Verus ponte cross-chain hacker devolve 75% dos fundos roubados, a parte do protocolo aceita acordo sem responsabilização

O atacante devolveu 4.052 ETH (cerca de 8,5 milhões de dólares), mantendo 1.350 ETH como recompensa — O roubo na ponte cross-chain da Verus terminou em negociação, mas a questão de se o mecanismo de recompensa incentiva uma postura de "atacar primeiro, negociar depois" gerou debate.
(Resumindo: A ponte cross-chain da Verus na Ethereum foi atacada! Blockaid monitora: perdas superiores a 11,58 milhões de dólares)
(Informação adicional: Após o ataque à THORChain, foi lançada uma proposta de recuperação: perdas de milhões de dólares absorvidas pelo protocolo, destruindo $RUNE do atacante)

Índice deste artigo

Alternar

• Resultados da negociação e detalhes do retorno de fundos
• Reações da comunidade polarizadas: exemplo ou incentivo?
• Revisão: trajetória histórica de ataques a pontes cross-chain
• Modelo de recompensa: a faca de dois gumes da segurança DeFi

O ataque à ponte cross-chain da Verus na Ethereum, ocorrido em meados de maio, avançou significativamente após dias de negociações. O atacante hoje devolveu voluntariamente cerca de 4.052 ETH, avaliado em aproximadamente 8,5 milhões de dólares, representando 75% dos 5.402 ETH (cerca de 11,58 milhões de dólares) inicialmente roubados. A equipe da Verus anunciou que aceitou o resultado da negociação, concordando em não processar criminalmente o hacker, e considerou os 1.350 ETH restantes (cerca de 2,8 milhões de dólares) como uma recompensa de white hat, como reconhecimento pelo descobrimento e divulgação da vulnerabilidade.

Resultados da negociação e detalhes do retorno de fundos

De acordo com dados na blockchain, esses fundos devolvidos foram transferidos em lotes do endereço do atacante para a carteira oficial designada pela Verus. As partes não divulgaram detalhes completos das negociações, mas a comunidade acredita que se tratou de uma negociação liderada pela equipe da Verus, no estilo de uma "recompensa por divulgação de vulnerabilidade". O atacante publicou uma declaração nas plataformas sociais, enfatizando que não agiu com malícia, mas que seu objetivo era incentivar a atenção do protocolo à segurança, agradecendo à equipe por estar disposta a resolver a questão de forma construtiva.

Reações da comunidade polarizadas: exemplo ou incentivo?

No entanto, dentro da comunidade da Verus, as opiniões sobre esse resultado divergem. Alguns consideram que é um exemplo na história da segurança DeFi, ao reduzir perdas por meio de negociações, evitar longos processos judiciais e recuperar a maior parte dos fundos; outros criticam, alegando que isso incentiva uma cultura de "atacar primeiro, negociar depois", permitindo que hackers saiam ilesos com recompensas generosas.

Revisão: trajetória histórica de ataques a pontes cross-chain

Na verdade, esse padrão não é exclusivo de eventos de ataques a pontes cross-chain. Em julho de 2021, a THORChain sofreu um ataque que resultou em perdas de cerca de 5 milhões de dólares; após uma comunicação pública, o atacante devolveu grande parte dos fundos e recebeu uma recompensa de 10%. Em agosto do mesmo ano, a Poly Network foi alvo de um ataque de 610 milhões de dólares; sob pressão da opinião pública e negociações com o protocolo, o hacker devolveu quase todos os fundos, sem que o protocolo tomasse ações legais. Esses casos seguem uma trajetória semelhante ao incidente da Verus: os atacantes não agem apenas por lucro, mas também com o objetivo de revelar vulnerabilidades, e os protocolos oferecem recompensas para estimular a devolução dos fundos.

Em contraste, os ataques às pontes Wormhole (perda de 320 milhões de dólares) no início de 2022 e Ronin (perda de 620 milhões de dólares) tiveram desfechos completamente diferentes. A Wormhole foi totalmente ressarcida pela Jump Crypto, sua empresa-mãe, e o atacante até hoje não foi capturado; a Ronin foi atribuída ao grupo Lazarus, da Coreia do Norte, dificultando a recuperação dos fundos, que foram apenas parcialmente congelados pelas autoridades. Esses exemplos demonstram que a negociação de recompensas não é uma solução mágica, e o sucesso na resolução muitas vezes depende da identidade e motivação do atacante.

Modelo de recompensa: a faca de dois gumes da segurança DeFi

O mecanismo de recompensas na ecologia de segurança DeFi tem se tornado cada vez mais complexo. Por um lado, oferece às equipes uma ferramenta rápida para conter perdas, especialmente em fases iniciais sem mecanismos de seguro, reduzindo efetivamente o impacto final. Por outro lado, esse modelo pode gerar riscos morais, levando potenciais atacantes a acreditarem que devolver a maior parte dos fundos os isenta de responsabilidade criminal e até lhes permite lucrar com recompensas. A longo prazo, os protocolos DeFi precisam focar na raiz do problema: reforçar auditorias de código, implementar monitoramento em tempo real e mecanismos de pausa de emergência, para diminuir a ocorrência de incidentes desde a origem.

Michael J. Toutonghi, cofundador da Verus, afirmou na comunidade que esse incidente lhes proporcionou uma valiosa experiência. Eles planejam aprimorar a segurança dos contratos de ponte e considerar a implementação de programas de bug bounty mais robustos, permitindo que white hats reportem vulnerabilidades proativamente antes de ataques. Ele destacou que o objetivo principal do protocolo é proteger os ativos dos usuários, e embora o resultado atual não seja perfeito, representa a melhor solução possível diante do cenário atual.

Até o momento da publicação, a ponte cross-chain da Verus voltou a operar normalmente, e os fundos dos usuários estão seguros. Este incidente deixa uma lição importante para o setor de criptomoedas: quando há espaço para negociação entre atacante e protocolo, o mecanismo de recompensa pode se tornar uma prática comum na segurança DeFi ou ser apenas uma solução paliativa que não resolve a raiz do problema.