No primeiro trimestre deste ano, US$ 320 milhões em criptomoedas foram roubados através de hacks praticados contra aplicações do ecossistema de finanças descentralizadas (DeFi). O valor é 66,4% menor do que os US$ 950 milhões drenados dessas plataformas no último trimestre de 2022. Ronghui Gu, cofundador da empresa de segurança CertiK, comenta os motivos por trás da queda e compartilha suas avaliações sobre a segurança em DeFi.
Queda no TVL e aumento na segurança
Na comparação com o primeiro trimestre de 2022, o total subtraído de aplicações descentralizadas (dApps) através de brechas de segurança é 73,4% menor. Os dados são da CertiK. Um dos fatores por trás da queda nos valores roubados pode ser a queda no valor total alocado (TVL, na sigla em inglês) nas dApps em um ano, afirma Gu.
No primeiro trimestre de 2022, o TVL se apresentava em uma faixa entre US$ 130 bilhões e US$ 160 bilhões. Já no primeiro trimestre deste ano, no entanto, a variação de valor alocado em dApps flutua em um intervalo entre US$ 38 bilhões e US$ 50 bilhões, apontam dados do DefiLlama.
“Todas as plataformas de DeFi viram os depósitos encolherem, o que significa que as explorações em brechas de segurança valem menos”, avalia Gu. Ele acrescenta, porém, que o trabalho voltado a melhorar a segurança feito pelos desenvolvedores não pode ser descartado.
“Há um reconhecimento na maioria das partes da indústria de que segurança é de máxima importância. Embora as pessoas estivessem animadas para ver o que poderiam construir nos primeiros dias de DeFi, com o ciclo de alta trazendo fortes incentivos para quem chegava primeiro no mercado, as coisas ficaram um pouco mais lentas agora. E isso é algo bom”, diz o cofundador da CertiK. A segurança, ele acrescenta, se tornou algo primário.
Previsão de hacks para 2023
Em 3 de janeiro, a CertiK disse ao Cointelegraph que o número de hacks em DeFi não deveria entrar em queda este ano. Apesar da queda no montante subtraído através de explorações de brechas de segurança, o número de ocorrências cresceu em 2023.
Ronghui Gu afirma que 78 golpes de ‘exit scam’ foram identificados no último trimestre de 2022, somando US$ 52 milhões em perdas. No primeiro trimestre de 2023, o montante subtraído totalizou US$ 31 milhões, mas 12 golpes de exit scam foram identificados pela CertiK. Um exit scam ocorre quando uma equipe por trás de um protocolo desaparece levando dinheiro de investidores.
“O número de golpes aumentou, mas os valores diminuíram. Espero que vejamos uma redução no número de ataques mais adiante, conforme o ecossistema Web3 se fortalece contra ameaças internas e externas”, diz Gu.
IA pode impulsionar a segurança?
Ferramentas que utilizam inteligência artificial (IA), como o ChatGPT, se tornaram populares nos últimos meses por automatizarem diversos processos. Um destes processos é o desenvolvimento de códigos, que podem ser até mesmo contratos inteligentes de plataformas descentralizadas.
Embora o uso dessas ferramentas possa auxiliar na criação de plataformas mais seguras, tudo depende dos desenvolvedores por trás do código, bem como dos agentes maliciosos usando ferramentas de IA, diz Ronghui Gu.
“IA pode servir para que desenvolvedores escrevam códigos mais seguros, bem como removam bugs de forma mais eficiente. Mas ela também pode ser facilmente usada por hackers para explorar brechas em protocolos”, acrescenta Gu.
Importância dos bug bounties
Programas de ‘bug bounties’ são considerados uma boa prática de segurança em protocolos de código aberto. Esses programas consistem na disponibilização de uma quantia, que serve de incentivo para que especialistas em segurança explorem vulnerabilidades no código do protocolo.
Ronghui Gu, da CertiK, afirma que esses programas desempenham diversas funções importantes. Primeiramente, diz ele, a ação de oferecer recompensas a quem encontrar vulnerabilidades no código de um protocolo demonstra o compromisso com a segurança. “A blockchain tem código aberto, e usar a inteligência das mentes mais brilhantes do ecossistema é algo inteligente que qualquer protocolo deveria fazer.”
Além disso, Gu aponta que um programa de bug bounty funciona como um incentivo financeiro para que hackers éticos revelem as vulnerabilidades encontradas. “Você não vai querer criar uma situação onde a única forma que um hacker tem de lucrar com uma vulnerabilidade é explorando-a, prejudicando usuários da plataforma no processo”, conclui o cofundador da CertiK.
Leia mais: