Projeto 0 relata perdas de usuários devido a sequestro de domínio em meio a aumentos nas perdas do Ethereum

Em um alerta compartilhado pelo fundador do Projeto 0 (P0), MacBrennan Peet, o executivo comprometeu-se a reembolsar totalmente as perdas confirmadas após invasores infiltrarem seu sistema para redirecionar as visitas dos usuários de seu site para um site que rouba criptomoedas.

A postagem de MacBrennan confirmou que pelo menos um usuário perdeu $1.000 quando tentou o novo site “por curiosidade.”

O incidente de segurança que atingiu o Projeto 0 compõe números recordes de roubos de criptomoedas por malfeitores explorando a atualização Fusaka, que deveria tornar as taxas de transação um detalhe para os usuários da rede Ethereum, adicionando-se a um padrão de ataques direcionados a locais ricos em liquidez.

Projeto 0 relata o último sequestro de domínio DeFi

De acordo com o divulgação por MacBrennan, os invasores ganharam acesso à conta GitHub de um membro da equipe de aplicativos, o que lhes permitiu redirecionar as visitas dos usuários entre 21h45 e 22h19. 

Embora ele não tenha especificado seu fuso horário, os usuários que tentaram visitar o site do Projeto 0 dentro da janela de ataque de 40 minutos foram direcionados para outro site que levou à perda de pelo menos $1.000. 

De acordo com os dados da Defillama, o Projeto 0, uma corretora primária nativa de DeFi que permite que os usuários tomem empréstimos contra toda a sua carteira DeFi em várias plataformas, atualmente detém quase $90 milhões em valor total travado (TVL), atingindo picos acima de $110 milhões desde que o rastreamento começou no final de 2025. O projeto também afirma ter o apoio da Multicoin, Pantera e Solana Ventures. 

Esse nível de atividade e status, embora atraente para os usuários, também é um farol para invasores que procuram alvos de alto valor. 

A Cryptopolitan relatou que OpenEden e BonkFun sofreu ataques semelhantes quando invasores comprometeram domínios registrados pelos projetos. 

Em ambos os casos, o ataque não afetou as caixas do projeto ou as posições dos usuários, pois o dano nesses tipos de ataques é tipicamente limitado aos visitantes do site durante a janela de exploração, o que geralmente é rapidamente mitigado por equipes responsivas. 

Embora o valor exato perdido ainda não esteja confirmado, MacBrennan comprometeu-se a estender o alívio de reembolso a quaisquer outras perdas verificadas de clientes durante o ataque. 

Usuários do Ethereum tornam-se alvos de ataques de envenenamento de endereço

Quando os desenvolvedores do Ethereum implementaram a atualização Fusaka em dezembro de 2025, eles a promoveram como o “chefe final” para tornar as transações da mainnet acessíveis. 

O que eles não previram foi que ela se tornaria a peça final do quebra-cabeça para invasores que caçam alvos de alto valor no ecossistema Ethereum rico em liquidez, que detém quase $60 bilhões em protocolos DeFi e mais de $160 bilhões em capitalização de mercado de stablecoins.  

A conta oficial do Etherscan no X chamou a atenção para a ameaça crescente em seu artigo “Ataques de Envenenamento de Endereço Estão Aumentando no Ethereum”. O relatório citou um estudo de 2025 comparando tentativas de envenenamento antes e depois da atualização Fusaka para destacar a proliferação desses ataques desde a atualização de dezembro. 

Transferências de poeira, que são pequenos depósitos (abaixo de US$ 0,01) destinados a substituir endereços no histórico de transações dos usuários por carteiras controladas pelos atacantes, seguiram a tendência à medida que a atividade de transações na rede principal do Ethereum aumentou cerca de 30% em geral nos 90 dias seguintes à atualização Fusaka, com um aumento concomitante de 78% na criação de novos endereços. 

Tabela comparando a taxa de ataques de envenenamento de endereços antes e depois da atualização Fusaka. 

É um jogo de números

A Cryptopoitan tem reportou várias perdas de alto perfil para a nova praga dos usuários do Ethereum, com a Perda de US$ 50 milhões de dezembro criando a maior manchete. Aparentemente, a vítima do incidente realmente enviou US$ 50 em uma transação de teste para ter certeza de que tinha o endereço correto. 

No entanto, no tempo que levou para testar o endereço e iniciar a transferência real de US$ 50 milhões, os malfeitores pontuaram o histórico de transações do remetente com suas próprias transferências de poeira, o que acabou levando à perda. 

Esse incidente destaca a escala e a velocidade dessas operações, pois os atacantes realmente competem para envenenar os endereços das vítimas potenciais. Como destacou a Etherscan, “apenas duas transferências de stablecoin” por um usuário de seu serviço acionaram “mais de 89 e-mails de alerta de monitoramento de endereços.” 

Apenas cerca de 1 em 10.000 tentativas são bem-sucedidas, mas quando se compara os US$ 79 milhões em perdas confirmadas em 17 milhões de tentativas direcionadas a cerca de 1,3 milhão de usuários, a matemática se fecha para esses atacantes, que gastam menos de US$ 1 em cada tentativa.