente diferentes, acabou retirando cerca de 108,2 ETH. “Falta de liquidez” vira escudo de proteção No mercado financeiro, “falta de liquidez” costuma ser um problema de grande preocupação para os grandes investidores, mas, ironicamente, nesta ocasião, a escassez de liquidez acabou funcionando como uma barreira invisível, limitando drasticamente os lucros do hacker. Devido à profundidade de liquidez extremamente limitada do DOT na Ethereum, não foi possível absorver esses 1 bilhão de tokens criados do nada. Quando o hacker tentou vender rapidamente, a queda de preço foi severa, fazendo com que o valor real de cada token fosse inferior a 1 centavo de dólar. Em uma ponte de maior profundidade de liquidez ou com ativos de maior valor, a mesma vulnerabilidade provavelmente causaria perdas dezenas de vezes maiores. Até o momento da redação, o preço do DOT está em torno de 1,17 dólares, com uma queda de 5% nas últimas 24 horas. Este incidente reforça a lição de que, mesmo que um hacker detenha o “poder de cunhar tokens ilimitados”, o sucesso na arbitragem ainda depende da liquidez do mercado e da profundidade das negociações. A renomada empresa de segurança blockchain CertiK confirmou o ataque, afirmando que o hacker obteve lucro de aproximadamente 237 mil dólares ao cunhar e vender os tokens de ponte. Até o momento, a equipe oficial do Hyperbridge não comentou publicamente sobre o incidente.

#CertiKInsight 🚨

Vimos uma exploração no contrato de gateway do @hyperbridge. https://t.co/h27iDm1JGd

O atacante conseguiu passar por uma mensagem falsificada para alterar o administrador do contrato de tokens do Polkadot na Ethereum e lucrou aproximadamente $237K ao cunhar e vender 1 bilhão de tokens.

Fique atento… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 de abril de 2026