Três projetos de criptomoedas amargaram perdas superiores a US$ 11 milhões em 24 de setembro, com Payy Network, Duelbits e Meter Network atingidas por métodos de ataque distintos.
Principais pontos:
- A Payy Network perdeu cerca de US$ 1,8 milhão após o esvaziamento de sua ponte em Ethereum, enquanto a Duelbits reportou perdas próximas de US$ 7 milhões.
- Os invasores da Meter cunharam aproximadamente US$ 2,3 milhões em ativos sem lastro e liquidaram parte deles na PancakeSwap.
- Os incidentes evidenciaram riscos em pontes, carteiras quentes e mecanismos de verificação de tokens.
Ataques à Payy e à Duelbits
A Payy Network, uma plataforma on-chain de folha de pagamento e gestão de tesouraria, suspendeu a rede após o ataque à sua ponte em Ethereum (ETH). O pesquisador on-chain Specter rastreou movimentações suspeitas na ponte e afirmou que o atacante utilizou o protocolo Railgun para financiar a operação, antes de converter cerca de US$ 1,8 milhão em USD Coin (USDC) para Ethereum. A Payy informou que os fundos drenados eram depósitos não custodiais pertencentes à Payy Network e a utilizadores da Payy Wallet.
Em seguida, a Duelbits foi alvo de um ataque. A empresa de análise PeckShield inicialmente estimou perdas de US$ 4,3 milhões, antes de Specter identificar endereços adicionais afetados em Bitcoin (BTC) e Solana (SOL). Um dos cofundadores da Duelbits posteriormente elevou o total para perto de US$ 7 milhões e declarou que “os fundos dos utilizadores estão seguros”.
O incidente da Meter ocorreu por outra via. A empresa de segurança Blockaid afirmou que um atacante explorou o protocolo Meter Passport para cunhar cerca de US$ 2,3 milhões em ativos sem lastro, vendendo parte dos tokens na PancakeSwap. No rescaldo, o token MTR (MTR) desabou quase 80%, enquanto MTRG (MTRG) recuou cerca de 75%.
Veja também: Rali do Ethereum depende dos US$ 2,8 mil após retomada da média de 200 dias
Contexto de segurança da Blockaid
Especialistas em segurança destacaram pontos de falha diferentes nos três casos, afastando a hipótese de um exploit comum. A Payy afirmou, em avaliação preliminar da causa raiz, que a violação “NÃO foi resultado de chave comprometida, engenharia social ou exploração da nossa infraestrutura off-chain”. Já relatos sobre o ataque à Duelbits apontam para provável comprometimento de chave privada. No caso da Meter, as conclusões da Blockaid se concentraram na cunhagem não autorizada por meio da ponte.
A sequência de ataques coincidiu com a investigação da Bitget sobre transferências não autorizadas de ativos inicialmente estimadas em cerca de US$ 351,6 milhões, o que levou a corretora a suspender temporariamente levantamentos para revisão de segurança. As operações de negociação e depósitos permaneceram ativas, e a empresa assegurou que os saldos exibidos aos clientes seguiam corretos. Em paralelo, a KelpDAO processou a LayerZero e o cofundador Brian Pellegrino por um ataque de US$ 292 milhões, alegando que riscos não divulgados e falhas tecnológicas teriam causado o prejuízo.
Os episódios de 24 de setembro também reacenderam preocupações antigas de segurança em dois dos projetos atingidos. A Duelbits já havia perdido cerca de US$ 4,6 milhões num ataque em 2024, que a CertiK vinculou a possível vazamento de chave privada, enquanto a Meter sofreu um exploit na sua ponte em 2022, com perdas em torno de US$ 4,4 milhões.
Leia a seguir: Michael Saylor quer que bancos transformem Bitcoin em colateral do dia a dia
