Duas pontes da Ethereum perdem US$ 31,69 mi; B² suspende recompensas

Duas pontes conectadas à Ethereum perderam um total combinado de US$ 31,69 milhões em um intervalo de poucas horas, e um terceiro protocolo, a B² Network, suspendeu o staking de tokens após detectar acesso não autorizado à sua autoridade de atualização.

A ponte AFX na Arbitrum sofreu o primeiro golpe. A Blockaid indica o ataque às 21:30 UTC de 22 de julho. Uma única transação na Arbitrum moveu 24,15 milhões de USDC para fora da ponte operada pela AFX, um protocolo de negociação descentralizado. A AFX suspendeu imediatamente sua ponte de custódia de USDC e ressaltou que o incidente se limitou a uma ponte de terceiros, não afetando sua própria infraestrutura de negociação, a rede principal ou a ponte nativa da Arbitrum.

Em resultados preliminares publicados em 24 de julho, a AFX atribuiu o ataque a uma "engenharia social coordenada e comprometimento da infraestrutura". Os invasores parecem ter começado em um ambiente de desenvolvimento, para depois se infiltrarem na infraestrutura de compilação interna e nos sistemas de validadores. A AFX disse que está verificando os saldos, buscando a recuperação dos fundos e preparando uma solução. Até 24 de julho, não havia anunciado nenhuma devolução completa de fundos ou um plano de compensação finalizado.

Horas após o incidente da AFX, uma transação na Ethereum mostrou a ponte Verus liberando 1.137,45 ETH mais sete transferências de tokens. A Blockaid avaliou os pagamentos sem lastro em cerca de US$ 7,54 milhões. A análise da SlowMist descobriu que a ponte aprovou oito saques sem prova de que ativos correspondentes os garantiam. A empresa associou a falha à mesma classe ampla de validação de importação cross-chain de um ataque de maio, mas disse que os dois ataques usaram mecanismos diferentes.

O incidente da B² Network não foi um ataque a uma ponte. A rede informou que alguém obteve acesso não autorizado à autoridade de atualização de seu contrato de staking. A B² suspendeu o staking normal durante as revisões de segurança, disse que o problema foi contido e prometeu compensação total aos usuários afetados. Nenhuma restituição havia sido documentada até 24 de julho. A B² também ofereceu uma rota de retirada manual: os usuários podem solicitar o saque através de seu Discord oficial, com os pedidos verificados por propriedade sendo processados em um dia útil. A rede não divulgou o valor da perda, portanto, esse incidente está excluído do total de perdas de pontes de US$ 31,69 milhões.

Os três eventos ocorreram durante um período de maior escrutínio sobre a infraestrutura cross-chain. Para os traders, os itens a serem observados imediatamente são a verificação de saldo e qualquer plano de compensação da AFX, e se a B² retomará o staking normal ou estenderá o processo de saída manual. O ataque à ponte Verus também levanta questões sobre quantas outras implementações dependem da mesma lógica de validação de importação.