Protocolos DeFi auditados perderam $885 milhões em ataques fora de seus escopos de auditoria

No financiamento descentralizado, "auditados" é frequentemente apresentado como um veredicto sobre todo um projeto. Na prática, uma auditoria geralmente cobre códigos, componentes e versões nomeados em um determinado momento. Qualquer coisa adicionada, excluída ou operada em torno desse limite pode ter um nível diferente de garantia.

Um novo pré-print coloca um número nessa lacuna. Pesquisadores afiliados à empresa de segurança ack3 e à Universidade Técnica Checa em Praga examinaram 135 incidentes relatados na primeira metade de 2026, com perdas atribuídas de $939,86 milhões. Eles encontraram auditorias públicas identificáveis antes do incidente para 68 incidentes.

Dentro desse subconjunto de 68 incidentes, os autores classificaram 46 caminhos de ataque como fora de todos os escopos de auditoria que puderam identificar, 20 como dentro de pelo menos um escopo e dois como não resolvidos. O grupo fora do escopo representou 67,6% dos incidentes, mas 94,4% de suas perdas relatadas.

Essa porcentagem impressionante não é uma estimativa da eficácia da auditoria ou uma prova de que os limites de uma auditoria causaram uma perda. Ela descreve a distribuição das perdas em um conjunto selecionado de incidentes relatados. Dois grandes casos também dominam: após excluir $292 milhões no Kelp DAO e $285 milhões no Drift Protocol, a participação fora do escopo cai para 72,1% das perdas no mesmo subconjunto de incidentes auditados.

Mesmo com esses limites, o estudo expõe um problema básico de garantia. Um projeto pode afirmar com verdade que foi auditado, enquanto deixa os usuários incapazes de dizer se o sistema ao vivo, o caminho que mantém seus fundos e os controles ao redor dele foram revisados.

O que os dados realmente mostram

O conjunto de dados da ack3 cobre incidentes de 1º de janeiro a 29 de junho. Seus autores classificaram 122 como confirmados e 13 como prováveis. Do conjunto completo, 35 não tinham auditoria identificada e 32 tinham um histórico de auditoria desconhecido, portanto, nenhum dos dois grupos aparece no cálculo do escopo de 68 incidentes.

Para esse grupo de 68 incidentes, os incidentes fora do escopo representaram $680,97 milhões de $721,24 milhões em perdas relatadas, produzindo a cifra de 94,4%. Removendo Kelp DAO e Drift Protocol, restaram $103,97 milhões de $144,24 milhões fora do escopo, ou 72,1%. O livro-razão legível por máquina reproduz as contagens de balde e somas de perdas.

Os rótulos dentro ou fora permanecem como julgamentos dos pesquisadores sobre evidências públicas. Eles pesquisaram arquivos de projetos e auditores, localizaram relatórios pré-incidente e compararam os caminhos de ataque eventuais com códigos revisados, versões e exclusões. O trabalho é um pré-print de seis páginas produzido com o editor do conjunto de dados, e dois autores estão afiliados à ack3, que vende revisões de segurança.

O estudo também carece de um grupo de comparação não explorado e de uma medida de quanto tempo cada sistema foi exposto. Ele não pode estabelecer se os protocolos auditados são mais seguros em geral, estimar a probabilidade de incidentes ou mostrar que cair fora do escopo causou cada perda. Auditorias não divulgadas e incidentes privados podem estar ausentes, enquanto os números de perdas relatadas não são perfeitamente comparáveis.

Portanto, o estudo apoia uma conclusão limitada: o histórico de auditoria e o escopo de auditoria são variáveis diferentes. Um contrato inteligente revisado não confere automaticamente a mesma garantia a uma atualização, chave privilegiada, front end, relayer, oracle, serviço em nuvem ou processo de resposta a incidentes.

Dois incidentes de agosto ilustram essa distinção de maneiras diferentes. A ICON Network fornece um exemplo direto de código revisado falhando na fronteira entre duas verificações. O incidente aelf de agosto fornece um caso contrastante porque as evidências de auditoria disponíveis ainda não podem ser ligadas ao seu caminho de execução relatado.

De acordo com o post-mortem da ICON Foundation de 30 de agosto, um contrato de migração usou os bits altos do número de série de uma mensagem de retirada para decidir se era único. A assinatura criptográfica cobria apenas os 256 bits baixos. Ao alterar os bits altos não assinados, um atacante reenviou duas mensagens de retirada legitimamente assinadas 1.492 vezes ao longo de cerca de 20 minutos. A ICON afirmou que 1.490 chamadas foram bem-sucedidas.

O limite auditado que a ICON perdeu

As repetições liberaram 119,866 milhões de ICX e 531.600 bnUSD. No momento do post-mortem, a ICON colocou a perda líquida confirmada em cerca de 150,2 ETH mais 31.204 USDC. Ela afirmou que 531.600 bnUSD e 1,366 milhão de SODA haviam sido recuperados e que os depósitos, saldos e posições dos usuários não foram afetados.

