US$ 815 mil gastos em 7 minutos – Por dentro da exploração Alephium TokenBridge da Ethereum

Cinco meses em 2026 e os ataques continuam. A Blockaid, uma empresa de segurança blockchain, descobriu uma nova exploração visando o Alephium TokenBridge da Ethereum no dia 30 de maio.

De acordo com a investigação, três em cada quatro chaves de guardião comprometidas que assinaram VAAs (Aprovações de Ação Verificada) forjadas foram usadas para drenar US$ 815.000 em sete minutos.

Como as chaves do guardião foram comprometidas?

Para contextualizar, o Alephium TokenBridge é uma ponte que liga o Ethereum e o blockchain Alephium.

Quando os usuários mudam do Alephium para Ethereum [ETH]o ALPH real está bloqueado em uma única cadeia. Seguindo em frente, Ethereum é usado para cunhar uma versão embrulhada (wALPH).

Antes de permitir o prosseguimento da casa da moeda, três guardiões da ponte confirmam que a fechadura foi realmente feita. Além disso, para verificar as transferências entre cadeias, o sistema utiliza assinaturas dos responsáveis.

Para que uma mensagem de transferência seja aprovada pela ponte, três dos quatro guardiões devem assiná-la. No entanto, no ataque Alephium TokenBridge, oAs três chaves privadas guardiãs foram de alguma forma obtidos pelos atacantes.

Depois de obter essas chaves, eles fabricaram mensagens ponte falsas conhecidas como VAAs e as fizeram parecer autênticas.

A reviravolta de ‘cunhagem’

Além de cunhar ALPH, os VAAs forjados deram instruções à ponte para liberar bens já presos.

Como resultado dos atacantes terem convencido a ponte de que houve retiradas válidas, Amarração [USDT], Moeda em dólares americanos [USDC]Wrapped Bitcoin (WBTC) e Wrapped Ether (WETH) foram desbloqueados.

Sem fazer um depósito ALPH real, os invasores fizeram 13,76 milhões de ALPH embrulhados. De acordo com a Blockaid, isso representava mais de 100% do fornecimento embalado anteriormente disponível.

Em outras palavras, o invasor produziu essencialmente uma grande quantidade de ativos apoiados pelo ALPH do nada.

Ataques semelhantes no passado

Isto se assemelha ao Exploração da ponte buraco de minhocaem que os invasores criaram ativos que nunca foram respaldados por mensagens pontes colaterais e forjadas.

Além disso, isto seguiu-se a um recente ataque ao Ponte Verus-Ethereumque esgotou aproximadamente US$ 11,58 milhões.

Resumo Final

• Neste ataque, três em cada quatro chaves de guardiões comprometidas resultaram no desperdício de US$ 815.000 em apenas sete minutos.
• Os invasores cunharam 13,76 milhões de ALPH embrulhados sem realmente depositar nenhum ALPH.