Carteiras “Hot” com classificação AAA sofreram saídas de US$ 9,7 milhões em seis redes: veja o que a Peckshield descobriu

Investigador on-chain sinaliza a violação em primeiro lugar

O investigador on-chain Specter foi o primeiro a relatar o incidente. De acordo com um alerta da Peckshield publicado no sábado, carteiras vinculadas à Triple-A, um gateway de pagamentos de moeda fiduciária para criptomoedas com sede em Cingapura, tiveram seus fundos drenados nas redes Ethereum, Tron, Polygon, Arbitrum, Solana e The Open Network (TON).

A Triple-A opera uma infraestrutura de pagamentos que permite que comerciantes aceitem criptomoedas e realizem liquidações em moeda fiduciária, o que significa que suas carteiras “quentes” mantêm um pool rotativo de fundos de clientes e stablecoins líquidas para processar transações rapidamente. As carteiras “quentes” permanecem conectadas à internet para garantir velocidade, uma escolha que as torna mais expostas do que o armazenamento “frio” offline.

Dados on-chain analisados por pesquisadores de segurança mostram que o invasor trocou as stablecoins roubadas e outros ativos líquidos em exchanges descentralizadas antes de transferir os recursos para a Ethereum. Os fundos foram depositados em um único endereço que começa com 0x01F8, que, até sábado, continha aproximadamente 5.227 ETH, no valor de cerca de US$ 9,7 milhões.

A carteira consolidada recebeu os ativos roubados em várias parcelas, em vez de uma única transferência, uma estratégia que está alinhada com a atuação de agentes mal-intencionados do passado, que costumavam converter ativos metodicamente entre várias cadeias antes de reagrupá-los.

Por fim, vale mencionar que a Peckshield já havia sinalizado consolidações semelhantes envolvendo transferências para a Ethereum anteriormente, incluindo uma suposta exploração em que US$ 5,25 milhões foram transferidos da Hedera para a Ethereum há apenas algumas semanas.

Um padrão familiar para a infraestrutura de pagamentos

A Triple-A se junta a uma lista crescente de processadoras de pagamentos em criptomoedas e exchanges que foram alvo de ataques a carteiras quentes este ano. Ataques a empresas de infraestrutura Web3 costumam seguir um padrão semelhante: os invasores obtêm acesso às chaves privadas de uma carteira quente ou a um contrato inteligente mal configurado, drenam ativos líquidos rapidamente e, em seguida, lavam os recursos por meio de exchanges descentralizadas (DEXs) e pontes entre cadeias antes que plataformas centralizadas possam congelar os fundos.

Um roteiro idêntico foi observado quando a Gravity Bridge teve US$ 5,4 milhões drenados em maio, com o invasor encaminhando os fundos roubados pela Binance para ocultar o rastro. Além disso, a gigante da segurança cibernética constatou que o setor sofreu perdas de US$ 75,87 milhões em 40 ataques distintos somente no mês de junho, uma queda de 7,13% em relação aos US$ 81,7 milhões registrados em maio (com as violações de carteiras quentes continuando entre os vetores de ataque mais comuns, ao lado de falhas em contratos inteligentes e vazamentos de chaves privadas).

Nenhuma medida corretiva tomada

Mais de oito horas após a violação ter sido sinalizada pela primeira vez, a Triple-A ainda não emitiu um comunicado oficial reconhecendo a exploração ou detalhando quais fundos de clientes, se houver, foram afetados. O silêncio deixa em aberto questões sobre se os comerciantes que utilizam os canais de pagamento da Triple-A sofreram alguma interrupção na liquidação e se a empresa possui reservas suficientes para indenizar integralmente os usuários afetados.

Nas próximas horas, pesquisadores de segurança provavelmente continuarão monitorando o endereço consolidado da Ethereum em busca de indícios de que o invasor esteja transferindo fundos para exchanges centralizadas ou para um serviço de mistura de fundos — uma medida que poderia oferecer aos investigadores a chance de sinalizar a carteira antes que os recursos sejam sacados.