A ICON disse que o contrato de migração passou por uma auditoria externa e que as recomendações foram implementadas, incluindo mudanças na mesma área. Ela também afirmou que a lógica de retransmissão relevante recebeu uma revisão dedicada. O arquivo de auditoria da SODAX lista oito relatórios em diferentes componentes, incluindo uma auditoria de retransmissão de novembro de 2025.

No entanto, o post-mortem disse que a discrepância precisa entre a verificação de unicidade e o valor assinado caiu fora dessas descobertas. Um distintivo em nível de projeto não poderia informar a um usuário se ambas as extremidades do caminho de retirada concordavam sobre o que tornava uma mensagem única.

A linha do tempo da resposta adiciona um segundo tipo de limite. O primeiro alerta automatizado da ICON disparou às 02:08 UTC, cerca de sete minutos após o início da exploração. A equipe abriu uma investigação por volta das 03:40, pausou o contrato afetado às 03:53 e interrompeu a rede às 06:18:54.

A ICON atribuiu a lacuna de cerca de 90 minutos entre o primeiro alerta e uma resposta completa ao incidente ao ajuste do alerta. A classe de alerta havia produzido falsos positivos durante incidentes de conectividade não relacionados e não acionou a equipe de plantão com a severidade necessária. A fundação disse que planejava um gatilho de desligamento automático, limites de disjuntor mais baixos e uma revisão de acompanhamento focada na unicidade da mensagem e nas proteções contra repetição.

Esses controles não substituem uma auditoria. Eles fornecem evidências para uma pergunta diferente: quando a prevenção falha, quão rapidamente a detecção pode se tornar contenção?

aelf mostra por que a garantia deve permanecer atual

aelf's incidente de agosto testa o argumento de outra direção. Seu registro público descreve um compromisso em tempo de execução e uma recuperação controlada, mas não fornece evidências suficientes para colocar o caminho dentro ou fora de uma auditoria específica pré-incidente.

A empresa anunciou uma pausa na rede em 18 de agosto. Em sua atualização de progresso de 26 de agosto, a aelf disse que um contrato inteligente não autorizado poderia usar parâmetros de transação para entregar assemblies e instruções codificadas .NET no caminho de execução do nó.

A conta provisória vinculou o incidente a lacunas nas verificações para reflexão em tempo de execução e carregamento dinâmico, juntamente com fraca isolação entre a execução do contrato e recursos sensíveis do nó ou infraestrutura. A aelf identificou 155 transações associadas e cinco assemblies de carga únicas com capacidades que incluem execução de comandos do host, comunicação de saída tentada, acesso à chave do nó e reconhecimento de infraestrutura.

A capacidade não é a mesma que a execução confirmada. aelf disse que as cargas úteis não provaram que cada montagem foi executada, que cada credencial alvo foi obtida ou que dados sensíveis deixaram seus sistemas. A empresa afirmou que estava rotacionando chaves de assinatura e credenciais de infraestrutura sob um padrão de potencial exposição.

O status público permaneceu provisório em 11 de setembro: o índice do blog da aelf não continha nenhum item específico sobre incidentes publicado após 26 de agosto. A declaração de 26 de agosto comprometeu-se a uma nova atualização e uma eventual revisão final.

documentação de segurança da aelf afirma que seus contratos de blockchain e token ELF passaram por várias auditorias sem problemas de segurança identificados. Mas as páginas disponíveis não conectam um relatório pré-incidente específico ao caminho de execução descrito em agosto. Chamar o incidente de falha de auditoria ou falha fora do escopo, portanto, superaria as evidências.

Essa incerteza é, em si, útil. Um histórico de auditoria datado pode se desconectar do código atual de um sistema, dependências e estado operacional. Os usuários precisam de um registro de garantia que seja versionado e específico o suficiente para revelar essa deriva.

Esse registro deve nomear o repositório revisado e o commit, endereços implantados, componentes excluídos, funções privilegiadas e dependências. Também deve registrar atualizações desde a revisão, custódia e rotação de chaves, isolamento em tempo de execução, comportamento de alerta e disjuntor, e status de recuperação datado que separa perda confirmada de exposição congelada ou não resolvida.

Isso não reduz o valor de uma auditoria. Isso torna a reivindicação proporcional ao trabalho realizado e conecta esse trabalho ao sistema que está operando agora.

Um emblema de auditoria não pode responder se o artefato revisado, o sistema implantado e a maquinaria que responde a falhas ainda compartilham a mesma fronteira de segurança.

Este conteúdo é fornecido apenas para fins informativos gerais e não constitui aconselhamento financeiro, de investimento, jurídico ou tributário. Quaisquer eventos, recompensas, promoções online ou informações relacionadas mencionadas neste documento não devem ser consideradas uma recomendação, solicitação ou convite para comprar, vender, negociar ou realizar qualquer outra transação com criptoativos. Criptoativos são altamente voláteis e podem resultar em perdas. A disponibilidade dos serviços, produtos e eventos relacionados da WEEX pode variar conforme a região. É de sua responsabilidade garantir que sua participação esteja em conformidade com as leis e regulamentações locais aplicáveis.