A grande migração das bridges: trocar de ponte é trocar de risco?

O ano em que 15 mil milhões mudaram de ponte

Na manhã desta terça-feira, 3 de novembro de 2026, o mercado acordou nervoso. O Bitcoin negociava perto dos 77 000 dólares (cerca de 69 mil euros, ao câmbio de 1,12 dólares por euro), em queda de cerca de 2% em 24 horas, com os investidores a reduzir risco antes das eleições intercalares nos Estados Unidos e ainda a digerir o maior assalto da história, os 6,36 mil milhões de dólares drenados da Binance por um grupo ligado à Coreia do Norte. O preço do Bitcoin andava assim de rastos, mas a notícia que importa para quem move cripto entre cadeias estava noutro lado.

Dois números contam a verdadeira história da segurança cross-chain em 2026. O primeiro saiu a 21 de outubro, na revisão trimestral da Chainlink: a sua Cross-Chain Interoperability Protocol (CCIP) passou a assegurar mais de 85 mil milhões de dólares (perto de 76 mil milhões de euros) em valor cross-chain, e cerca de 15 mil milhões de dólares migraram para ela ao longo do ano. O segundo chegou uma semana depois, a 28 de outubro: a bridge da zkLink Nova foi esvaziada por uma única transação que reutilizou um hash de mensagem já validado.

Um número diz que o dinheiro está a fugir para a infraestrutura que o setor considera mais segura. O outro diz que a infraestrutura antiga continua a partir. E a 2 de novembro, mesmo à porta do público lusófono, a Mercado Bitcoin, a maior exchange da América Latina, viu carteiras suas serem drenadas em 40 a 49 milhões de dólares dispersos por dez a dezassete blockchains. Não foi um ataque a uma bridge, foi um comprometimento de carteiras de uma exchange; mas o dinheiro roubado viajou por uma dúzia de cadeias em minutos, a lembrar que, mesmo quando a falha não está na ponte, é por pontes que o valor foge.

A pergunta que organiza este ano é simples e desconfortável: trocar de ponte é trocar de risco, ou apenas mudá-lo de sítio? Para responder, é preciso perceber o que uma bridge faz de facto, porque continua a ser o elo mais fraco da DeFi, e o que muda, ou não muda, quando 15 mil milhões de dólares atravessam para o outro lado.

O que uma bridge faz realmente com o teu dinheiro

Uma bridge não transporta moedas. As blockchains não falam entre si, por isso nenhuma moeda sai verdadeiramente de uma cadeia para outra. O que acontece é uma encenação contabilística: a bridge tranca (ou queima) o teu ativo na cadeia de origem e cria, com um mint, uma representação equivalente na cadeia de destino. Há três modelos básicos. No lock-and-mint, os teus tokens ficam fechados num cofre de contrato inteligente e recebes um IOU, um token wrapped na outra ponta. No burn-and-mint, o emissor destrói o original e cunha um nativo do outro lado, sem cofre. Nas liquidity networks, pools pré-financiadas de cada lado pagam-te na cadeia de destino e reequilibram-se depois entre si.

O problema nasce do cofre. Cada dólar trancado numa bridge lock-and-mint fica ali, imóvel e visível, o que transforma essas pools no honeypot perfeito: concentram muito valor num único ponto, exposto a quem conseguir enganar o mecanismo. E o mecanismo é, no fundo, um só: verificação. A cadeia de destino tem de ser convencida de que algo verdadeiro aconteceu na origem antes de libertar fundos.

