- Atacante retirou 97 milhões de CORE de 91 posições em uma única transação
- b14g informou que bitcoins permaneceram bloqueados e não foram afetados
- Exchanges congelaram aproximadamente 9 milhões de CORE vinculados ao invasor
A b14g, plataforma de staking associada ao Bitcoin, perdeu aproximadamente 97 milhões de CORE após aceitar pedidos de saque de valor zero. O ataque ocorreu em 31 de outubro, com prejuízo estimado em US$ 1,47 milhão.
A operação atingiu 91 posições em uma única transação, segundo investigação da empresa de análise Bitquery. A plataforma confirmou as retiradas não autorizadas e suspendeu os contratos afetados.
Os depósitos em CORE concentraram as perdas. Segundo a b14g, os bitcoins vinculados ao protocolo continuaram bloqueados por prazo na blockchain do Bitcoin, sem comprometimento pelo incidente.
- Leia também: ETFs de Bitcoin perdem US$ 643 milhões
Até a atualização divulgada, a equipe não havia apresentado um plano de compensação. A recuperação dos ativos envolve a Core, parceiros de segurança e exchanges.
Pedido de saque zero liberava todo o saldo
Na operação habitual, usuários combinam bitcoins com depósitos de CORE para ampliar as recompensas de staking. A b14g administra posições que mantêm esses tokens e os delegam a validadores.
O contrato de staking da Core atribui um significado específico ao valor zero: uma solicitação nessa quantidade determina a retirada integral do saldo depositado. O comando funciona como uma instrução de resgate completo.
O invasor explorou essa característica ao enviar 99 solicitações de retirada contra posições que não havia financiado. O contrato da b14g aceitou os pedidos e os encaminhou ao sistema da Core.
Esse encadeamento distingue quantidade solicitada de quantidade efetivamente liberada. Uma checagem limitada ao valor numérico do pedido não comprova autorização sobre o saldo que outro contrato desbloqueará.
- Leia também: Base, a blockchain da Coinbase, agora tem ações brasileiras tokenizadas como Vale, Santander, AB InBev e Unilever
A diferença entre 99 pedidos e 91 posições drenadas também exige detalhamento técnico. Os números divulgados não permitem concluir que cada solicitação correspondeu a uma posição diferente ou resultou em retirada.
A Bitquery não encontrou evidências de uso de chave administrativa comprometida nem de implantação de um novo contrato malicioso. A lógica envolvida estaria em operação havia aproximadamente 17 meses.
Há uma ressalva na investigação: a empresa não examinou o código-fonte subjacente da b14g. Por isso, não identificou o erro de programação exato que autorizou os saques.
Contratos foram pausados 66 minutos após o ataque
Os registros analisados situam a transação inicial às 9h29 UTC. A suspensão dos contratos ocorreu às 10h35 UTC, intervalo de aproximadamente 66 minutos.
Nesse período, o atacante transferiu 23 milhões de CORE da carteira inicial para endereços recém-criados. A movimentação distribuiu parte dos recursos antes da interrupção dos contratos.
A cronologia não determina quando a equipe descobriu a invasão. A b14g afirmou ter suspendido as operações imediatamente após identificar o problema, sem divulgar o horário dessa identificação.
O rastreamento encontrou caminhos até infraestruturas associadas à Bybit, Gate.io e MEXC. Essa conexão não demonstra participação das exchanges no ataque nem identifica os titulares de todas as transferências.
Algumas carteiras intermediárias também movimentavam ativos de outros clientes, segundo a Bitquery. O compartilhamento dificulta atribuir cada transação posterior ao invasor, embora os registros permaneçam públicos.
- Leia também: Tether anuncia lucro operacional de US$ 1,5 bilhão
A coordenação com plataformas centralizadas também aparece em episódios de bloqueio de tokens. Neste caso, a b14g informou que exchanges congelaram aproximadamente 9 milhões de CORE ligados ao atacante.
68 milhões de CORE permaneciam em três carteiras
Até a noite de 31 de outubro, cerca de 68 milhões de CORE, equivalentes a 70% do total subtraído, permaneciam sem movimentação em três carteiras.
Separadamente, um serviço que forneceu recursos para as taxas iniciais recebeu aproximadamente 11 milhões de CORE. Depois, encaminhou os tokens a um endereço de depósito da MEXC.
A Core DAO afirmou que a blockchain, o consenso, os validadores e seus contratos de staking continuaram funcionando normalmente. Depósitos feitos diretamente com validadores ou por outros protocolos permaneceram intactos, segundo a entidade.
A b14g prometeu publicar um relatório técnico com a causa do ataque, a extensão das perdas dos usuários e os próximos passos para os depositantes afetados.
