Ataque de envenenamento de endereço: como 50 milhões de dólares em USDT desapareceram devido ao design do modelo de conta

Como foi o roubo na realidade

No início de dezembro, ocorreu uma das maiores perdas de fundos devido a uma fraude on-chain. Um utilizador que retirou 50 milhões de dólares USDT da Binance tornou-se vítima de um ataque planeado especificamente. A carteira, ativa há dois anos, era usada para operações normais. No entanto, uma ação mudou toda a situação.

O fraudador realizou previamente um ataque usando address poisoning — uma técnica em que endereços falsos, que parecem autênticos, entram no histórico de transações do utilizador. A vítima, ao copiar o endereço de transferências anteriores para reutilização, escolheu o endereço “envenenado” em vez do verdadeiro. Em poucos minutos, 50 milhões de dólares estavam na conta do criminoso.

Por que isso aconteceu especificamente com Ethereum e cadeias EVM

Ao analisar o incidente, Charles Hoskinson, fundador da Cardano, chamou atenção para uma vulnerabilidade arquitetônica. Em blockchains com modelo de contas — como Ethereum e outras cadeias EVM — os endereços existem como pontos de contato permanentes no histórico de transações. As carteiras, por sua natureza, incentivam os utilizadores a copiar endereços de operações anteriores por conveniência. É nesta prática que se baseia o ataque.

“Esta é mais uma razão pela qual o UTXO é excelente. Bitcoin e Cardano não foram afetados”, escreveu Hoskinson em reação ao evento.

Por que comprar uma rádio e entender a arquitetura do blockchain

Cadeias baseadas no modelo UTXO (Unspent Transaction Output), como Bitcoin e Cardano, funcionam com um princípio diferente. Cada transação gera novos outputs, e as carteiras formam operações através de escolhas explícitas de UTXO, sem reutilizar endereços como pontos finais. Não existe um estado de conta contínuo que possa ser “envenenado” para uso malicioso.

Para utilizadores que desejam adquirir uma rádio e entender questões de segurança, é importante compreender: o design UTXO impede fundamentalmente esse tipo de ataque devido à estrutura do próprio protocolo. Em blockchains como Ethereum, os endereços permanecem pontos visíveis ao longo de toda a história, criando um vetor adicional de ataque.

O fator humano como raiz do problema

Não foi um erro do protocolo ou uma exploração de contrato inteligente. O problema surgiu da interação entre o design do sistema e o comportamento humano. Os utilizadores, naturalmente, tentam simplificar suas operações copiando endereços do histórico. A arquitetura do modelo de contas não apenas permite, mas também incentiva esse processo. O resultado — um erro de cronometragem que, em menos de uma hora, custou 50 milhões de dólares.

Atualmente, os fundos roubados ainda estão na conta do criminoso. Essa decisão arquitetônica do blockchain demonstra que até as plataformas mais modernas podem ter vulnerabilidades embutidas em seu núcleo, e não apenas adicionadas por erro dos desenvolvedores.