É aqui que quase tudo falha. Como resume Ben Fisch, CEO da Espresso Systems, ao analisar os assaltos deste ano, «a maioria das bridges não verifica de facto o que aconteceu noutra cadeia; em vez disso, confiam num sistema mais pequeno para o reportar, e esse sistema passa a ser aquilo em que confias». Por outras palavras, quando entregas cripto a uma bridge, não estás a confiar na matemática do Bitcoin ou da Ethereum; estás a confiar no conjunto, muitas vezes bem mais pequeno, que lhe diz o que se passou do outro lado. Essa distância entre o que a bridge julga saber e o que realmente aconteceu é toda a superfície de ataque.

zkLink Nova: quando a ponte acredita numa mentira

O caso de 28 de outubro é um manual. Às 22h21 UTC, uma única transação na Ethereum esvaziou os cofres de custódia em L1 da zkLink Nova, um rollup agregado, levando cerca de 797 mil dólares (perto de 713 mil euros): 22,43 ETH e onze tokens ERC-20. A ironia é cortante. A zkLink Nova pertence à família das zk-rollups, a fronteira que, em teoria, substitui a confiança por matemática. Não foi a matemática que cedeu.

A raiz estava num detalhe de higiene de estado. A função claimMessage, no contrato Arbitrator, não limpava um hash de mensagem guardado em transient storage, o armazenamento temporário introduzido pela EIP-1153 que deveria desaparecer no fim de cada transação. Isso permitiu que uma mensagem já verificada fosse reutilizada dentro da mesma transação. O atacante chamou o SyncL2TxHashRelayer, um contrato relayer que qualquer pessoa podia invocar mas que o sistema tratava como autorizado, carregou um hash válido de um pedido legítimo anterior e voltou a usá-lo, trocando o destino para EthereumGateway.sendMessage. Resultado: a função syncBatchRoot correu como se a ordem viesse do gateway legítimo da Ethereum, e o atacante instalou uma batch root à sua escolha. A empresa de segurança SlowMist confirmou que a causa foi a reutilização de valores em transient storage.

Convém perceber porque é que isto acontece precisamente numa zk-rollup. A prova de validade da zkLink garante que as transações dentro do rollup foram executadas corretamente; não garante, por si só, a canalização que liga o rollup à Ethereum e liberta o dinheiro do cofre em L1. Essa canalização, os contratos de mensagens e de reclamação como o Arbitrator, é código normal, com estado normal e bugs normais. A matemática protegeu o andar de cima; o assalto entrou pela cave. É o lembrete incómodo de que, mesmo quando a cadeia é trust-minimized, a ponte que lhe dá acesso raramente o é na mesma medida.

Repara no que aconteceu e no que não aconteceu. Ninguém roubou uma chave privada. Nenhum contrato tinha um erro de aritmética. O contrato fez exatamente o que estava escrito: aceitou um hash validado e agiu em conformidade. Simplesmente aceitou um hash que já tinha sido gasto. Nas palavras de Fisch sobre esta classe de falhas, «a bridge funcionou como foi concebida; apenas acreditou na informação errada». A zkLink parou a rede, e o incidente alastrou a quatro cadeias antes de ser contido. Foi o terceiro aviso de outubro, depois da semana em que Cysic, WAX e Initia partiram de três maneiras diferentes, que já analisámos aqui.

Chaves, não código: a lição que 2026 repetiu

Se há uma frase que resume a segurança cripto de 2026, é esta: o problema deixou de ser o código. A TRM Labs contou 207 ataques no primeiro semestre, um recorde para qualquer período de seis meses, mas com perdas totais de 972 milhões de dólares, menos de metade dos 2,3 mil milhões roubados no primeiro semestre de 2025. O detalhe que importa está na composição: os comprometimentos de infraestrutura e de operações (roubo de chaves privadas, de credenciais, de sistemas de assinatura) foram apenas cerca de 15% dos incidentes, mas responderam por cerca de 76% do valor perdido. Duas operações ligadas à Coreia do Norte, contra a Drift Protocol e a KelpDAO, somaram sozinhas perto de 577 milhões de dólares.

A KelpDAO é o caso definidor. A 18 de abril, um atacante forjou uma mensagem cross-chain e drenou 116 500 rsETH, cerca de 292 milhões de dólares (perto de 261 milhões de euros), explorando a configuração de verificador único (um só DVN) da LayerZero. Os contratos passaram as auditorias; o que falhou foi quem autorizava e o que era autorizado. Sergej Kunz, co-fundador da 1inch, foi direto: «enquanto dependermos de bridges baseadas em validadores, estes problemas vão continuar».

