TAC declara exploit de US$ 2,8 milhões como incidente de chapéu branco após hacker reembolsar o saque
- A TAC perdeu US$ 2,8 milhões em um exploit que visava o lado TON de sua ponte cross-chain, afetando os ativos USDT, BLUM e tsTON.
- A equipe ofereceu uma recompensa ao atacante para que devolvesse os fundos a uma carteira multisig designada, em troca de classificar o incidente como 'white hat'.
- O exploit ocorre durante um mês já marcado por múltiplas violações de segurança cripto e segue as perdas setoriais de abril, que totalizaram US$ 651 milhões.
A TAC, um protocolo cross-chain que se comercializa como uma ponte entre TON e Ethereum, agora reclassificou seu exploit de US$ 2,8 milhões de 12 de maio como um evento de chapéu branco, após o hacker aparentemente aceitar a oferta da equipe de manter 10% dos fundos "movidos" em troca de devolver o resto para suas carteiras multisig.
De acordo com Divulgações da TAC do evento, o exploit visou o lado TON de sua camada cross-chain, drenando fundos em USDT, BLUM e tsTON. A TAC disse que a vulnerabilidade estava isolada em Jettons nativos da TON transferidos da rede TON, e que o próprio token TAC, TON e todos os tokens ERC-20 não foram afetados.
O Token TAC sofreu uma batida desde o exploit, com o preço caindo mais de 21% na última semana. A capitalização de mercado caiu para US$ 79 milhões, de mais de US$ 91 milhões antes da divulgação do hack em 12 de maio.
O valor total bloqueado (TVL) da TAC está em aproximadamente US$ 2,74 milhões em 14 de maio, por DefiLlama, o que significa que o exploit de US$ 2,8 milhões equivalia aproximadamente a todo o TVL do protocolo.
Como aconteceu o exploit do TAC Protocol?
A TAC divulgou pela primeira vez que havia sido hackeada em 12 de maio. A mensagem da equipe no X afirmou que havia pausado a ponte após receber relatórios de parceiros de segurança. A equipe rapidamente se moveu para dissipar os medos, insistindo que o problema era limitado em escopo, afetando apenas um subconjunto de ativos transferidos em vez da infraestrutura mais ampla do protocolo.
Quanto a como lidaria com os dias seguintes, a equipe do TAC Protocol disse: "Nosso foco é tornar os usuários íntegros e restaurar totalmente a liquidez da ponte por meio de uma venda estruturada legalmente das reservas de tesouraria de tokens TAC da Fundação."
Em 13 de 14, a TAC tinha notícias positivas para compartilhar. A equipe disse que, após o explorador aceitar sua oferta de devolver os fundos para a carteira multisig designada no Ethereum e um endereço correspondente na TON, chegou à decisão de não processar judicialmente, uma decisão que coordenou com seus parceiros de segurança e aplicação da lei.
Com os reembolsos, o hack do TAC Protocol rapidamente passou de exploit para incidente de chapéu branco, com uma recompensa de 10% oferecida como incentivo, o que chega a cerca de 13 ETH + 300ZEC.
É prática padrão na Web3 oferecer aos hackers uma porcentagem dos fundos roubados em troca de devolver a maioria do saque. A Transit Finance seguiu esse livro no início desta semana após perder US$ 1,88 milhão de um contrato inteligente TRON descontinuado. A equipe enviou uma mensagem on-chain a seu atacante oferecendo uma porcentagem dos fundos roubados como recompensa por bug em troca de cooperação, com uma janela de resposta de 48 horas.
Hackers arrastam protocolos cross-chain pelo moinho
O exploit da TAC se soma a um padrão de vulnerabilidades de ponte e cross-chain no início de maio de 2026. A Transit Finance atribuiu sua violação a um contrato que havia sido descontinuado desde 2022, mas ainda continha código explorável. A empresa de segurança GoPlus Security sinalizou duas compromissos de chave privada em 12 de maio totalizando US$ 238.000, e a empresa de segurança blockchain Blockaid identificou um exploit de US$ 456.000 no contrato Diamond proxy não inicializado da Aurellion Labs na Arbitrum, de acordo com reportagem da Cryptopolitan.
As perdas seguem um abril difícil. A CertiK reportou aproximadamente US$ 651 milhões perdidos em exploits em todo o setor naquele mês, o mais alto desde março de 2022, quando se exclui o incidente da Bybit em fevereiro de 2025. O exploit da ponte KelpDAO (US$ 293 milhões) e o hack do Drift Protocol (US$ 285 milhões) representaram a maior parte dos danos de abril.
Os incidentes individuais de maio são menores em comparação, mas a frequência sugere que as condições subjacentes que permitiram as perdas recorde de abril não foram abordadas.
A ponte do TAC Protocol permanece pausada. A equipe não divulgou um cronograma para retomar as operações, mas disse que direcionará o saldo restante, menos a recompensa de chapéu branco, para suas carteiras multisig.
Se você está lendo isso, já está à frente. Mantenha-se assim com nosso boletim informativo.
Aviso. As informações fornecidas não constituem aconselhamento de negociação. Cryptopolitan.com não assume responsabilidade por quaisquer investimentos realizados com base nas informações fornecidas nesta página. Recomendamos fortemente a realização de pesquisa independente e/ou consulta a um profissional qualificado antes de tomar qualquer decisão de investimento.
Hannah Collymore
Hannah é escritora e editora com quase uma década de experiência em redação de blogs e cobertura de eventos no espaço cripto. Na Cryptopolitan, Hannah contribui para a página de notícias, relatando e analisando os últimos desenvolvimentos nos setores DeFi, RWA, regulação cripto, IA e tecnologias de fronteira. Ela se formou na Universidade Arcadia com graduação em Administração de Empresas.
