Physical Address
304 North Cardinal St.
Dorchester Center, MA 02124
Alguém acabou de drenar carteiras Ethereum adormecidas há muito esquecidas, e a causa pode remontar a anos
Centenas de Ethereum carteiras que permaneceram intocadas por anos foram drenadas para o mesmo endereço etiquetado, transformando a exposição de chaves antigas no alerta de segurança criptográfico mais severo desta semana.
Em 30 de abril, WazzCrypto sinalizado o incidente afetou as carteiras da rede principal no X, e seu aviso se espalhou rapidamente porque as contas afetadas não pareciam ser carteiras quentes recém-iscadas. Eram carteiras antigas com histórias tranquilas, algumas vinculadas a ativos e ferramentas de uma era Ethereum anterior.
Mais de 260 ETH, cerca de US$ 600.000, foram drenados de centenas de carteiras inativas. Mais de 500 carteiras parecem ter sido afetadas, com perdas totalizando cerca de US$ 800.000, e muitas carteiras ficaram ociosas por quatro a oito anos. O relacionado Endereço Etherscan está rotuladoFake_Phishing2831105e mostra 596 transações e registra um movimento de 324.741 ETH para o THORChain Router v4.1.1 por volta da janela de 30 de abril.
A constante entre eles é mais importante por enquanto: carteiras há muito inativas foram movidas para um destino comum, enquanto o caminho do compromisso permanece sem solução.
Esse vetor não resolvido faz do dreno o alerta mais forte desta semana, após um aumento nos hacks de DeFi. As explorações de protocolo geralmente fornecem aos investigadores um contrato, uma chamada de função ou uma transação privilegiada para inspecionar.
Aqui, a questão central está na camada da carteira. Alguém obteve frases-semente antigas, quebrou chaves geradas de forma fraca, usou material de chave privada vazado, abusou de uma ferramenta que antes manipulava chaves ou explorou outro caminho que ainda não apareceu?
Discussão pública produziu teorias que incluem entropia fraca em ferramentas de carteira legadas, mnemônicos comprometidos, manipulação de chaves de bots comerciais e armazenamento de sementes da era LastPass. Um usuário afetado levantou pessoalmente a teoria do LastPass.
Os conselhos práticos para os utilizadores são limitados mas urgentes. A ociosidade não mitiga o risco da chave privada. Uma carteira com valor depende do histórico completo da chave, da frase inicial, do dispositivo que a gerou, do software que a tocou e de cada local onde esse segredo pode ter sido armazenado.
Para os usuários, a resposta provavelmente será inventariar carteiras antigas de alto valor, movimentar fundos somente após configurar novos materiais de chave por meio de hardware confiável ou software de carteira moderno e evitar inserir sementes antigas em verificadores, scripts ou ferramentas de recuperação desconhecidas. A revogação de aprovações ajuda na exposição do protocolo, incluindo Aviso ao usuário do Wasabimas uma drenagem direta da carteira aponta primeiro para a segurança da chave, em vez de aprovações de tokens.
Abril ampliou a superfície de controle
O cluster de carteiras chegou em meio ao número de explorações criptográficas de abril, que já era elevado. Relatórios vinculados ao DefiLlama estima-se que abril tenha cerca de 28 a 30 incidentes e mais de US$ 625 milhões em fundos roubados. A partir de 1º de maio, a live API DefiLlama mostrou incidentes de 28 de abril totalizando US$ 635.241.950.
Um 1º de maio segmento de mercado capturou o ponto de pressão: a drenagem da carteira desta semana, a exploração da chave de administração do protocolo Wasabi e as maiores perdas de DeFi de abril atingiram superfícies de controle que os usuários comuns raramente inspecionam. O link ao longo do mês é arquitetônico e não atribucional.
Caminhos de administração tornaram-se caminhos de ataque
Protocolo Wasabi fornece o exemplo de protocolo recente mais claro. A exploração de 30 de abril supostamente drenou cerca de US$ 4,5 milhões a US$ 5,5 milhões depois que um invasor obteve autoridade de implantador/administrador, concedida ADMIN_ROLE para contratos controlados por invasores e usou atualizações de proxy UUPS para drenar cofres e pools em Ethereum, Base e Blast. Alertas de segurança antecipados sinalizou o padrão admin-upgrade conforme o ataque se desenrolava.
A mecânica relatada colocou o gerenciamento de chaves no centro do incidente. A capacidade de atualização pode ser uma infraestrutura de manutenção normal. A autoridade concentrada de atualização transforma esse caminho de manutenção em uma meta de alto valor. Se um implementador ou conta privilegiada puder alterar a lógica de implementação entre cadeias, o limite em torno de um contrato auditado poderá desaparecer quando essa autoridade for comprometida.
Esse é o problema enfrentado pelo usuário oculto em muitas interfaces DeFi. Um protocolo pode apresentar contratos abertos, front-ends públicos e linguagem de descentralização, enquanto o poder crítico de atualização ainda está em um pequeno conjunto de chaves operacionais.
Signatários e verificadores sofreram as maiores perdas
O Drift empurrou o mesmo problema de controle para o fluxo de trabalho do signatário. Chainálise descrita engenharia social, transações nonce duráveis, garantias falsas, manipulação de oráculos e uma migração 2 de 5 do Conselho de Segurança com timelock zero. Blockaid colocou a perda cerca de US$ 285 milhões e argumentou que a simulação de transações e políticas mais rígidas de fiador poderiam ter mudado o resultado.
