- Ataque hacker expõe falha grave e gera prejuízo milionário à 0G
- Chave privada vazada permitiu roubo e lavagem via Tornado Cash
- Fundação reforça segurança após invasão em infraestrutura crítica
A Fundação 0G confirmou nesta semana que sofreu um ataque hacker que resultou em um prejuízo de aproximadamente US$ 520 mil em criptomoedas. O incidente atingiu diretamente uma conta DeFi ligada ao projeto.
Segundo a própria organização, o ataque envolveu o roubo de 520.010 tokens $0G, posteriormente transferidos e roteados por meio do Tornado Cash, serviço conhecido por dificultar o rastreamento de transações.
Além dos tokens nativos, o invasor também subtraiu 9,93 ether e cerca de US$ 4.200 em USDT, elevando o impacto financeiro total para pouco mais de meio milhão de dólares no momento do roubo.
A 0G desenvolve o que descreve como o primeiro sistema operacional de inteligência artificial descentralizado e aberto do mundo, o que ampliou a repercussão do incidente no mercado cripto.
Falha operacional abriu caminho para o ataque
De acordo com a fundação, o hacker explorou uma função de saque emergencial em um contrato de recompensas, após obter acesso a uma chave privada exposta indevidamente. Além disso, a chave estava armazenada em servidor na nuvem ligado à Alibaba Cloud, responsável por NFTs e recompensas.
Em comunicado oficial, a fundação afirmou que o invasor “acessou uma chave privada vazada de uma instância do AliCloud”, classificando o armazenamento local como uma falha operacional crítica.
A equipe reconheceu o erro de forma direta. “Essa é uma prática que agora sabemos que nunca mais deve acontecer”, declarou a organização, ao assumir a responsabilidade pela exposição da chave.
As investigações internas também apontaram que o ataque não se limitou a um único servidor comprometido, ampliando o escopo da violação.
Vulnerabilidade no Next.js ampliou o alcance da invasão
A Fundação 0G revelou que múltiplas instâncias da Alibaba Cloud foram afetadas após a exploração de uma vulnerabilidade crítica no framework Next.js.
A falha, identificada como CVE-2025-66478, surgiu em 5 de dezembro e permitiu que o invasor usasse endereços IP internos para se mover lateralmente pelos sistemas.
Esse movimento afetou diversos serviços do ecossistema, incluindo serviço de alinhamento, nó validador, Gravity NFT e a infraestrutura de venda de nós.
Outros produtos, como Compute, Aiverse, Perpdex e Ascend, também foram impactados, segundo a própria fundação.
Apesar do alcance técnico da invasão, a 0G afirmou que não identificou perdas adicionais diretamente relacionadas a ativos mantidos por usuários da plataforma.
A empresa de segurança blockchain CertiK havia sinalizado anteriormente saques suspeitos ligados a contratos de recompensa do projeto, com estimativas alinhadas aos valores confirmados depois.
Após o ataque, a fundação afirmou ter adotado medidas de segurança imediatas, corrigido a vulnerabilidade no Next.js e reconstruído os serviços afetados.
Entre as mudanças anunciadas, estão a migração de serviços sensíveis para Ambientes de Execução Confiáveis (TEEs), uso obrigatório de carteiras multisig e adoção de segurança de confiança zero. Além disso, o episódio ocorre meses após a 0G captar US$ 290 milhões, em rodada liderada pela Hack VC.
A fundação classificou o ataque como “um alerta doloroso, mas necessário” e prometeu divulgar um relatório completo da investigação à comunidade.
