Utilizadores de várias plataformas de finanças descentralizadas (DeFi) foram alvo, esta semana, de um ataque coordenado que sequestrou os sites de pelo menos quatro projetos através de um fornecedor de domínios partilhado. Flap, Kintsu, Pickle Finance e Origami Finance viram os respetivos sites manipulados, com código malicioso a induzir os visitantes a aprovar transações que esvaziaram as suas carteiras.
O elo comum entre os projetos afetados era o fornecedor de domínios, a Name.com. A empresa confirmou o acesso não autorizado a domínios de clientes e afirmou que, no total, foram afetados 15 domínios de clientes. A Name.com declarou que todos os domínios comprometidos já foram restaurados e que os sites inicialmente identificados como afetados estavam todos registados através do seu serviço.
A empresa de segurança Blockaid identificou a ferramenta usada no ataque como "Step Drainer", um malware concebido para induzir os utilizadores a aprovar uma transação no momento em que ligam a sua carteira a um site. Uma vez aprovada, a transação permite aos atacantes retirar criptomoedas diretamente da carteira da vítima. O mecanismo assenta inteiramente em enganar a interface do utilizador, e não em explorar os protocolos subjacentes.
Vários dos projetos afetados afirmaram que os seus contratos inteligentes, em si, não foram comprometidos. O ataque limitou-se aos sites usados para interagir com esses contratos, o que significa que a lógica subjacente do protocolo permaneceu intacta, ainda que os visitantes dos sites tenham ficado expostos ao malware de drenagem.
Extensão das perdas ainda por apurar
De acordo com a The Block, cerca de 138.000 dólares em criptomoedas roubadas foram, até ao momento, rastreados em três carteiras ligadas aos atacantes. Tanto o número total de utilizadores afetados como a dimensão global dos danos permanecem, nesta fase, desconhecidos, deixando em aberto a possibilidade de o valor final vir a ultrapassar o que já foi rastreado.
O incidente junta-se a uma série de episódios de segurança recentes no setor cripto. Foram recentemente descobertas carteiras físicas manipuladas na Ledger, usadas para roubar criptomoedas de proprietários desprevenidos. Em separado, a Coinbase revelou que dados de clientes foram afetados por uma fuga de informação num prestador de serviços externo. O FBI atribuiu ainda a hackers norte-coreanos um ataque à Binance avaliado em mil milhões de dólares.
Para os utilizadores de plataformas DeFi, o episódio sublinha um risco já conhecido: mesmo quando os contratos inteligentes de um protocolo permanecem seguros, o site usado para lhes aceder pode tornar-se o elo mais fraco. Os pedidos de ligação de carteira em sites comprometidos podem ser visualmente idênticos aos legítimos, dificultando a distinção, por parte do utilizador, entre um pedido de transação genuíno e um malicioso.
