O que eles realmente descobriram

A Hexens descreveu o problema como um "bug de cache obsoleto" que levou a uma vulnerabilidade de confusão de tipos. Em termos simples, isso significa que o software poderia ser enganado para tratar um tipo de recurso on-chain como se fosse completamente diferente. Se você já entregou a chave errada para alguém e viu essa pessoa abrir uma porta que nunca deveria ter aberto, você tem uma ideia do que se trata. De acordo com a empresa, a falha permitia que um atacante potencialmente sequestrasse structs e recursos de autoridade on-chain, que são as estruturas de dados principais que decidem quem possui o quê e quem tem permissão para fazer o quê. Ao manipular esses recursos, as regras normais de propriedade perdem o sentido.

A confusão de tipos é um daqueles tipos de bugs que soam acadêmicos até que se tornem problemas reais. Ela assombra o software tradicional há décadas, e a linguagem Move foi especificamente projetada para dificultar esse tipo de problema. É por isso que essa descoberta é um pouco decepcionante. O principal argumento de venda do Move é que ele trata os ativos digitais como um recurso especial que o compilador protege rigorosamente, então ver uma falha de confusão de tipos surgir no Aptos é um pouco como encontrar um furo no barco que todos prometiam ser inafundável.

A parte assustadora: custou US$ 3,000 para que isso acontecesse.

Muitas vulnerabilidades em blockchain exigem muito dinheiro, acesso privilegiado ou controle de uma grande parte da rede. Esta, supostamente, não. A Hexens afirma ter simulado o ataque em condições reais de rede com uma taxa de sucesso superior a 90%, usando uma configuração de servidor que custou cerca de US$ 3,000 e representou aproximadamente um terço do conjunto de validadores. Sem permissões especiais, sem ajuda de pessoas de dentro do sistema, sem cooperação de ninguém que já estivesse dentro dele. Essa combinação é o que transforma uma curiosidade técnica em uma verdadeira emergência, porque significa que a barreira de entrada era quase nula. Quando o custo para explorar algo é medido em centenas ou poucos milhares de dólares e o prêmio é medido em bilhões, você está contando inteiramente com o fato de que ninguém mais vai perceber primeiro.

De onde vem o número de 70 bilhões de dólares?

A cifra de US$ 70 bilhões soa quase caricatural para uma blockchain cujo valor de mercado do token é uma fração disso, então vale a pena explicar. Hexens não estava afirmando que US$ 70 bilhões estão diretamente relacionados à Aptos. A estimativa abrange tudo o que a falha poderia ter atingido por meio das conexões que o mercado de criptomoedas construiu silenciosamente nos últimos anos. Isso inclui a movimentação de valor através de pontes, sistemas de mensagens entre blockchains, fluxos de administração de stablecoins e ativos custodiados por exchanges centralizadas que interagem com a rede. O mercado de criptomoedas moderno é interligado, e uma falha em uma blockchain importante não fica confinada apenas a ela. Esse é o verdadeiro alerta aqui, e se aplica a muito mais do que apenas a Aptos.

A solução discreta que ninguém ouviu falar até agora.

Eis a parte que impede que isso se torne uma história de terror. A Hexens reportou a falha através do programa de recompensas por bugs da Aptos Labs em 25 de fevereiro, e a equipe afirma que uma correção foi desenvolvida, testada e implementada na rede principal poucas horas após a descoberta. Um porta-voz da Aptos disse CoinDesk que nenhum usuário ou fundo foi afetado em nenhum momento, e os detalhes só foram divulgados meses depois, que é exatamente como a divulgação responsável deve funcionar. Os pesquisadores foram pagos, a falha foi corrigida antes que alguém com más intenções a encontrasse, e o público em geral ficou sabendo quando já era seguro falar sobre o assunto.

Ainda assim, vale a pena refletir sobre o que quase aconteceu. Uma falha que poderia ter afetado US$ 70 bilhões em valor conectado foi corrigida por um programa de recompensas por bugs e uma resposta rápida da equipe de engenharia, e não por sorte no momento do ataque. Se os hackers éticos não tivessem chegado primeiro, a história seria bem diferente. A lição para quem investe em criptomoedas não é entrar em pânico especificamente com o Aptos, que já foi corrigido, mas sim perceber o quanto a segurança desse setor ainda depende de um pequeno grupo de hackers éticos que optam por enviar um e-mail em vez de esvaziar uma carteira. É uma linha tênue, e vale a pena lembrar disso na próxima vez que uma blockchain afirmar ser inquebrável.