Around the Block #3: Análise ao ataque à bZx, vulnerabilidades do DeFi e panorama dos cartões de débito cripto

Análise ao Ataque bZx e Vulnerabilidades DeFi

DeFi (Finanças Descentralizadas) está a revolucionar a disponibilização de ferramentas financeiras online, tornando-as acessíveis, programáveis e funcionais para todos. Tal como a internet permitiu a qualquer pessoa criar, partilhar e programar informação, DeFi estende essa abertura ao universo monetário e financeiro.

Os produtos DeFi são intrinsecamente trustless — os utilizadores não dependem de intermediários. São globais, transparentes (o código pode ser auditado por qualquer utilizador) e imutáveis (apenas alterações programadas são possíveis). A composabilidade DeFi permite que produtos se empilhem e integrem, à semelhança das peças Lego, formando soluções mais avançadas do que a soma das partes.

Enquadramento

Estamos perante um contexto inovador onde qualquer pessoa pode programar aplicações financeiras. O resultado é uma rede dinâmica e líquida de instrumentos financeiros — um terreno fértil para inovação e utilidade. O DeFi, por exemplo, introduziu o Flash Loan — um empréstimo instantâneo e isento de risco, que permite a qualquer utilizador pedir milhões numa única transação. Se o empréstimo não for reembolsado até ao fecho da operação, a transação é revertida. Nunca há capital em risco, e os utilizadores podem mobilizar grandes montantes para qualquer fim.

O que aconteceu nos ataques ao bZx?

BZx (ou Fulcrum) é uma plataforma DeFi dedicada a empréstimos tokenizados, financiamento e negociação em margem. Qualquer utilizador pode aportar capital ao pool bZx e contrair empréstimos, ou assumir posições longas ou curtas alavancadas sobre outros ativos. A plataforma integra diversos protocolos DeFi para oferecer serviços completos, aproveitando a composabilidade do ecossistema.

O ataque consistiu numa transação única e sofisticada, onde foram pedidos milhões de dólares via flash loan e os fundos foram distribuídos por vários protocolos DeFi para manipular e explorar o pool de colateral do bZx. O processo decorreu assim:

1. O atacante pediu 10 milhões $ em ETH sob a forma de flash loan num protocolo de financiamento descentralizado (Componente nº 1), sem apresentar qualquer colateral.

2. Aplicou 5 milhões $ em ETH para abrir uma posição curta com alavancagem 5x no livro de ordens ETH-wBTC do bZx (Componente nº 2). O bZx encaminhou a ordem para um agregador de liquidez (Componente nº 3), que procurou a melhor cotação e executou a operação numa exchange descentralizada (Componente nº 4). Isto gerou uma slippage acentuada, triplicando o preço do wBTC.

3. O atacante transferiu os restantes 5 milhões $ em ETH para outro protocolo de empréstimos (Componente nº 5) e obteve wBTC em troca do colateral ETH.

4. Vendeu o wBTC adquirido ao preço inflacionado na exchange descentralizada.

5. Com os lucros do passo 4 e os fundos do passo 2, reembolsou o flash loan na totalidade, encerrando a transação com êxito.

Esta abordagem rendeu um ganho direto de 71 ETH, mais um empréstimo ativo noutro protocolo avaliado em 1 200 ETH, totalizando um lucro líquido de 1 271 ETH (avaliado em 355 000 $ na altura). A transação deixou o bZx com um empréstimo gravemente deficitário, justificando a “perda”.

O ataque baseou-se na possibilidade de assumir uma posição curta alavancada 5x num livro de ordens com pouca liquidez e vulnerável a slippage. O bZx dispunha de mecanismos de proteção, mas o atacante explorou uma brecha para os contornar. Esta falha expôs o pool de colateral do bZx a perdas significativas, enquanto todos os restantes componentes funcionaram normalmente e não registaram perdas.