É por isto que a expressão chaves, não código se tornou o diagnóstico do ano. A maioria dos incidentes continua a ser de contratos inteligentes, mas são pequenos: a TRM aponta uma perda mediana de cerca de 219 mil dólares por exploração de contrato. O dinheiro grande sai quando alguém engana o conjunto de confiança, seja roubando-lhe as chaves, seja alimentando-o com uma versão falsa da realidade. O assalto de 6,36 mil milhões à Binance, o maior de sempre, foi exatamente isso à escala de uma exchange. As bridges são apenas o sítio onde esse padrão rende mais, porque é lá que o valor se acumula à espera.

O espectro de confiança: de comité a matemática

Nem todas as bridges confiam da mesma maneira, e a diferença é tudo. Vale a pena pensar na segurança cross-chain como um espectro, do mais confiante ao mais verificável. Num extremo, um pequeno comité de signatários diz-te o que aconteceu e tu acreditas. No outro, uma prova matemática torna a mentira impossível de construir. Entre os dois cabe quase toda a história de assaltos deste artigo.

A regra geral é que, à medida que descemos a tabela, a confiança passa de pessoas para matemática e o custo de corromper o sistema sobe. Mas repara: a zkLink Nova vive no fundo da tabela e ainda assim partiu, porque o elo fraco não foi a prova, foi um hash mal arrumado. O modelo importa, mas a implementação importa tanto quanto. Nenhuma arquitetura salva uma equipa que trata a segurança como um detalhe a resolver depois do lançamento.

Os grandes assaltos: o mapa do que partiu

Olhar para os maiores assaltos de bridges lado a lado deixa o padrão evidente. Quase nenhum foi um bug exótico de criptografia; quase todos foram chaves roubadas ou mensagens forjadas, e os valores são de cortar a respiração.

Dois esclarecimentos de escala, porque os superlativos andam baralhados. O Ronin, com cerca de 625 milhões de dólares, continua a ser o maior assalto a uma bridge de que há registo; a Liquid, com cerca de 320 milhões, foi a maior perda de uma bridge em 2026, acima dos 292 milhões da KelpDAO. E nenhum deles é o maior roubo cripto de sempre, título que pertence agora à Binance. A Liquid é especialmente instrutiva: uma federação de 15 signatários, com um limiar de 11, operada há oito anos por uma empresa respeitada, assinou alegremente uma prova forjada porque o erro estava a montante, na verificação, não nas chaves. Onze pessoas honestas a dizer sim a uma mentira valem tanto como uma chave roubada.

Repara também em como a coluna «o que falhou» se divide quase sempre em dois baldes. Ou alguém ficou com as chaves que autorizam a saída de fundos (Ronin, Multichain e, num certo sentido, a maioria dos grandes roubos de 2026), ou alguém convenceu o sistema de uma falsidade sem lhe tocar nas chaves (Poly, Wormhole, Nomad, KelpDAO, Liquid, zkLink). O primeiro balde é um problema de custódia; o segundo é um problema de verificação. Nenhum deles é um problema de o contrato ter uma linha de código torta, e é por isso que mais auditorias ao código, só por si, não resolvem a questão. A segurança de uma bridge mede-se por quem lhe pode mentir e com que facilidade.

A grande migração: para onde foram os 15 mil milhões

Foi o assalto à KelpDAO, em abril, que abriu as comportas. Quando um verificador único passou a ser a diferença entre ter ou não ter 292 milhões de dólares, os maiores detentores de ativos cross-chain começaram a votar com os pés. Ao longo de 2026, cerca de 15 mil milhões de dólares em valor tokenizado migraram da LayerZero para a Chainlink CCIP. Na sua revisão do terceiro trimestre, a 21 de outubro, a Chainlink dizia já assegurar mais de 85 mil milhões de dólares em valor cross-chain e ter viabilizado mais de 36 biliões de dólares em valor acumulado de transações em todos os seus serviços.

