Hacken diz que auditorias cripto dão falsa sensação de segurança após onda de ataques

Investidores em criptomoedas podem estar confiando demais em auditorias de segurança que não abrangem as partes do sistema mais visadas por hackers, segundo a empresa de cibersegurança blockchain Hacken. Em relatório divulgado nesta quinta-feira, a companhia afirmou que a simples presença de um selo de auditoria pode dar uma sensação falsa de proteção.

A Hacken apurou que os ataques no terceiro trimestre somaram US$ 1,18 bilhão em 107 incidentes, um aumento de 55% em relação ao trimestre anterior. Desse total, US$ 906,8 milhões vieram de fornecedores comprometidos, ferramentas de desenvolvedor invadidas, correções de segurança públicas que não foram instaladas ou componentes deixados fora da revisão mais recente.

Auditorias podem cobrir só uma parte do sistema

Segundo Andrii Matiukhin, cofundador e diretor do conselho da Hacken, o problema está no escopo, isto é, no alcance real do trabalho de auditoria. Ele disse que revisar tudo o que interage com fundos ou influencia a economia de um projeto é caro, então equipes acabam avaliando apenas as partes consideradas críticas. Na prática, isso pode deixar carteiras, sistemas de assinatura e softwares de terceiros fora da análise.

O maior caso do período foi o ataque de setembro à corretora Bitget, que perdeu pelo menos US$ 352 milhões após invasores explorarem uma falha em um produto de segurança de terceiros para acessar a infraestrutura de saques. A própria Hacken também citou um caso recente envolvendo a fabricante de carteira de hardware Ledger, que identificou um implante físico não autorizado em um dispositivo vendido por um revendedor do sudeste asiático, com prejuízo de cerca de US$ 93 milhões.

O relatório ainda apontou perdas acima de US$ 35 milhões em três pontes cripto e protocolos cross-chain, os sistemas que permitem transferir ativos entre diferentes redes. A empresa também alertou para atrasos na correção de vulnerabilidades conhecidas e para estruturas de assinatura que, em alguns casos, não pareciam seguras diante do volume de recursos sob custódia. Para a Hacken, a responsabilidade final continua sendo das empresas que guardam os fundos dos clientes, e não de auditorias antigas feitas meses ou anos antes.