O hack Munchables é muito pior do que parece

Na terça-feira, 26 de março, o projeto “GameFi” baseado em Ethereum, Munchables, relatou um hack que drenou mais de 17.400 ETH (cerca de US$ 63 milhões) de seus cofres. Após cinco horas de investigação, ficou claro que o ataque veio de dentro da casa: um desenvolvedor contratado com o pseudônimo “Werewolves0943” havia drenado os fundos. O roubo de fundos de projetos por pessoas internas é tão comum na Cripto que o termo “rugpull” é linguagem comum – mas o que era único nessa situação é que os trabalhadores contratados supostamente tinham ligações com a Coreia do Norte .

Este é um trecho do boletim informativo The Node, um resumo diário das notícias Cripto mais importantes no CoinDesk e além. Você pode se inscrever para receber o boletim informativo completo aqui .

Após uma hora de negociações lideradas por Munchables, juntamente com o investigador independente de blockchain ZachXBT e a empresa de segurança PeckShield, Werewolves0943 foi convencido a devolver todos os fundos. “O desenvolvedor do Munchables compartilhou todas as chaves privadas envolvidas para ajudar na recuperação dos fundos dos usuários. Especificamente, a chave que contém US$ 62.535.441,24, a chave que contém 73 WETH e a chave do proprietário que contém o restante dos fundos”, postou a equipe dos Munchables às 4h40 UTC.

Embora pareça uma resolução bastante feliz para um hack de valor relativamente baixo, a exploração do Munchables pode ter uma longa série de resultados ruins para a indústria de Cripto . Mais importante ainda, embora ainda T esteja confirmado que a Coreia do Norte estava envolvida no ataque, o simples facto de tantas pessoas estarem dispostas a aceitar isso pelo valor nominal ajuda a promover uma narrativa perigosa de que a Cripto está a ajudar a minar a defesa nacional e reforçar organizações terroristas.

Dados de 2016 a 2023 coletados pela empresa de análise on-chain Chainalysis mostraram que a Coreia do Norte invadiu pelo menos 20 plataformas Cripto , roubando pouco mais de US$ 1 bilhão em ativos somente no ano passado. Um relatório separado do TRM Labs fundamentou amplamente essas descobertas. “Os hacks ligados à Coreia do Norte têm aumentado nos últimos anos, com grupos de espionagem cibernética como Kimsuky e Lazarus Group utilizando várias táticas maliciosas para adquirir grandes quantidades de ativos Cripto ”, disse Chainalysis em seu relatório.

Pesquisas anteriores descobriram que hackers afiliados à Coreia do Norte estavam usando bilhões de dólares em Cripto roubadas para financiar o programa de armas nucleares do Reino Eremita. Esses ataques foram uma razão substancial pela qual o Departamento do Tesouro dos EUA tomou a medida sem precedentes de sancionar o contrato inteligente do misturador de Cripto Tornado Cash e pela qual a senadora Elizabeth Warren (D-Mass.) pode, de boa fé, chamar a Cripto de “risco à segurança nacional”.

“Conversa real: a maior ameaça Política à Cripto, de longe, é a alegação de que a Coreia do Norte financia seu programa de mísseis hackeando contratos inteligentes”, escreveu o CEO do Variant Fund, Jake Chervinsky, no X. Se a Cripto for banida, “isso será causado por uma visão cada vez mais comum entre os legisladores anticripto de que a Cripto T tem um caso de uso diferente de jogos de azar e crime, e que o risco de permitir que a Cripto continue a existir supera em muito o potencial benefícios que os desenvolvedores de blockchain prometeram, mas não entregaram por anos.”

O ataque dos Munchables apenas contribui para esta imagem. Na verdade, é um pouco pior porque T se trata de um ator externo explorando código mal escrito, mas de uma falha completa na devida diligência por parte de um projeto de blockchain multimilionário ao contratar desenvolvedores. Isso dá um novo toque à ideia de “engenharia social”, quando os aparentes atores de ameaças podem não apenas manipular um insider para obter informações críticas, mas também serem pagos para estar por dentro.

De acordo com o desenvolvedor Ethereum 0xQuit , o ataque Munchables foi planejado desde o início. O invasor conseguiu atualizar o “contrato de bloqueio”, destinado a KEEP os fundos do projeto trancados a sete chaves por um período específico de tempo, para que ele pudesse “atribuir a si mesmo um saldo depositado de 1.000.000 Ether”, ao mesmo tempo que ocultava evidências das mudanças. 0xQuit reivindicado .

Veja também: Chamar um hack de exploração minimiza o erro Human | Opinião

É claro que este T é um problema apenas da indústria Cripto : durante anos, o Federal Bureau of Investigations e a República da Coreia têm emitido alertas sobre a “arte comercial” norte-coreana de exploradores que obtêm acesso a infra-estruturas essenciais através do emprego. “A contratação ou o apoio de trabalhadores de TI da RPDC continua a representar muitos riscos, que vão desde o roubo de propriedade intelectual, dados e fundos, até danos à reputação e consequências legais”, escreveram as agências num recente anúncio de serviço público.

Além do constrangimento de ter pelo menos um hacker norte-coreano trabalhando dentro de projetos que pretendem roubar, a resposta da comunidade Cripto ao ataque Munchables também revelou exatamente o quão vulneráveis ​​são esses sistemas. Por exemplo, várias pessoas no Cripto Twitter sugeriram que, como o Munichables estava no polêmico blockchain Blast, que é mantido essencialmente por uma simples carteira multi-sig, a equipe do Blast poderia intervir revertendo a cadeia para recuperar os fundos roubados.

“Embora eu seja fortemente contra esta ação em qualquer outra rede, T considero Blast como uma marca de 'cadeia de descentralização séria', mas sim como um lugar para jogos, experimentos, degenry, ETC”, Adam Cochran, um influente voz nos círculos Ethereum e parceiro da Cinneamhain Ventures, disse em apoio à possível reversão .

Sem dúvida, Blast é uma rede controversa – que arrecadou mais de um bilhão de dólares sem sequer um protótipo – mas não é tão diferente da forma como outras camadas 2 do OP Stack são construídas. Por exemplo, depois que Eric Wall lembrou a seus seguidores que a rede Base da Blast e da Coinbase executa essencialmente a mesma base de código, o principal desenvolvedor da Base, Jesse Pollack, twittou que as “chaves da Base não são controladas por ONE parte ou entidade”. Em vez disso, a Base é controlada por uma carteira multi-sig 2/2, que teoricamente também poderia reverter a cadeia se ambas as partes concordassem.

Veja também: POLY Heist de US$ 600 milhões mostra que o DeFi precisa que os hackers se tornem necessários para se tornarem inatacáveis ​​| Opinião

Atualmente, nenhuma solução de escalonamento Ethereum é verdadeiramente “descentralizada”, como comumente se entende, mesmo que as equipes que as estão desenvolvendo normalmente sigam os princípios de acesso sem permissão e de não censura aos usuários. Num certo sentido, como observa Chervinsky, muitos decisores políticos que “compreendem a diferença entre Tecnologia centralizada e descentralizada” escolheriam a primeira porque significa que os fundadores permanecem no controlo do que acontece na cadeia.

“Mas, em última análise, o fardo recai sobre os construtores do setor para fazerem melhor”, acrescentou.