A lista é um quem é quem da cripto institucional. A Aave, o maior mercado de crédito on-chain, designou a CCIP como a sua infraestrutura cross-chain por omissão. A mudança da BitGo, que passou mais de 7,7 mil milhões de dólares em Wrapped Bitcoin para a CCIP em agosto, foi por si só a maior migração do ano. Não é um detalhe técnico obscuro; é o mercado a pôr um novo preço na confiança, o mesmo instinto de fuga para terreno mais seguro que se viu depois do apagão da Binance. Quando a Kraken anunciou em maio que trocava a LayerZero pela Chainlink para a sua kBTC, e quando a Mantle a seguiu em julho, a mensagem era a mesma: depois da KelpDAO, um verificador único deixou de ser aceitável para quem guarda milhares de milhões.

Trocar de ponte ou trocar de confiança?

Aqui está o nó de todo este movimento. Mover 15 mil milhões de dólares para a CCIP tornou a cripto cross-chain mais segura, ou apenas mudou a confiança de sítio?

A favor da migração há argumentos sérios. A CCIP não é um DVN único como o que afundou a KelpDAO. Cada via (lane) da CCIP é assegurada por pelo menos 16 operadores de nós independentes e auditados em segurança, a operar por consenso descentralizado. Por cima disso corre uma Risk Management Network separada, que monitoriza de forma independente e pode travar transferências, e existem limites de taxa geridos pelo emissor que funcionam como disjuntores: mesmo que algo corra mal, só uma fatia do valor pode sair num dado período. É defesa em profundidade a sério, e um salto real face a confiar numa única testemunha. Anthony Apollo, diretor executivo da Wyoming Stable Token Commission, que escolheu a CCIP para o stablecoin do estado, resumiu a tese dos adeptos: a CCIP é «a única infraestrutura cross-chain que cumpre requisitos rigorosos de segurança e fiabilidade».

Contra, há uma objeção que não desaparece com marketing. No fim, a CCIP continua a ser um comité externo que reporta o que aconteceu noutra cadeia, só que maior, melhor gerido e mais independente. A categoria de confiança não mudou. Fisch, sobre esta mesma lógica, avisa: «se toda a gente está a confiar na mesma fonte, não reduziste o risco; apenas o copiaste». E há um risco novo, filho do próprio sucesso: concentrar 85 mil milhões de dólares numa só infraestrutura faz dela o novo honeypot sistémico. Se a CCIP alguma vez falhar, falha para toda a gente ao mesmo tempo. Kunz é ainda mais seco: enquanto o modelo for baseado em validadores, por muito robusto que seja o comité, a classe de problema mantém-se.

A resposta honesta é, por isso, a dois tempos. A migração aumentou o custo de corromper o sistema, e isso é bom e mensurável. Mas não aboliu a confiança; endureceu-a e concentrou-a. Trocou-se uma ponte frágil por uma ponte robusta; não se atravessou um rio sem ponte nenhuma.

Apagar o honeypot: a emissão nativa

Se o cofre é o problema, a solução mais limpa é não ter cofre. É isso que faz a emissão nativa. O Cross-Chain Transfer Protocol da Circle (CCTP) não tranca USDC numa pool: queima o USDC nativo na cadeia de origem e cunha USDC nativo na de destino, sem token wrapped, sem custódia, sem IOU. Não há pool para drenar, porque a pool nunca chega a existir. O mesmo princípio está por trás das pontes canónicas das L2, que herdam a segurança da própria Ethereum, e de padrões como o xERC-20 e o Cross-Chain Token da Chainlink, que deixam o emissor controlar os seus próprios limites.

É a diferença entre um banco que guarda o teu ouro num cofre e reza para que ninguém o assalte, e um sistema que destrói uma nota de um lado e imprime uma idêntica do outro. Não podes roubar o que não está parado em lado nenhum.

