Três projetos de criptomoedas registraram perdas combinadas superiores a US$ 11 milhões em 24 de setembro, com Payy Network, Duelbits e Meter Network sendo alvo de ataques por vetores distintos.
Pontos-chave:
- A Payy Network perdeu cerca de US$ 1,8 milhão após a drenagem de sua ponte em Ethereum, enquanto a Duelbits reportou prejuízo próximo de US$ 7 milhões.
- Os atacantes da Meter cunharam aproximadamente US$ 2,3 milhões em ativos sem lastro e venderam parte deles via PancakeSwap.
- Os incidentes expuseram riscos em pontes (bridges), carteiras quentes (hot wallets) e mecanismos de verificação de tokens.
Ataques à Payy e à Duelbits
A Payy Network, uma plataforma on-chain de folha de pagamento e tesouraria, suspendeu as operações de sua rede após o ataque à ponte em Ethereum (ETH). O pesquisador on-chain Specter rastreou transferências suspeitas pela bridge e afirmou que o invasor utilizou o mixer Railgun para financiar a operação antes de converter cerca de US$ 1,8 milhão em USD Coin (USDC) para Ethereum. A Payy informou que os recursos drenados eram depósitos não custodiais pertencentes à Payy Network e aos usuários da Payy Wallet.
Na sequência, a Duelbits foi atingida. A empresa de análise PeckShield inicialmente estimou perdas de US$ 4,3 milhões, antes de Specter identificar endereços adicionais afetados em Bitcoin (BTC) e Solana (SOL). Um dos cofundadores da Duelbits posteriormente elevou o total para algo próximo de US$ 7 milhões e declarou que “os fundos dos usuários estão seguros”.
O incidente da Meter seguiu uma dinâmica diferente. A empresa de segurança Blockaid relatou que um atacante explorou o protocolo Meter Passport para cunhar cerca de US$ 2,3 milhões em ativos sem lastro, vendendo parte deles na PancakeSwap. Após o ataque, o token MTR (MTR) chegou a desabar perto de 80%, enquanto MTRG (MTRG) recuou cerca de 75%.
Veja também: Rali do Ethereum depende de rompimento dos US$ 2,8 mil após retomada da média de 200 dias
Contexto de segurança segundo a Blockaid
Pesquisadores de segurança destacaram pontos de falha diferentes em cada um dos três casos, afastando a hipótese de um exploit único e comum. A Payy afirmou, após uma análise preliminar da causa raiz, que a violação “NÃO foi provocada por chave comprometida, engenharia social ou falha em nossa infraestrutura off-chain”. No caso da Duelbits, relatos apontam para uma provável violação de chave privada. Já as conclusões da Blockaid sobre a Meter se concentraram na cunhagem não autorizada via a bridge.
A sequência de ataques ocorreu em meio à investigação da Bitget sobre transferências não autorizadas de ativos inicialmente estimadas em cerca de US$ 351,6 milhões, o que levou a corretora a suspender temporariamente saques para revisões de segurança. As negociações e os depósitos seguiram operando, e a exchange afirmou que os saldos exibidos aos usuários permaneciam corretos. Em paralelo, a KelpDAO processou a LayerZero e o cofundador Brian Pellegrino por um hack de US$ 292 milhões, alegando que riscos não divulgados e falhas tecnológicas teriam provocado o prejuízo.
Os eventos de 24 de setembro também reacenderam preocupações antigas de segurança em dois dos projetos envolvidos. A Duelbits já havia perdido cerca de US$ 4,6 milhões em um ataque em 2024, associado pela CertiK a um possível vazamento de chave privada, enquanto a Meter sofreu um exploit em sua bridge em 2022, com perdas em torno de US$ 4,4 milhões.
Leia a seguir: Michael Saylor quer que bancos transformem Bitcoin em colateral do dia a dia
