Nomad sofre um dos hacks mais peculiares da Web 3

Edição de fechamento semanal - 06/08/2022

Aug 06, 2022

A Morning Jog possui uma novidade exclusiva para seus assinantes. Todos os sábados, logo no comecinho da manhã, um e-mail como esse estará na sua caixa de entrada. A edição semanal irá conter um resumo dos principais eventos, uma solução nova que chamou nossa atenção, análises on-chain e recomendações de leituras. Assim, traremos reflexões e explicações sobre os principais acontecimentos dos últimos dias para que você aproveite seu fim de semana melhor informado e plenamente consciente das mudanças do mercado cripto. Aproveite!

A primeira semana de agosto foi bastante intensa. Começamos logo dia primeiro com um grande exploit na Nomad, uma solução de bridge entre blockchains, seguido por outro exploit ocorrido na rede Solana algumas horas depois.

O hack da Nomad foi ligado a mais de 300 endereços diferentes e o valor drenado foi a totalidade dos fundos disponíveis, que alcançavam US$ 190 milhões naquele momento.

Uma parte desses endereços ligados ao exploit da Nomad é composto por “white hat hackers”, ou seja, hackers do bem. Como este foi um hack “aberto”, não foi possível impedir outras pessoas de roubarem. Desse modo, alguns hackers retirararam os fundos para depois devolve-los a Nomad quando a situação estivesse controlada. Até o momento, mais de US$ 20 milhões foram devolvidos.

A Chainalysis publicou um relatório estimando que US$ 2 bilhões em criptomoedas foram roubados de bridges em 13 hacks separados somente em 2022, correspondendo a 69% do total de fundos roubados neste ano.

Já o segundo hack ocorreu na Solana, onde foram roubados em torno de US$ 5 milhões, afetando cerca de 8 mil carteiras. Em um primeiro momento não houve um consenso sobre a fonte do hack ou como interrompê-lo. Após um tempo começaram a circular notícias de que a Slope, uma solução de wallet da rede, salvou a seed phrases de seus usuários na forma de texto simples e legível, sem criptografia. Isso permitiu a drenagem de fundos de algumas carteiras de usuários da rede.

Mas esses não foram os únicos destaques da semana. A BlackRock, maior gestora de ativos do mundo, com cerca de US$ 10 trilhões sob gestão, fechou parceria com a Coinbase para disponibilizar ativos digitais diretamente para investidores institucionais. Além disso, aumentaram os rumores a respeito de um fork na rede principal da Ethereum antes da mudança de seu mecanismo de consenso para Proof of stake; a Cardano adiou a atualização do Vasil hard fork por “mais algumas semanas” e o banco Santander anunciou que planeja oferecer em breve um canal de negociações de criptomoedas.

Tudo isso diante de um cenário de desvalorização do BTC e do ETH. Fechamos os últimos sete dias com o bitcoin cotado a US$ 22,9 mil* e o ether se mantendo na casa dos US$ 1,6 mil*.

As Bridges estão entre os instrumentos mais frágeis do ecossistema cripto. Neste ano, foram 13 casos, que drenaram US$ 2 bilhões dos fundos. Na última segunda-feira (1), mais uma bridge sofreu um exploit, de US$ 190 milhões. A Nomad permite transferências de token entre as redes Avalanche, Ethereum, Evmos, Milkomeda C1 (Cardano) e Moonbeam.

Este representa o terceiro maior hack do ano, após os US$ 300 milhões roubados da Wormhole bridge e os US$ 600 milhões da Ronin Bridge e reacendeu a questão da vulnerabilidade dessas soluções.

O caso Nomad, em específico, chama ainda mais atenção pelo fato da solução vender a ideia a seus usuários de ser a mais segura dentre as plataformas alternativas, e pelo fato de contar com investidores como Coinbase Ventures e OpenSea desde sua fase seed, que ocorreu em abril.