Mas nem aqui a confiança desaparece de todo. A CCTP depende do serviço de atestação da Circle, que confirma a queima antes de autorizar o mint: a confiança mudou do cofre para a Circle. E as pontes canónicas de L2 têm chaves de upgrade que, em teoria, podem ser usadas para mudar as regras. A emissão nativa encolhe o honeypot a quase zero, o que é enorme; não o faz evaporar por completo.

A bridge mais segura é não ter bridge: intents e solvers

Há um passo ainda mais radical: fazer com que o utilizador nunca toque numa bridge. É a promessa dos intents. Em vez de pedires explicitamente para trancar X numa cadeia e cunhar Y noutra, declaras apenas o resultado que queres (ter 1000 USDC na Base, por exemplo) e um solver, um agente especializado, adianta-te os fundos no destino e fica ele com o risco e o trabalho de reequilibrar entre cadeias. O padrão ERC-7683, proposto pela Uniswap Labs e pela Across, normalizou esta lógica, e agregadores de rotas usam-na para contornar as pontes mais arriscadas.

Para ti, muda tudo. A tua exposição ao cofre vulnerável deixa de ser de horas e passa a ser de segundos, ou desaparece de vez: recebes o ativo no destino quase de imediato e o solver que se desenrasque com a mecânica cross-chain. É a concretização da ideia de que a bridge mais segura é a que não usas.

E, sim, outra vez a mesma ressalva: a confiança não some, muda de dono. Passas a confiar no solver que te adianta os fundos e, para o acerto final, continua a existir uma camada de mensagens por baixo. A diferença é que o risco deixa de ser teu durante o trajeto e passa a ser de quem está mais bem equipado para o suportar. É gestão de risco, não magia.

Bitcoin: o maior honeypot de todos

Nada disto é abstrato para quem tem Bitcoin. Qualquer Bitcoin que trabalhe em DeFi (em empréstimos, em pools, como garantia) não é Bitcoin: é um IOU emitido por uma bridge. Cada WBTC, cada cbBTC, cada tBTC é a promessa de que algures existe um Bitcoin real trancado a cobri-lo. São, por definição, risco de bridge com outro nome.

E é muito dinheiro. Em meados de setembro, o conjunto de Bitcoin tokenizado valia cerca de 18 mil milhões de dólares, à volta de 255 000 BTC, ou seja, apenas cerca de 1,3% de todo o Bitcoin em circulação. O WBTC lidera com perto de 8,8 mil milhões de dólares, assente num multisig da BitGo e da BiT Global; o cbBTC da Coinbase vem logo atrás, com cerca de 7,5 mil milhões em 99 151 tokens, custodiado 1 para 1 pela Coinbase, com um interruptor que lhe permite congelar; e o tBTC da Threshold, com cerca de 330 milhões, distribui a custódia por cerca de uma centena de operadores num esquema threshold, o mais perto de minimização de confiança da lista.

O ticker é o mesmo; o risco é que não. É por isso que a mudança dos 7,7 mil milhões de dólares de WBTC da BitGo para a CCIP foi a maior história de bridge do ano: o que decide o teu risco não é o facto de ser Bitcoin, é o modelo de custódia por trás do token. A Liquid Network, com os seus 320 milhões perdidos em setembro, provou que até uma federação com oito anos de história pode ficar sem as reservas. E aqui ecoa o aviso mais antigo do setor, o de Vitalik Buterin: há limites fundamentais para pontes que saltam entre zonas de soberania, e um ataque de 51% a uma cadeia pode deixar um token wrapped subitamente sem lastro na outra. Para quem segue o piso de preço do Bitcoin de perto, convém lembrar que o valor do colateral é só metade da equação; a outra metade é saber se o colateral existe mesmo.

Quando a ponte parte, quem paga?

