Caso Mercado Bitcoin: falhas humanas e chaves comprometidas podem colocar criptoativos em risco

O incidente de segurança que atingiu o Mercado Bitcoin nesta segunda-feira (2) evidencia os riscos envolvidos na custódia de criptoativos, que vão de vulnerabilidades técnicas ao comprometimento de credenciais e falhas humanas dentro das empresas.

A empresa de monitoramento de blockchain Hypernative estimou que mais de US$ 40 milhões em ativos digitais foram movimentados de carteiras atribuídas ao Mercado Bitcoin em diferentes redes. A corretora ainda não confirmou esse valor.

Leia também: Mercado Bitcoin sofre invasão estimada em US$ 40 milhões

O Mercado Bitcoin afirmou que identificou e conteve rapidamente o incidente e disse que não houve prejuízo aos clientes nem vazamento de dados. Depósitos e saques foram suspensos temporariamente. Em uma atualização posterior, a empresa afirmou que seguia trabalhando para restabelecer as operações e divulgou endereços de destino relacionados às movimentações para auxiliar no rastreamento dos ativos.

Chaves privadas e credenciais estão entre pontos a serem investigados

Leonardo Maximiliano, CEO e cofundador da DSEC Labs e da DominiPay, afirma que a própria natureza de uma corretora de criptoativos aumenta a atratividade para criminosos por reunir grandes volumes de recursos e acessos.

“Uma corretora concentra ativos e acessos, tornando-se um alvo de alto valor para criminosos. Sem uma investigação técnica concluída, seria precipitado apontar a causa do incidente no Mercado Bitcoin”, afirma.

Segundo ele, uma apuração técnica precisará analisar diferentes possibilidades.

“Entre os pontos que precisam ser apurados estão o comprometimento de credenciais, a exposição de chaves privadas e falhas nos processos de autorização de transferências. São hipóteses de investigação, não conclusões sobre o caso.”

Esse cuidado é importante porque as movimentações identificadas no episódio ocorreram como transferências assinadas a partir das carteiras de origem. Ainda não está esclarecido como terceiros teriam obtido capacidade para autorizar essas operações.

Ataque pode começar pelo funcionário, não pela blockchain

Caio Mattos, CEO da NearX, afirma que invasões no setor de criptoativos não dependem necessariamente de uma vulnerabilidade sofisticada no protocolo de uma blockchain.

Há ataques que exploram contratos inteligentes ou mecanismos externos usados para fornecer informações às redes, conhecidos como oráculos. Mas, segundo Mattos, alguns dos incidentes mais relevantes começam fora da blockchain.

“Muitas vezes, os ataques mais relevantes começam pela exploração de vulnerabilidades humanas e operacionais: funcionários que clicam em links maliciosos, computadores infectados por malware, credenciais comprometidas ou até mesmo criminosos que se passam por candidatos a vagas de emprego, conseguem ser contratados e se infiltram na estrutura da empresa”, afirma.

Para o executivo, o avanço das ferramentas de inteligência artificial adicionou uma nova camada ao problema.

De um lado, funcionários podem utilizar plataformas de IA sem compreender totalmente os riscos de compartilhar informações corporativas. Além disso, criminosos podem empregar essas mesmas ferramentas para automatizar tarefas e acelerar a identificação de vulnerabilidades.

Mattos defende, por isso, que a proteção não fique restrita à infraestrutura tecnológica.

Siga o Times | CNBC no Google e receba as principais notícias do Brasil e do Mundo.

Siga o Times | CNBC

“Segurança não depende apenas da tecnologia utilizada, mas também das pessoas, dos processos e da governança que sustentam toda a operação.”

Entre as medidas citadas por ele estão autenticação multifator, controle de acesso, gestão e rotação de credenciais, monitoramento contínuo, auditorias de segurança e treinamento de funcionários.

Senha forte não protege contra toda falha de custódia

Para o investidor, Maximiliano chama atenção para uma diferença entre a segurança da própria conta e a segurança da infraestrutura usada pela corretora para guardar os ativos.

Senhas mais complexas e autenticação em dois fatores ajudam a impedir que terceiros entrem na conta de um cliente, mas não são suficientes se o problema estiver na estrutura de custódia da plataforma.

“Senhas fortes e autenticação em dois fatores são importantes para proteger a conta, mas não resolvem uma falha na infraestrutura de custódia da plataforma”, afirma.

Outro risco aparece quando depósitos ou saques são interrompidos durante um incidente.

“Mesmo quando uma empresa informa que os saldos estão preservados, o cliente continua dependendo da capacidade dela de proteger os recursos e restabelecer a operação”, diz Maximiliano.

Leia também: Binance: por que o bitcoin resistiu melhor ao maior ataque hacker da história?

Foi o que ocorreu no Mercado Bitcoin. A corretora suspendeu temporariamente depósitos e saques como medida de proteção enquanto investiga o episódio.

Autocustódia reduz dependência, mas transfere risco ao investidor

Uma das alternativas para quem não pretende deixar todos os ativos sob responsabilidade de uma corretora é a autocustódia, em que as chaves necessárias para movimentar as criptomoedas ficam sob controle do próprio investidor.

Maximiliano sugere separar os ativos utilizados para negociações daqueles destinados a uma reserva de prazo mais longo. Essa parcela pode ser mantida em uma carteira de hardware, com as chaves protegidas offline.

A opção não elimina o risco, mas transfere parte da responsabilidade da corretora para o próprio usuário.

“Autocustódia exige responsabilidade. Quem perde ou entrega suas chaves pode perder os ativos, e uma carteira de hardware não impede que o próprio usuário autorize uma operação maliciosa”, afirma.

Segundo ele, a frase de recuperação de uma carteira também deve ser protegida e não deve ser armazenada em fotos ou serviços de nuvem.

“Segurança depende de tecnologia, processos e da capacidade de entender quem realmente controla o patrimônio.”

Quer ganhar até US$30 na Cripto.com?

Resgatar meu cupom

Clique aqui e cadastre-se agora usando o cupom “timesbrasil” para ganhar um bônus de até US$30 na sua conta.

Siga o Times Brasil - Licenciado Exclusivo CNBC no