O caso Drift é importante aqui porque o caminho não dependia de um simples bug de função pública. Dependia de um fluxo de trabalho onde assinaturas válidas e mecanismos de governação rápidos pudessem ser orientados para uma migração hostil. Um processo de signatário tornou-se a superfície de controle.
KelpDAO mudou o teste de estresse para verificação de cadeia cruzada. O declaração de incidente descreveu uma configuração de ponte na qual a rota rsETH usava LayerZero Labs como o único verificador DVN. Revisões forenses descreveram nós RPC comprometidos e pressão DDoS alimentando dados falsos para um caminho de verificação de ponto único.
O resultado, segundo Chaináliseforam 116.500 rsETH, no valor de aproximadamente US$ 292 milhões, liberados contra uma queima inexistente. O contrato simbólico poderia permanecer intacto enquanto a ponte aceitasse uma premissa falsa. É por isso que uma falha no verificador pode tornar-se um problema de estrutura de mercado, uma vez que o activo em ponte fica dentro dos mercados de empréstimos e dos pools de liquidez.
AI pertence à discussão sobre velocidade
Eu penso Projeto Glasswing merece uma menção especial aqui pelo contexto, separado da causalidade. Antrópico diz Antevisão de Claude Mythos encontrou milhares de casos de alta gravidade vulnerabilidades de software e mostra como a IA pode compactar a descoberta de vulnerabilidades. Isso eleva o padrão para os defensores, mas o registro causal nesses incidentes criptográficos aponta para chaves, signatários, poderes administrativos, verificação de ponte, dependências de RPC e exposição de carteira não resolvida.
As implicações de segurança ainda são graves. A descoberta mais rápida oferece aos atacantes e defensores mais superfície paralela para trabalhar. Isso também torna os atalhos operacionais antigos mais caros porque segredos inativos, chaves privilegiadas e caminhos de verificador único podem ser testados mais rapidamente do que as equipes podem revisá-los manualmente.
A lista de reparos está operacional
Os controles que seguem a partir de abril ficam acima e ao redor da base de código.
| Incidente | Ponto de controle oculto | Modo de falha | Controle prático |
|---|---|---|---|
| Carteiras Ethereum inativas | Material de carteira antiga | Fundos movidos de carteiras há muito inativas para um endereço marcado enquanto o vetor permanece sem solução | Geração de novas chaves para valiosos fundos inativos, migração cautelosa e nenhuma entrada inicial em ferramentas desconhecidas |
| Wasabi | Autoridade de administração e atualização | Concessões de funções privilegiadas e atualizações de UUPS permitiram drenagem de cofres e pools | Rotação de chaves, limites mais fortes, poderes de administração limitados, timelocks e monitoramento independente de ações de atualização |
| Deriva | Fluxo de trabalho do signatário do Conselho de Segurança | Transações nonce duráveis pré-assinadas e governança com atraso zero permitiram o controle rápido do administrador | Limites mais altos, janelas de atraso, simulação de transações e co-assinatura imposta por políticas |
| KelpDAO | Caminho de verificação da ponte | O envenenamento de RPC e uma rota DVN 1 de 1 permitiram a passagem de uma mensagem falsa entre cadeias | Verificação multi-DVN, monitoramento invariante entre cadeias e verificações independentes fora do mesmo caminho do verificador |
Para os protocolos, a prioridade é reduzir a quantidade que qualquer autoridade pode fazer de uma só vez. Isso significa bloqueios de tempo nas operações administrativas, limites de signatários mais fortes e estáveis, filas de transações privilegiadas monitoradas, limites explícitos nas alterações de parâmetros e sistemas de assinatura conjunta que simulam os efeitos da transação antes que os humanos os aprovem.
Para pontes, a prioridade é a verificação independente e verificações invariantes. Uma mensagem entre cadeias deve ser testada em relação ao facto económico que afirma representar. Se rsETH sair de um lado, o sistema deverá verificar a mudança de estado correspondente no outro lado antes que o lado de destino libere o valor. Esse monitoramento precisa existir fora do mesmo caminho que assina a mensagem.
Para os usuários, a lista de reparos é menor. Mova fundos antigos e valiosos para chaves novas por meio de um processo em que você já confia. Separe essa ação da limpeza de aprovação específica do protocolo. Trate todas as reclamações sobre a causa raiz do esgotamento da carteira como provisórias até que o trabalho forense identifique uma ferramenta comum, caminho de armazenamento ou fonte de exposição.
O próximo teste
April provou que a lista de verificação de segurança do usuário médio provavelmente está incompleta. Auditorias, contratos públicos e interfaces descentralizadas podem coexistir com autoridade administrativa concentrada, procedimentos de signatários fracos, verificação de pontes frágeis e segredos de carteiras antigas.
O próximo trimestre recompensará a prova da linguagem de descentralização: poderes de atualização restritos, timelocks visíveis, caminhos de verificação independentes, simulação de transações para ações privilegiadas, controles de acesso disciplinados e rotação de chaves documentada.
Os drenos da carteira inativa mostram a versão desconfortável do mesmo problema para o usuário. Um sistema pode parecer silencioso enquanto uma falha de controle antiga aguarda em segundo plano. A onda de exploração de abril expôs essa camada acima do código; a próxima fase mostrará quais equipes o tratam como segurança central antes da movimentação dos fundos.