O assalto à Mercado Bitcoin, a 2 de novembro, traz uma lição que nenhuma bridge permissionless oferece. A exchange brasileira, uma entidade identificável e regulada, comprometeu-se a cobrir todas as perdas dos utilizadores e, com a ajuda da Tether, da Circle e da Chainalysis, conseguiu congelar cerca de 11 milhões de dólares dos fundos roubados. Há um responsável, e esse responsável respondeu.

Compara com uma bridge permissionless. Quando um contrato inteligente sem intermediário identificável é drenado, ninguém é obrigado a reembolsar-te. A recuperação é uma lotaria: a Poly Network teve a sorte de um atacante que devolveu tudo, a KelpDAO foi salva por uma coligação de rivais, a Multichain não deixou praticamente nada. O resto dos casos fica entre estes extremos, e o utilizador médio quase nunca é prioridade.

É aqui que a regulação europeia desenha uma fronteira nítida, mas incompleta. Ao abrigo do MiCA, os prestadores de serviços de criptoativos (exchanges, custodiantes) são supervisionados; em Portugal, pela CMVM na vertente de conduta de mercado e pelo Banco de Portugal no registo de CASP e nos aspetos de stablecoins, ao abrigo da Lei n.º 69/2025, cujo período transitório para os antigos VASP portugueses terminou a 1 de julho de 2026. O artigo 75 do MiCA fixa um regime de responsabilidade para a custódia, o DORA impõe resiliência operacional, e o Travel Rule (Regulamento (UE) 2023/1113) obriga a acompanhar cada transferência.

O problema é que uma bridge raramente é um CASP. Um contrato permissionless, sem uma empresa por trás que detenha os teus fundos, cai em larga medida fora desse perímetro, e é por isso que o prejuízo fica contigo. Pior ainda quando as salvaguardas existem mas dependem de uma governação que pode ser capturada ou que vota para desligar o próprio guardião. A CMVM pode agir contra uma exchange que falhe deveres de custódia; não tem a quem notificar quando o cofre é um pedaço de código que ninguém controla. E, para complicar, os derivados sobre ativos bridged (futuros, perpétuos) nem sequer caem no MiCA, mas na DMIF II, com outro supervisor. Quem move cripto entre cadeias deve partir do princípio, até prova em contrário, de que está sozinho se algo correr mal.

Como atravessar cadeias sem te queimares

Nada disto significa que tens de evitar o cross-chain. Significa que o deves fazer com os olhos abertos. Eis uma lista prática, pela ordem em que importa.

• Prefere emissão nativa a IOUs. Para stablecoins, uma rota CCTP (burn-and-mint) ou uma ponte canónica de L2 expõe-te a muito menos do que uma bridge de terceiros com uma pool wrapped.
• Percebe em quem confias. Antes de usar uma ponte, pergunta quem pode roubar ou congelar os teus fundos: um multisig? um comité de validadores? uma prova matemática? Ferramentas como o L2BEAT existem precisamente para responder a isto.
• Encolhe o tempo e o tamanho. Não deixes valor a marinar numa bridge. Move o que precisas, quando precisas, e tira-o do outro lado. Usa intents e agregadores para reduzir a exposição a segundos.
• Verifica o contrato e as aprovações. A maioria dos roubos a utilizadores não é sofisticada: é um site clone, um contrato falso, uma aprovação de token ilimitada. Confirma o endereço e revoga aprovações antigas.
• Desconfia do heroísmo pós-ataque. Quando uma bridge é drenada e surge um «white hat» a pedir contacto on-chain, trata isso como o que costuma ser: alavancagem de negociação, não bondade.
• Não atravesses mais do que podes perder. A regra mais velha da cripto aplica-se a dobrar numa bridge, porque, se ela partir, não há CMVM que te devolva o dinheiro.

Vale ainda vigiar o que se move. Os fluxos grandes e súbitos entre cadeias contam histórias, e seguir os alertas de baleias no momento certo dá-te, às vezes, o primeiro aviso de que algo correu mal antes de a notícia sair.

