Um ataque coordenado contra validadores da Solana causou perdas estimadas em US$ 135 mil. Segundo a investigação da Bitquery, os invasores obtiveram credenciais operacionais de vários operadores. Em seguida, eles transferiram os recursos e usaram o Tornado Cash para dificultar o rastreamento.

Os invasores acessaram chaves operacionais e realizaram transferências não autorizadas entre 26 e 27 de outubro. Entre os afetados estavam Solflare, Blockdaemon, Astraeus, um validador não identificado e um operador inativo ligado à Slow Ventures. Conforme a análise, as retiradas partiram de contas controladas pelos próprios operadores.

Chaves operacionais de validadores foram comprometidas

A Bitquery rastreou a movimentação de 1.343 SOL durante a invasão. Desse total, cerca de 1.188 SOL saíram de quatro carteiras e chegaram ao endereço do invasor em três minutos. Além disso, o atacante retirou 637 JitoSOL, equivalentes a aproximadamente 833 SOL.

O JitoSOL funciona como um derivativo líquido de staking na rede Solana. Assim, seus detentores podem receber recompensas sem manter os recursos permanentemente bloqueados. Por isso, os JitoSOL representaram a maior parte das perdas identificadas pelos investigadores.

Após as transferências, o invasor esvaziou as contas de voto dos validadores atingidos. Como resultado, os operadores perderam recursos necessários para pagar taxas e manter suas atividades normais. Em 27 de outubro, quatro validadores interromperam simultaneamente a votação e suspenderam temporariamente as recompensas de staking.

Conforme a Bitquery, não há evidências de impacto direto sobre contas de SOL delegadas por clientes. Porém, os usuários precisaram realocar suas delegações para voltar a receber recompensas. Mesmo assim, o incidente afetou as operações dos validadores e expôs falhas na gestão de credenciais.

Recursos passaram por bridges e pelo Tornado Cash

Depois do roubo, o invasor converteu rapidamente os JitoSOL em SOL. Na sequência, ele transferiu os recursos para a Ethereum por meio da Bridgers e da Chainflip. Em poucos minutos, pelo menos 56,6 ETH chegaram a uma carteira receptora.

Menos de nove minutos após a primeira transferência entre redes, começaram os depósitos no Tornado Cash. O protocolo mistura recursos identificáveis com outros fundos para dificultar o rastreamento das transações. Com isso, o fluxo adotou técnicas comuns de ocultação observadas em investigações forenses de blockchain.

Os analistas compararam as movimentações com estratégias observadas em incidentes anteriores, incluindo a violação da exchange CoinDCX. Contudo, eles não estabeleceram uma conexão formal entre os casos. Além disso, o invasor retirou um depósito de recuperação de 1 SOL em menos de cinco segundos, indicando possível automação.

Blockdaemon associa exposição a credenciais antigas

Em 30 de outubro, a Blockdaemon divulgou uma atualização forense sobre a exposição de suas chaves de validador. Segundo a empresa, as credenciais haviam sido geradas entre 2020 e 2022. As informações estavam armazenadas em um dispositivo que pertencia a um ex-funcionário.

A revisão concluiu que as chaves comprometidas não tinham ligação com a infraestrutura ativa de validadores da Blockdaemon. Também não surgiram evidências de acesso não autorizado recente aos sistemas da companhia. Desse modo, a empresa diferenciou o episódio de explorações anteriores contra carteiras de usuários da Solana.

Embora os recursos delegados tenham permanecido seguros, os operadores precisaram substituir os validadores afetados. Por isso, a mudança era necessária para restaurar as recompensas e normalizar as operações de staking. Enquanto o processo ocorria, os usuários podiam redirecionar suas delegações para outros validadores.

Incidente reforça cuidados com credenciais

O episódio retomou discussões sobre segurança e concentração entre operadores de validadores da Solana. Nesse contexto, uma gestão inadequada de chaves pode ampliar o alcance de uma invasão. Assim, práticas rigorosas de armazenamento e controle de acesso continuam essenciais para esses operadores.

A investigação atribuiu o incidente ao comprometimento de credenciais operacionais, e não a uma falha direta no protocolo da Solana. Ainda assim, a interrupção simultânea de quatro validadores afetou temporariamente as recompensas de staking. Portanto, o caso evidenciou riscos operacionais mesmo sem perdas diretas nas contas delegadas pelos clientes.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.