Após o incidente de 320 milhões de dólares na Liquid Network: uma linha de defesa caiu, o que as plataformas de ativos digitais ainda conseguem proteger?

Os recentes incidentes de segurança voltaram a colocar a indústria de ativos digitais perante uma questão familiar: o que significa, afinal, uma plataforma ser «segura»?

No início de setembro, ocorreu um grave incidente de segurança na sidechain Liquid Network da Bitcoin. Os atacantes exploraram uma vulnerabilidade de validação no software Elements, resultando na transferência de cerca de 4.000 BTC, avaliados em aproximadamente 320 milhões de dólares ao preço da altura. É de notar que as PAK e as Federation keys em si não foram comprometidas. Isto faz emergir uma questão ainda mais pertinente: quando as chaves não foram violadas, como é que uma transferência de ativos que nunca deveria ter acontecido conseguiu atravessar o sistema?

Riscos semelhantes surgiram noutros pontos. Em agosto, os atacantes exploraram uma vulnerabilidade crítica de segurança no Cosmos EVM para atacar várias redes, tendo seis redes sido efetivamente exploradas, apesar de a vulnerabilidade já ter sido reportada através de um programa de recompensas por bugs. Em julho, a Triple-A sofreu um ataque de engenharia social, no qual os atacantes obtiveram credenciais de pessoal e acederam ao ambiente operacional, resultando na transferência de parte dos ativos próprios da empresa. No entanto, os fundos dos clientes estavam segregados em contas fiduciárias, isoladas do ambiente operacional comprometido, pelo que não foram afetados.

As causas dos três incidentes são diferentes, mas apontam todas para uma questão mais realista: os incidentes de segurança talvez sejam difíceis de evitar por completo, mas quando um elo — código, pessoas ou permissões — é quebrado, até onde pode chegar o risco?

O que realmente precisa de ser defendido não é apenas «ser atacado», mas até onde o risco pode chegar

Mais importante do que perguntar «fomos atacados?» é perguntar: depois de a primeira linha de defesa falhar, até onde conseguem os atacantes chegar? A perda de uma conta é suficiente para concluir operações críticas sobre ativos? Uma permissão violada permite continuar a avançar para sistemas mais centrais? Quando o ambiente online tem problemas, quantos ativos centrais ficam realmente expostos no caminho do ataque?

Esta é também uma lição importante dos incidentes recentes: o impacto final de um ataque não depende apenas do que os atacantes conseguiram violar, mas também de quantas linhas de defesa ainda existem no sistema depois dessa violação.

Se, depois de uma conta ser comprometida, for possível aceder diretamente a permissões centrais; se um problema no ambiente online puder afetar diretamente uma grande quantidade de ativos centrais, então qualquer elo fraco pode ser rapidamente amplificado. Inversamente, se existir isolamento em múltiplas camadas entre permissões, operações críticas, monitorização de riscos e custódia de ativos, uma única violação não se transformará necessariamente numa perda total.

Por outras palavras, medir a capacidade de segurança de uma plataforma não é apenas ver «se a primeira porta aguenta», mas também: depois de a primeira porta cair, quantas portas ainda existem atrás dela.

Ao longo da cadeia de ataque, onde está a «próxima porta» da BIT?

Recentemente, a plataforma global de serviços financeiros digitais BIT (anteriormente Matrixport) publicou o «BIT Trust Whitepaper» V2.0 (https://www.bit.com/whitepaper). Se relermos este whitepaper à luz da questão «o que acontece depois de a primeira linha de defesa falhar», um aspeto digno de nota é que o sistema de segurança da BIT não depende de uma única linha de defesa, mas estabelece proteção em múltiplas camadas entre identidade, permissões, operações e ativos.

Por exemplo, a obtenção das credenciais de uma conta não significa que o atacante possua todas as permissões necessárias para concluir operações críticas sobre ativos. O whitepaper revela que a BIT limita, através do princípio do menor privilégio, os sistemas e o âmbito de operações a que os funcionários podem aceder; operações críticas como transferências de ativos, segurança de contas, alterações de permissões, geração e aprovação de ordens de negociação exigem a participação de pelo menos duas pessoas autorizadas. No caso da Cactus Custody, esta lógica de camadas estende-se também ao cenário de custódia institucional de ativos digitais.

Passar a autenticação de identidade também não significa que as operações seguintes tenham «luz verde» em todo o percurso. A BIT monitoriza continuamente comportamentos como inícios de sessão anómalos, dispositivos anómalos e levantamentos anómalos; do lado dos ativos, a maioria dos ativos digitais é mantida em carteiras frias, reduzindo ainda mais a exposição dos ativos centrais quando o ambiente online tem problemas.

Olhando para estes mecanismos em conjunto, a lógica de segurança da BIT torna-se mais intuitiva: uma identidade violada não equivale a obter todas as permissões; obter uma permissão não equivale a poder concluir operações críticas de forma independente; passar a autenticação de identidade não equivale a que as ações subsequentes deixem de estar sujeitas a avaliação de risco; um problema no ambiente online não equivale a que todos os ativos centrais fiquem expostos em simultâneo.