O que 2026 deixou claro

No fim de um ano cheio de assaltos, a tentação é concluir que as bridges são indefensáveis. A verdade é mais útil e mais exigente. A migração de 15 mil milhões de dólares foi racional: a defesa em profundidade da CCIP é genuinamente melhor do que um verificador único, a emissão nativa é melhor do que uma pool wrapped, e os intents são melhores do que deixar o utilizador exposto durante horas. O risco baixou mesmo para quem fez estas escolhas.

Mas baixar não é apagar. Os 15 mil milhões não aboliram a confiança; concentraram-na em sistemas mais bem geridos e, ao fazê-lo, criaram um novo ponto único à escala de 85 mil milhões de dólares. A zkLink Nova lembrou-nos, três dias antes do fim de outubro, que a fronteira mais avançada ainda parte por um descuido banal. E a Mercado Bitcoin, no dia seguinte, lembrou que, quando não há um responsável identificável, não há reembolso.

A lição mais funda é também a mais antiga, e é a de Fisch e a de Buterin ao mesmo tempo: a segurança cross-chain não se resolve escolhendo melhor em quem confiar, resolve-se precisando de confiar em menos gente. Enquanto uma ponte depender de alguém a reportar a verdade de outra cadeia, trocar de ponte será sempre, em parte, mudar o risco de sítio. A ponte mais segura continua a ser a que não precisas de atravessar. Verifica, não confies.

Perguntas frequentes

O que é uma bridge cross-chain e porque é tão atacada?

Uma bridge cross-chain liga blockchains que não falam entre si, trancando ou queimando um ativo numa cadeia e cunhando uma representação na outra. É tão atacada porque concentra muito valor num só ponto (o cofre) e porque depende de um mecanismo de verificação: convencer a cadeia de destino de que algo verdadeiro aconteceu na origem. Enganar esse mecanismo, por chaves roubadas ou mensagens forjadas, é a forma mais rentável de roubar em cripto.

O que aconteceu à zkLink Nova em outubro de 2026?

A 28 de outubro, uma única transação esvaziou os cofres da zkLink Nova na Ethereum, levando cerca de 797 mil dólares. A causa foi um hash de mensagem já validado que não foi limpo do transient storage, o que permitiu reutilizá-lo para forjar uma batch root e sacar fundos. Não houve chave roubada nem erro de matemática: o contrato aceitou uma mensagem que já tinha sido gasta.

Porque é que 15 mil milhões de dólares migraram para a Chainlink CCIP?

O gatilho foi o assalto de 292 milhões de dólares à KelpDAO em abril, possível porque a configuração usava um único verificador (DVN). Depois disso, grandes detentores como a BitGo, a Mantle, a Kraken e a própria Aave mudaram-se para a CCIP, que usa pelo menos 16 operadores independentes por via e uma Risk Management Network separada. Em outubro, a Chainlink dizia já assegurar mais de 85 mil milhões de dólares em valor cross-chain.

A Chainlink CCIP é mesmo mais segura, ou só muda o risco de sítio?

As duas coisas. A CCIP aumenta o custo de atacar, ao trocar um verificador único por um comité grande, independente e com disjuntores, e isso é uma melhoria real. Mas continua a ser um comité externo a reportar o estado de outra cadeia, pelo que a confiança é endurecida, não eliminada; e concentrar 85 mil milhões de dólares numa infraestrutura cria um novo risco sistémico se ela alguma vez falhar.

Se uma bridge for atacada, consigo recuperar o meu dinheiro?

Raramente, e nunca por garantia. Uma exchange regulada em Portugal responde perante a CMVM e pode cobrir perdas, como fez a Mercado Bitcoin; uma bridge permissionless não tem esse dever, e a recuperação depende da sorte (um atacante que devolva os fundos, uma coligação que reconstrua) ou simplesmente não acontece. Ao abrigo do MiCA, o perímetro protege sobretudo os CASP, e um contrato sem intermediário fica em larga medida de fora.

Por Yuki Tanaka, redação de DeFi e On-chain da HOGE Wire.