Tokens nativos de blockchains, na prática, não podem ser transferidos a outros ecossistemas. A forma que as bridges funcionam é travando os ativos desejados em um contrato inteligente na rede nativa e emitindo um token sintético equivalente a ele na rede desejada, de forma que sempre possa ser resgatado pelo seu “lastro” original.

A dinâmica do hack foi diferente dos casos anteriores. De acordo com a thread de @Samczsun, analista da Paradigm, uma das maiores casas de research do mercado, o exploit ocorreu após uma atualização recente no contrato do protocolo, que facilitou para os usuários falsificarem transações. Essa atualização permitiu que mensagens de verificação fossem ignoradas. Sabendo disso, um hacker manipulou o contrato para entregar 0,01 BTC na Moonbeam e pegar 100 BTC na Ethereum. Quando descoberto, vários invasores fizeram transações apenas copiando e colando a primeira transação do hacker e adicionando seu endereço próprio no lugar, conseguindo assim sacar os tokens travados na blockchain nativa (Ethereum) sem precisar queimar uma contrapartida equivalente em tokens sintéticos. A partir desse momento, o peg de 1:1 deixou de existir e os tokens sintéticos deixaram de ter o valor correspondente.

Por conta da vulnerabilidade descoberta permitir a drenagem dos fundos por qualquer um, simplesmente copiando e colando a primeira transação do hacker e adicionando seu endereço próprio no lugar, vários agentes sem ligação direta amplificaram o exploit. Não eram necessários conhecimentos profundos em programação ou coisa do tipo.

Como ninguém tinha como impedir o roubo dos fundos durante seu acontecimento, alguns “white hat” hackers (hackers do bem) começaram a ajudar, pegando os recursos da bridge com o intuito de devolvê-los depois que a situação estivesse estabilizada. Ou seja, parte desses US$ 190 milhões devem ser incorporados novamente, mas até o momento não sabemos a quantia total. Até o momento, mais de US$ 20 milhões foram devolvidos.

Mas de que forma esse exploit afetou os protocolos envolvidos? Mesmo não sendo uma falha de segurança própria, há grandes impactos nesses ecossistemas.

Grande parte do valor travado (TVL) das redes Cardano, Moonbeam e Evmos correspondiam a tokens sintéticos da Nomad. Com a perda do Peg e a desvalorização desses ativos, a liquidez foi diminuída drasticamente dessas blockchains. Os usuários que holdavam ou proviam liquidez com pares de tokens sintéticos a DEXes desses ecossistemas ficaram no prejuízo.

Atualmente, as bridges são de extrema importância para o crescimento de ecossistemas iniciantes no mercado DeFi, porém suas falhas fazem com que elas venham sendo também as mais impactadas, por terem um percentual significativo de tokens provindos de bridges em seu TVL.

Cardano
A rede da Cardano sofreu uma variação de -32% em seu Total Value Locked. Algumas DEXes de seu ecossistema onde os tokens estavam mais concentrados sofreram mais. A WingRiders por exemplo, sofreu uma variação de -70% em seu TVL. Como resposta, ela bloqueou as operações de pools que continham pares entre tokens sintéticos e tokens nativos, como ADA/ madWETH para não permitir a prática de arbitragem e preservar os provedores de liquidez do risco de um elevado impermanent loss.
Moonbeam
A rede da Moonbeam sofreu uma variação de -53% em seu Total Value Locked. Como resposta, houve um desligamento da rede durante o hack. Isso foi conseguido através do comitê técnico, que abriu uma proposta de governança e votou rapidamente a solução (apesar de ter sido positiva essa intervenção, o fato desse comitê ser relativamente centralizado é um problema que a rede deverá trabalhar ao longo do tempo).
Evmos
A rede da Evmos sofreu uma variação de -62% em seu Total Value Locked. Foi a mais prejudicada em termos percentuais por ser a menos robusta das três, motivo pelo qual também deve ser a que mais tenha trabalho para recuperar o patamar anterior.
Para esses ecossistemas voltarem a se desenvolver e atraírem liquidez novamente, uma ligação com novas soluções de bridges será necessária. Esse evento em específico deve impactar diretamente na velocidade de desenvolvimento futuro das mesmas a partir de agora.