O que realmente determina até onde um ataque pode chegar são precisamente estes «não equivale». Isto não significa que qualquer tipo de ataque possa ser totalmente evitado, mas significa que, mesmo que uma linha de defesa falhe, ainda há oportunidade de identificar anomalias, restringir permissões ou isolar riscos.

A diferença em segurança esconde-se muitas vezes depois de a primeira porta cair.

Quando o risco é detetado, quem tem autoridade para carregar no «botão de paragem»?

Mas ter mais algumas linhas de defesa técnicas não é tudo. No incidente do Cosmos EVM, um detalhe digno de nota é que a vulnerabilidade já tinha sido reportada através de um programa de recompensas por bugs, mas, de acordo com a informação disponível na altura, foi inicialmente avaliada como não causando perdas de fundos nas configurações de produção conhecidas da rede.

Isto expõe outro problema frequentemente ignorado: detetar um risco não significa que o risco tenha sido avaliado com precisão e tratado de forma adequada.

Depois de uma vulnerabilidade ser submetida, quem decide a sua gravidade? Se a equipa de segurança considerar o risco inaceitável, tem autoridade para impedir que o produto continue a ser lançado? Quando o progresso do negócio entra em conflito com a avaliação de segurança, quem tem a palavra final?

O «BIT Trust Whitepaper» V2.0 revela que, quando uma solução de produto, requisito, arquitetura ou alteração de lançamento apresenta riscos de segurança significativos, ou não cumpre as linhas de base de segurança e os requisitos de conformidade, a equipa de segurança tem «poder de veto», podendo suspender as atividades relacionadas e exigir retificação e nova auditoria antes de prosseguir.

O que realmente merece atenção neste mecanismo não é apenas mais uma aprovação, mas o facto de responder a uma questão muito prática: quando o risco surge, há alguém com autoridade para dizer «não». Para um sistema de segurança, a capacidade de detetar problemas é certamente importante, mas permitir que a avaliação de segurança influencie realmente as decisões de negócio também determina se uma linha de defesa fica apenas escrita nos regulamentos ou se pode realmente funcionar.

Quando o negócio se torna mais complexo, «segurança» já não é apenas sobre os ativos na carteira

Quando as plataformas financeiras digitais começam a ligar simultaneamente ativos digitais, ações dos EUA, RWA e diferentes tipos de infraestruturas financeiras, as questões de segurança deixam de ocorrer apenas ao nível das carteiras e das contas. Quem processa os ativos, por que instituições passam, onde são liquidados e detidos, também se torna uma parte importante da avaliação de risco pelos utilizadores.

É aqui que o «BIT Trust Whitepaper» V2.0 expande ainda mais o sistema de segurança e confiança. Além das medidas de controlo de risco e segurança, o whitepaper revela os arranjos de regulação, auditoria e verificação independente correspondentes às diferentes entidades de negócio, permitindo ao exterior avaliar melhor: quem é responsável por quê, que mecanismos podem ser verificados e até onde esses mecanismos se estendem.

Tomando como exemplo o negócio de ações dos EUA da BIT, os seus serviços de valores mobiliários são operados pela Matrix Gelephu Pte. Ltd. e regulados pela GFSO, estando o negócio ligado a instituições financeiras licenciadas nos EUA e às correspondentes infraestruturas de compensação e custódia.

Para o utilizador comum, estes arranjos financeiros aparentemente complexos podem, na prática, resumir-se a algumas perguntas muito simples: quem processa os meus ativos? Por que etapas passam? O que faz cada instituição? A identidade e o estatuto regulatório dessas instituições podem ser verificados?

É aqui que a «verificabilidade» ganha verdadeiro significado — a segurança não pode depender apenas do que a plataforma afirma, mas também do que os utilizadores e o exterior conseguem verificar.

Olhando para trás, para a Liquid Network, o Cosmos EVM e a Triple-A, os pontos de entrada dos três incidentes são completamente diferentes, mas todos lembram o mercado de que nenhuma linha de defesa deve ser assumida como nunca falhando. O que realmente cria diferenças de segurança pode não ser uma única tecnologia de segurança, mas sim a capacidade de estabelecer isolamento e equilíbrio suficientes entre identidade, permissões, operações, ativos e decisões organizacionais, tornando mais difícil que uma violação local se transforme numa perda total.

Deste ponto de vista, o que merece atenção no «BIT Trust Whitepaper» V2.0 não é apenas quantas medidas de segurança enumera, mas se essas medidas conseguem formar um conjunto completo de linhas de defesa: se um elo falha, há uma camada seguinte; se a camada seguinte falha, ainda há oportunidade de continuar a identificar, bloquear e isolar riscos.

Para as plataformas de ativos digitais, «nunca ter sido atacado» talvez seja difícil de prometer como algo permanente. Mas há outra coisa que pode ser continuamente construída: a verdadeira segurança é que, mesmo que uma linha de defesa falhe, uma única violação não se transforme facilmente numa perda total. E quando essas linhas de defesa não só existem, como podem ser continuamente verificadas pelo exterior, a «confiança» deixa de ser apenas uma frase dita pela própria plataforma.