Casos Reais

Maior roubo da história das criptomoedas (29/10/2026). Atribuído pelo FBI ao grupo norte-coreano TraderTraitor (Lazarus). Hackers usaram entrevistas de emprego falsas para infectar um engenheiro e, via recurso EIP-7702 do Ethereum, transformaram uma hot wallet em contrato “sweeper”, drenando fundos em ~20 minutos. A Binance cobriu 100% das perdas.

Ataque de cadeia de suprimentos (21/02/2025). O comprometimento da máquina de um desenvolvedor do Safe{Wallet} permitiu injetar código malicioso na interface e manipular a transação de uma cold wallet. Mais de 401 mil ETH roubados. FBI atribuiu ao grupo Lazarus.

Ponte do jogo Axie Infinity comprometida (março/2022). Hackers controlaram 5 dos 9 validadores por engenharia social e drenaram 173,6 mil ETH e 25,5 mi USDC. FBI ligou o ataque ao Lazarus/APT38.

Exploração de vulnerabilidade no contrato cross-chain (agosto/2021). O invasor (“Mr. White Hat”) devolveu todos os fundos em 15 dias, alegando ter agido para expor a falha.

Exploração da ponte BSC Token Hub (outubro/2022). Forjando provas de verificação, o atacante cunhou 2 milhões de BNB do nada. Validadores pausaram a rede e limitaram a perda efetiva a ~US$ 100 mi.

Exchange japonesa perdeu ~523 milhões de NEM (janeiro/2018) armazenados em hot wallet sem multisig. Cerca de 260 mil clientes afetados; a empresa prometeu reembolsar ~90%.

Fundos drenados ~24h após o pedido de falência (12/11/2022). Os ativos foram rapidamente lavados via DEXs e mixers. Até hoje a autoria não foi confirmada; há forte suspeita de insider.

O colapso que mudou a história (fevereiro/2014). Cerca de 850 mil BTC desapareceram da maior exchange da época. A empresa citou um “transaction malleability bug”, mas pesquisadores contestaram a explicação.

Falha na verificação de assinaturas na Solana (02/02/2022) permitiu cunhar 120 mil wETH sem lastro. A Jump Crypto repôs os fundos para manter o lastro da ponte.

Comprometimento do banco de dados do provedor de nuvem da rede (23/09/2023). Apesar de se dizer descentralizada, a dependência de um banco centralizado criou um ponto único de falha.

Ataque de flash loan (13/03/2023) explorando a função donateToReserves(), que não checava a solvência da posição. O invasor acabou devolvendo os fundos ao tesouro do protocolo.