Consequências e Segundo Ataque

Logo após o ataque, a equipa do bZx utilizou chaves de super-admin para suspender a negociação e os empréstimos, corrigindo a falha principal. Com a comunidade a debater o exploit e as operações a serem retomadas, um segundo ataque ocorreu, recorrendo a uma técnica semelhante.

Este segundo ataque foi praticamente idêntico ao primeiro, mas dispensou o contorno das regras de slippage. Em vez disso, foi feito um flash loan para inflacionar o preço do Synthetix USD numa exchange descentralizada até 2 $ (partindo de 1 $). O atacante depositou sUSD como colateral no bZx ao preço artificial, obtendo mais ETH do que seria permitido. Fugiu com os fundos emprestados, deixando o bZx deficitário, e arrecadou 2 378 ETH (após reembolsar o flash loan), avaliados em 630 000 $ na altura.

Este ataque assemelha-se a um ataque ao oráculo, em que um valor supostamente fiável é manipulado. Neste contexto, o flash loan inflacionou artificialmente o preço spot ETH-sUSD na exchange descentralizada (o oráculo), utilizado pelo bZx para avaliar colateral nos empréstimos.

Como encarar a segurança em DeFi?

DeFi permite desenvolver produtos financeiros inovadores, interligados de forma sofisticada. Estes ataques são um alerta: a programação financeira tem falhas e bugs, sobretudo quando a inovação desafia limites. Atualmente, os flash loans integrados numa rede de protocolos DeFi componíveis criaram uma nova categoria de vulnerabilidades.

Historicamente, o surgimento de uma nova classe de exploits desencadeia ataques semelhantes. Todo o ecossistema fica atento e multiplica-se a procura por falhas equivalentes. É expectável que surjam mais ataques a oráculos e via flash loan. É assim que a resiliência do DeFi evolui com o tempo.

Por exemplo, após o ataque DAO expôs vulnerabilidades de reentrância, a comunidade rapidamente aprendeu a preveni-las. Hoje, ataques de reentrância são praticamente inexistentes. É um processo evolutivo: as vulnerabilidades são identificadas, corrigidas, e o sector sai reforçado a cada ciclo.

DeFi nunca será totalmente seguro, mas podemos construir um ecossistema mais resiliente através do Defense in Depth — múltiplas camadas de redundância para reforçar a segurança. A proteção ao consumidor e o seguro devem acompanhar este progresso. Destaca-se que um seguro DeFi DeFi realizou o primeiro pagamento após os ataques ao bZx — um marco importante.

Descentralização no DeFi?

A equipa do bZx recorreu a chaves de super-admin para suspender empréstimos e negociações, evidenciando um ponto único de controlo. Embora tenha sido necessário para travar o esvaziamento do pool de colateral, esta abordagem introduz um novo risco — e se as chaves forem mal utilizadas ou comprometidas? Eliminar o controlo unilateral é um princípio fundamental do universo cripto. Como abordar esta questão?

A descentralização é gradual; as equipas devem seguir uma estratégia progressiva. Em novos serviços DeFi, a descentralização total desde o início é impraticável — pode criar riscos existenciais se surgirem exploits e não for possível agir rapidamente. O ideal é descentralizar progressivamente, apenas após se comprovar um historial sólido de segurança.

Pontos-Chave

DeFi está a expandir fronteiras e a criar produtos que definem as finanças programáveis. O ritmo é acelerado, mas os exploits evidenciam o impacto disruptivo da inovação. É fundamental manter uma perspetiva abrangente — mais ataques vão ocorrer, mas fazem parte da evolução do DeFi. É previsível o surgimento de um ecossistema mais robusto e com melhor proteção ao consumidor.

Estado dos Cartões de Débito Cripto

O ato de “gastar” sempre foi um fator crucial para a utilidade das criptomoedas, desde o whitepaper do Bitcoin por Satoshi. Os investidores cripto procuram há muito formas de utilizar os seus ativos — mesmo para comprar um café. Os cartões de débito cripto colmatam essa necessidade; funcionam como cartões tradicionais, mas debitam da carteira cripto em vez da conta bancária.

