Quando a Bybit perdeu cerca de US$ 1,5 bilhão em Ethereum numa transferência de rotina, o contrato envolvido era auditado. O episódio levanta questões sérias sobre o que esses selos realmente garantem.
Em 21 de fevereiro de 2025, às 13h30 UTC, a exchange Bybit iniciou uma movimentação considerada trivial: transferir fundos de uma cold wallet de Ethereum para uma warm wallet. Os signatários autorizados analisaram o endereço de destino em suas telas e aprovaram a operação. O problema é que as telas estavam exibindo informações falsas — e o dinheiro foi parar em outro lugar.
O ataque, posteriormente atribuído ao grupo norte-coreano Lazarus, não explorou uma falha no código do smart contract. Ele manipulou a interface de assinatura usada pelos operadores. O contrato em si havia passado por auditoria. E mesmo assim, o exploit funcionou.
Segundo a CryptoSlate, o caso da Bybit é emblemático de um problema mais amplo: a indústria cripto condicionou investidores a associar o selo “auditado” a sinônimo de “seguro”, quando na prática trata-se de uma avaliação pontual, com escopo limitado e validade no tempo.
Para entender melhor o funcionamento da rede sobre a qual grande parte desses contratos opera, confira o guia completo de Ethereum.
O que uma auditoria realmente cobre
Uma auditoria de smart contract é, essencialmente, uma revisão do código em um determinado momento. Empresas especializadas analisam o que foi escrito, buscam padrões conhecidos de vulnerabilidade e emitem um relatório. O que elas não fazem é monitorar o contrato indefinidamente, auditar as interfaces que interagem com ele ou garantir que futuras atualizações manterão o mesmo nível de segurança.
Isso significa que um projeto pode exibir um selo de auditoria mesmo que o contrato tenha sido modificado após a revisão, que a infraestrutura ao redor seja vulnerável, ou que o vetor de ataque sequer passe pelo código auditado — como ocorreu no caso da Bybit.
Revisão do código do smart contract em um momento específico, identificando vulnerabilidades conhecidas e lógica com falhas.
Interfaces de assinatura, infraestrutura off-chain, atualizações posteriores no contrato e vetores de ataque humano ou de engenharia social.
Um contrato auditado há 18 meses pode ter recebido atualizações não revisadas ou operar em um ecossistema com novas superfícies de ataque.
Projetos frequentemente exibem selos de auditoria em destaque sem detalhar o escopo, a data ou as ressalvas presentes no relatório original.
A superfície de ataque vai além do contrato
O hack da Bybit foi possível porque os atacantes comprometeram a camada de visualização — o que os signatários viam na tela não era o que estava sendo assinado de fato. Esse tipo de ataque, conhecido como manipulação de interface ou UI spoofing, não tem relação direta com o código do contrato.
É um lembrete de que a segurança em cripto é um sistema de camadas. Um contrato impecável pode ser explorado por meio de uma dependência vulnerável, um front-end comprometido, ou um operador humano enganado por informações falsas.
O que os investidores deveriam perguntar
Antes de confiar em um projeto com base em um selo de auditoria, vale investigar: quem auditou, quando, qual foi o escopo exato, o relatório está público, houve atualizações desde então? Um badge genérico sem respostas claras para essas perguntas tem valor informativo limitado.
Transparência como antídoto
Algumas empresas de auditoria e projetos do setor têm avançado em práticas mais rigorosas — auditorias contínuas, programas de bug bounty ativos e monitoramento on-chain em tempo real. Mas essas iniciativas ainda são exceção, não regra.
A padronização dos relatórios de auditoria e a criação de registros públicos verificáveis são passos que organizações como a Ethereum Foundation e entidades de segurança do setor vêm discutindo. Por enquanto, a responsabilidade de interpretar corretamente o que um selo significa ainda recai, em grande parte, sobre o próprio usuário.
📰 Nota editorial
Este artigo é baseado em análise publicada pela CryptoSlate em referência ao incidente da Bybit de fevereiro de 2025. Os valores citados correspondem às estimativas divulgadas pela própria exchange e amplamente reportadas pela imprensa especializada.
Importante: não damos recomendação de investimento
Este conteúdo tem caráter exclusivamente informativo e educacional. O KriptoHoje não é consultor de investimentos e não recomenda a compra, venda ou manutenção de qualquer ativo. Investimento em criptoativos envolve risco elevado de perda total.
Sua custódia, suas regras — guarde cripto com segurança real
A KriptoBR, integrante do mesmo grupo do KriptoHoje, é a maior e mais antiga revenda oficial de hardware wallets do mundo. Trezor, Ledger, SecuX, Yubico e Key-ID.
Mais de 600 mil clientes atendidos em 32 países. Envio direto do Brasil, garantia do fabricante, suporte técnico em português.
Leituras relacionadas
🕵️ Grupo Lazarus: os hackers por trás dos maiores roubos em criptoO grupo norte-coreano já desviou bilhões em criptoativos. Veja como operam e quais alvos já foram atingidos.
📋 Smart contracts: o que são e como funcionam no EthereumContratos inteligentes são a base do DeFi e de boa parte do ecossistema cripto. Saiba o que está por trás do código.
Este conteúdo é de caráter informativo e não constitui recomendação de investimento. Criptomoedas são ativos voláteis; consulte um profissional antes de investir.