Verificar que a verificação aconteceu
O modelo de segurança da Wormhole se apoia em um conjunto de guardiões cujas assinaturas atestam que um depósito ocorreu na blockchain de origem. O contrato do lado da Solana era responsável por checar essas assinaturas antes de emitir os ativos encapsulados. A falha permitia satisfazer essa checagem sem aprovação genuína dos guardiões — de modo que o contrato emitiu 120.000 wETH contra um depósito que nunca havia sido feito.
A colateralização é uma alegação até você verificá-la
A exposição prática para o usuário era sutil. Os ativos encapsulados em Solana continuaram funcionando normalmente; nada quebrou de forma visível para quem os detinha. O que havia mudado era que a oferta encapsulada excedia o colateral que a lastreava. Se o déficit não tivesse sido coberto, o que teria falhado seria a paridade, e os detentores descobririam o problema no momento em que tentassem resgatar.
Essa é a lição honesta do incidente, e ela é desconfortável: a solvência foi restaurada pelo balanço de um patrocinador. Os detentores de ativos encapsulados foram ressarcidos por um ato discricionário. Ao avaliar qualquer ativo encapsulado ou transferido por ponte, a pergunta é o que acontece se o financiador recusar — porque esse é o cenário ao qual o encapsulamento deveria sobreviver por conta própria.
Linha do tempo
Somente de acréscimo. As correções são adicionadas como entrada datada própria; as entradas anteriores nunca são reescritas.
O que verificar
A Wormhole publicou um relatório escrito do incidente, com link abaixo, com o detalhe técnico da falha de verificação e da correção.
A Conisec não hospeda nem linka ferramentas de recuperação, de revogação ou de “verificação”. Depois de um incidente público, atacantes rotineiramente semeiam exatamente esses links usando o nome de publicações que cobrem o caso. Use o canal oficial do próprio projeto afetado, linkado acima, e nada além disso.
Fontes
- Wormhole, Wormhole Incident Report — 02/02/22 (3 fev 2022)
Não é aconselhamento. Este é um resumo de fatos publicados, não orientação jurídica, tributária ou de segurança. Confira nas fontes primárias linkadas acima.
Última verificação por Conisec Staff.