Vitalik Buterin, um dos co-fundadores da Ethereum, publicou em Janeiro um texto dizendo que acredita em um futuro multi-chain, mas não em soluções cross-chain. Sua opinião foi formada justamente por conta dos problemas das soluções de bridges e de tokens sintéticos, em que o garantidor desse “lastro” do token original depende exclusivamente de um protocolo intermediário e dele administrar corretamente esses recursos.

A única certeza que temos é que esse caso não será o último hack de soluções de bridges. Ecossistemas que prezam por ter uma segurança compartilhada como Polkadot e Cosmos propõem uma alternativa focando na interoperabilidade nativa entre diferentes ecossistemas, mitigando o risco das bridges atuais.

Além delas, existem outras soluções surgindo como o CCIP da Chainlink e o Polygon Avail que buscam maneiras de se ter uma comunicação entre blockchains sem a necessidade de bridges, mantendo uma maior segurança nessa questão da interoperabilidade. Porém, como ainda não estão operacionais, precisaremos dar tempo ao tempo.

Análise on-chain:

O indicador Fear & Greed index, que mensura o sentimento de mercado em relação ao momento atual, continua em um patamar de “medo”, porém com uma leve piora, indo de 39 pontos sete dias atrás para 31 pontos atualmente. Ele vinha em uma crescente nas últimas semanas: depois de chegar a seis pontos no mês anterior, três semanas atrás estava em um patamar de “extremo medo”, batendo nos 15 pontos.

Um mercado de baixa vem ocorrendo desde as máximas históricas no fim do ano passado. Segundo dados da Glassnode, estamos em um patamar de aproximadamente 82% de queda do ATH de US$ 4,8 mil do ETH, atingido em novembro de 2021. Como comparação, no bear market anterior, de 2018 a 2020, o ativo atingiu uma queda de -94% e levou 1.108 dias para recuperar o preço do ATH de US$ 1.416.

Ao analisar o indicador MVRV (Market Value to Realized Value) pode-se observar que, em termos de duração, o momento atual nem se compara ao mercado de baixa de 2018-20, em que os investidores de ETH mantiveram moedas em prejuízo não realizado por longos 547 dias (com duas altas de alívio ao longo do caminho), ante os pouco mais de 40 dias do cenário atual.

Outra métrica interessante de se observar é em relação aos lucros/prejuízos não realizados dos usuários que fizeram o staking de ETH 2.0 na Beacon chain. O preço médio do ativo no momento do stake foi de US$ 2.389, que é 44,8% maior do que o preço de mercado atual, na faixa dos US$ 1.650. Com mais de 13 milhões de ETH apostados, isso coloca a perda total não realizada detida pelos stake holders em US$ 14,96 bilhões.

Fatores como esse contribuem para a adoção da modalidade de “stake líquido”, em protocolos como a Lido Finance. O token stETH permite que os investidores transfiram e vendam suas posições.

A quantia de ETH em stake via Lido aumentou para 4,1 milhões ETH, representando 31,8% do total de 13 milhões dos ativos. Em comparação, os depósitos combinados da Coinbase, Kraken e Binance representam 3,5 milhões de ETH, o que representa 27% do total.

Outro ponto interessante é relacionado ao gás da rede Ethereum, que caiu para apenas 17,5 Gwei em uma média de 7 dias.

Este é o menor congestionamento de rede e menor preço do gás desde maio de 2020. Por conta disso, a taxa de queima de ETH via EIP 1559 (lançado em agosto do ano passado e que implementou o modelo de queima de tokens de parte das taxas de transferências pagas) está em sua mínima histórica. O total queimado é apenas 11% da emissão total atualmente. Apenas em três ocasiões após a implementação o ativo estava sendo deflacionário. Isso mostra que a oferta total de tokens disponíveis está em uma crescente comparado ao histórico pós atualização neste último ano.