Histórico

Os cartões de débito surgiram através de várias iniciativas, incluindo um lançamento pioneiro numa grande plataforma, numa era anterior. Este cartão permitia que os clientes gastassem Bitcoin em qualquer estabelecimento Visa. O senão: não era white-label, mas emitido por um processador de pagamentos.

BitPay, Bitwala, Wirex e Coinsbank seguiram-se. No auge das ICO, empresas como TenX, Token Card (agora Monolith) e Monaco (agora crypto.com) entraram na competição. TenX angariou 80 milhões $ em 7 minutos via ICO; Token Card e Monaco captaram 12,7 milhões $ e 27 milhões $, respetivamente, refletindo o entusiasmo pelos cartões de débito cripto. A concorrência centrava-se em taxas baixas, melhor experiência de utilizador e recompensas.

O desafio? Na altura, poucos processadores de pagamentos estavam dispostos a emitir cartões cripto — um geria um cartão específico, outro geria a maioria. A adoção era também limitada. Um dos cartões teve pouca aceitação, pois os utilizadores preferiam conservar Bitcoin (devido à volatilidade e ao potencial como investimento) em vez de o gastar. Atualmente, com um ecossistema mais maduro e stablecoins em ascensão, uma solução de débito mais abrangente está prestes a alcançar maior adoção.

Nos últimos anos, um processador mudou de estratégia e de marca, preparando o lançamento de um cartão centrado no Reino Unido. Para outros, a Visa cancelou um processador por “não conformidade com as regras de operação”, eliminando esses cartões.

Olhando para o futuro, os cartões de débito cripto deverão ganhar novo impulso, especialmente com stablecoins remuneradas como USDC em algumas plataformas. Uma grande plataforma obteve recentemente o estatuto de Principal Member da Visa, permitindo-lhe emitir cartões diretamente na UE sem banco patrocinador — um passo histórico.

Notícias em Destaque: Comentário sobre Desenvolvimentos Relevantes

Atualização controversa do Ethereum gera debate intenso na comunidade

Ethereum enfrentou recentemente debates acesos sobre uma atualização de mineração: ProgPow (Progressive Proof of Work). O objetivo é permitir que hardware de consumo mine Ethereum, reduzindo a vantagem dos ASIC miners (equipamentos especializados que dominam a mineração atualmente).

Implementar ProgPow tornaria a mineração mais acessível, favorecendo a descentralização e recuperando a visão original do Ethereum de resistência a ASIC.

A controvérsia? ProgPow reduziria o poder computacional global da rede (já que GPUs são menos potentes que ASICs), tornando Ethereum mais vulnerável a ataques de 51%. Nenhum algoritmo de mineração é totalmente resistente a ASIC; com o tempo, ASICs especializados surgiriam para atacar ProgPow. Muitos defendem que ASICs são essenciais para proteger redes PoW — nenhuma cadeia baseada em ASIC foi alvo de ataque de 51%.

Qualquer fork polémico exige uma gestão cuidadosa. Os riscos são mais elevados, sobretudo com ativos DeFi como USDC e USDT na rede Ethereum, que podem afetar a capacidade da rede para implementar forks divisivos.

Apesar do histórico, ProgPow foi aceite e agendado para inclusão. Porém, a contestação comunitária levou ao adiamento da proposta.

Tron acusada de “Takeover Hostil” da Blockchain Steem

Steemit — plataforma social semelhante ao Reddit — anunciou uma parceria para migrar para a blockchain Tron. A comunidade Steem preocupou-se com o poder excessivo da Tron Foundation e implementou um soft fork que desativou os direitos de voto da Tron.

Tron respondeu, envolvendo grandes exchanges, incluindo uma líder, para coordenar um hard fork que restabeleceu direitos de governance e congelou os tokens dos membros da comunidade Steem envolvidos na governance. A comunidade Steem interpretou o ato como tentativa de takeover hostil.

