Análise do maior ataque hacker da história do Web3

No dia 21 de fevereiro de 2025, a carteira fria de Ethereum de uma conhecida plataforma de negociação sofreu um grave ataque de segurança. Os atacantes, através de métodos de phishing cuidadosamente elaborados, conseguiram induzir os signatários da carteira multi-assinatura a assinarem transações maliciosas, resultando na transferência de aproximadamente 1,46 bilhões de dólares em ativos criptográficos para um endereço desconhecido.

Revisão do Processo de Ataque

Os principais passos do atacante são os seguintes:

1. Pré-implantar contratos maliciosos com portas dos fundos para transferência de fundos.
2. Alterar a interface da carteira multi-assinatura, para que as informações da transação que os signatários veem não correspondam aos dados realmente enviados para a carteira de hardware.
3. Obter três assinaturas válidas através de uma interface falsa, substituindo o contrato de implementação da carteira multi-assinatura por uma versão maliciosa.
4. Controlar a carteira fria e transferir grandes quantidades de ativos.

Investigação revelou

A empresa de segurança Sygnia, contratada para realizar uma investigação forense, publicou um relatório preliminar, cujas principais descobertas incluem:

• Foi encontrado código JavaScript malicioso injetado no bucket S3 da AWS usado por carteiras multi-assinatura.
• A análise de código mostra que o seu principal objetivo é adulterar o conteúdo da transação durante o processo de assinatura.
• O código malicioso tem condições de ativação específicas e só é eficaz para endereços de contrato específicos.
• Pouco depois do ataque ser concluído, uma versão atualizada dos recursos JavaScript foi carregada, removendo o código malicioso.
• As provas iniciais apontam que o ataque teve origem na infraestrutura AWS da carteira multi-assinatura.
• Neste momento, não foram encontrados sinais de que a infraestrutura da própria plataforma de negociação tenha sido invadida.

Análise de Vulnerabilidades de Segurança

Este incidente expôs problemas de segurança em múltiplos níveis:

1. Segurança de armazenamento em nuvem: O bucket S3 da AWS foi adulterado, indicando que existem falhas no controle de acesso ao serviço em nuvem.

2. Validação de segurança insuficiente no front-end: se a carteira multi-assinatura implementou uma verificação completa de integridade de sub-recursos (SRI) no front-end, mesmo que o JavaScript seja alterado, isso pode evitar esse tipo de ataque.

3. Limitações da carteira de hardware: ao lidar com transações complexas, a carteira de hardware não consegue interpretar e exibir completamente os dados detalhados das transações de carteiras multi-assinatura, levando os signatários a "assinarem às cegas".

4. Confiança excessiva na interface: A plataforma de negociação demonstrou uma confiança excessiva na interface da carteira multi-assinatura, ignorando a verificação secundária do conteúdo real da transação.

Sugestões de Segurança

Para prevenir ataques semelhantes, podem ser adotadas as seguintes medidas:

1. Implementação da verificação de assinatura estruturada EIP-712:
   • Gerar dados verificáveis no front-end
   • Verificação de assinatura de contrato inteligente, garantindo que qualquer alteração de parâmetro resulte na reversão automática da transação.

2. Atualizar o firmware da carteira de hardware para suportar uma análise semântica mais avançada:
   • Melhorar a capacidade de análise de transações complexas
   • Implementar correspondência semântica obrigatória na cadeia

3. Reforçar a segurança dos serviços em nuvem:

   • Gerir rigorosamente o acesso aos serviços em nuvem como AWS
   • Auditorias regulares e monitorização de alterações em recursos críticos

4. Mecanismo de múltiplas validações:

   • Introduzir a verificação multifatorial em operações críticas
   • Utilizar dados on-chain e off-chain para a verificação cruzada do conteúdo das transações

5. Auditorias de segurança contínuas:

   • Realizar avaliações de segurança abrangentes regularmente
   • Utilizar ferramentas avançadas de IA para auditoria de código de contratos inteligentes

Conclusão

Os desafios de segurança no domínio do Web3 estão a tornar-se cada vez mais complexos, sendo necessário melhorar a capacidade de proteção de forma abrangente em vários níveis, desde a segurança dos dispositivos, validação de transações até os mecanismos de controle de risco. Os desenvolvedores front-end devem realizar uma verificação rigorosa em todas as etapas, incluindo acesso a DApps, conexão de carteiras, assinatura de mensagens e assinatura de transações. Apenas estabelecendo uma linha de defesa de segurança abrangente é que podemos realmente proteger o valor e a confiança de cada transação no mundo aberto do Web3.