Cú Lừa 24 Milhões de USD Revela a Armadilha Astuta na História das Negociações

O mercado de criptomoedas acabou de registrar mais um caso chocante de perda de dinheiro. Aproximadamente 24 milhões de USD em stablecoins desapareceram de uma carteira relacionada ao KOL crypto Sillytuna, após a vítima cair na armadilha do “envenenamento de endereço” — uma técnica de fraude que parece simples, mas que se torna cada vez mais eficaz no ecossistema DeFi.

De acordo com a investigação da empresa de segurança blockchain PeckShield, o endereço de carteira 0xd2e8…ca41 foi alvo de uma retirada de cerca de 24 milhões de USD em aEthUSDC após uma transação enviada por engano para o endereço do atacante. O mais surpreendente é que essa transação não foi um hack complexo, mas sim um erro muito bobo de copiar o endereço errado.

O envenenamento de endereço não explora vulnerabilidades do blockchain, mas ataca o comportamento humano. O atacante cria um endereço de carteira com uma sequência de caracteres semelhante ao verdadeiro do alvo. Depois, envia pequenas transações de valor para esse endereço. Essas transações fazem com que o endereço falso apareça no histórico de transações da vítima. O problema surge quando o usuário precisa enviar dinheiro na próxima vez. Em vez de copiar o endereço de uma fonte confiável, muitas pessoas simplesmente copiam rapidamente do histórico de transações, onde o endereço falso já está embutido. Basta um erro para que todos os ativos sejam transferidos diretamente para a carteira do hacker. No caso de Sillytuna, esse erro custou 24 milhões de USD.

A análise on-chain mostra que o hacker não está apressado em lavar o dinheiro imediatamente. Cerca de 20 milhões de USD em DAI ainda permanecem em duas carteiras intermediárias sob controle do atacante. A ausência de transferências para mixers ou serviços de anonimização indica que o hacker pode estar dividindo os fundos antes de dispersá-los por várias blockchains.

Uma pequena parte dos ativos já foi bridgada para a layer-2 Arbitrum, uma ação comum antes de os fundos serem dispersos por protocolos DeFi, DEX ou bridges cross-chain, com o objetivo de dificultar o rastreamento.

A vítima anunciou uma recompensa de 10% do valor recuperado para qualquer pessoa ou plataforma que ajude na rastreabilidade e recuperação dos ativos. Essa oferta também se estende a quem participou do incidente, desde que ajude a devolver o dinheiro roubado.

Nos últimos anos, os casos de envenenamento de endereço aumentaram significativamente devido a três características que os tornam atraentes para hackers: baixo custo — basta enviar algumas transações de dust; difícil de detectar — endereços falsos parecem muito com os verdadeiros; alta taxa de sucesso, especialmente com usuários que transacionam frequentemente. Mesmo traders experientes podem cair na armadilha, como neste caso.

No final do ano passado, também houve um caso semelhante que causou grande impacto. Um usuário perdeu quase 50 milhões de USDT após transferir seus ativos para o endereço de um fraudador. O incidente foi considerado uma das maiores fraudes on-chain já registradas.

Diante da imprevisibilidade dos hacks, especialistas em segurança recomendam que os usuários nunca copiem endereços de carteiras do histórico de transações, sempre verifiquem todo o endereço — não apenas os primeiros e últimos caracteres —, usem listas de permissões (whitelist) ao fazer transferências de grandes valores e revisem as transações em carteiras de hardware ou garantam que todos os detalhes estejam corretos antes de confirmar a operação.