Steem adota Delegated Proof of Stake, pelo que os depósitos das grandes exchanges foram decisivos para Tron assegurar os votos necessários. O responsável de uma exchange reconheceu ter aprovado o hard fork da Tron, alegando desconhecer a polémica, e posteriormente criticou a Tron por má fé.

Isto ilustra a complexidade da governance blockchain. Em cadeias dPOS, a maioria decide — Tron limitou-se a seguir as regras. O valor real reside nos utilizadores, detentores do poder económico. A comunidade Steem responde desativando aplicações, renunciando à fundação e apoiando validadores preferidos.

O papel das exchanges e custodians na governance blockchain está a crescer. Com a maioria dos ativos sob sua custódia, têm poder político relevante. À medida que o setor amadurece, é expectável que plataformas centralizadas lancem ferramentas de governance.

Conclusões das Notícias em Destaque

As blockchains são tecnologias transformadoras — mas, no essencial, constituem grandes experiências de ciência computacional que envolvem todos os participantes. Ninguém é proprietário destas redes; pertencem à comunidade global. Estes momentos são testes decisivos para a governance blockchain. Tanto Ethereum como Steem estão a abrir precedentes importantes. É fundamental acompanhar de perto.

FAQ

O que é o ataque de flash loan ao bZx? Como exploraram os atacantes vulnerabilidades DeFi para lucrar?

O ataque ao bZx utilizou flash loans para manipular preços na Uniswap, permitindo shorts alavancados e arbitragem. Os atacantes lucraram cerca de 360 000 $ explorando vulnerabilidades nos oráculos de preços e insuficiência de mecanismos de proteção nos protocolos DeFi.

Quais são as vulnerabilidades e riscos mais comuns nos protocolos DeFi, e como preveni-los?

Os protocolos DeFi enfrentam riscos como ataques de reentrância e exposição de chaves privadas. Para prevenir, deve aplicar-se boas práticas nos smart contracts, resposta automática a incidentes e auditorias rigorosas em ambientes semelhantes à mainnet.

O que é um flash loan (Flash Loan) e porque são tão fáceis de utilizar em ataques?

Um flash loan em DeFi é um empréstimo sem garantia, que tem de ser reembolsado na mesma transação. É suscetível a ataques porque permite aceder a grandes valores sem colateral, facilitando a manipulação de preços de ativos e o aproveitamento simultâneo de múltiplos protocolos.

Quais os principais fornecedores e produtos de cartões de débito cripto?

Os principais fornecedores são BitPay e Revolut. Os seus cartões permitem pagamentos e levantamentos em cripto, oferecendo soluções seguras e práticas para gastar ativos digitais.

Quais são as vantagens e riscos dos cartões de débito cripto?

Os principais benefícios incluem pagamentos quotidianos em cripto e acesso imediato a fundos. Os riscos centram-se na volatilidade dos preços, falhas de segurança e dependência de operadores centralizados.

Quais os riscos de segurança na mineração de liquidez e nos protocolos de empréstimo do ecossistema DeFi?

Os riscos incluem bugs de código, regras deficientes e ameaças financeiras sistémicas. Os projetos devem adotar auditorias rigorosas, controlos de risco eficazes e monitorização contínua para prevenir manipulação de mercado e crises de liquidez.

Como reforçaram os projetos DeFi a segurança após o incidente bZx?

Os protocolos DeFi passaram a adotar upgrades temporizados, processos de auditoria reforçados e maior descentralização da governance para mitigar riscos futuros.

Quais são as principais limitações e taxas ao utilizar um cartão de débito cripto?

Os cartões de débito cripto tendem a ter taxas de transação reduzidas, mas impõem limites diários de gastos e levantamentos. As condições variam consoante o cartão. Verifique sempre as criptomoedas suportadas antes de usar.