O roubo mais absurdo? Hackers cunham 1 bilhão de dólares em $DOT, por "este motivo" levaram apenas 230 mil dólares

Eventos de ataques a criptomoedas continuam surgindo, mas casos como este de “arriscar, ganhar pouco” realmente não são comuns. Hoje (13), mais cedo, um hacker explorou uma vulnerabilidade na ponte de cadeia cruzada Hyperbridge, criando do nada 1 bilhão de tokens Polkadot (DOT) na Ethereum, com um valor nominal de até 1,19 bilhão de dólares. No entanto, ao tentar vender esses tokens, devido à severa falta de liquidez, acabou recebendo aproximadamente 237 mil dólares em Ethereum. É importante esclarecer que o alvo do ataque foi o “contrato inteligente da ponte de cadeia cruzada”, portanto os tokens DOT nativos na rede principal do Polkadot não foram afetados. A principal causa dessa vulnerabilidade foi que o contrato EthereumHost do Hyperbridge, ao transmitir mensagens de cadeia cruzada para o TokenGateway, não verificou corretamente a autenticidade das mensagens.

A ponte $DOT (@Polkadot) foi explorada na @ethereum.

O controle foi transferido para o contrato do atacante, então 1 bilhão de $DOT foi cunhado e imediatamente vendido. O preço despencou de $1,22 para frações minúsculas de centavo.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 de abril de 2026

A ponte de cadeia cruzada sempre foi uma das partes mais frágeis da arquitetura blockchain, pois detém o controle de gerenciamento do contrato de tokens. Uma vez que o mecanismo de verificação seja comprometido, o hacker pode facilmente obter o poder de cunhar tokens ilimitados. Método de ataque: falsificação de mensagens, tomada de controle, cunhagem ilimitada Rastreamentos na blockchain mostram que o hacker enviou uma mensagem falsificada através do dispatchIncoming, direcionando-a com sucesso para o TokenGateway.onAccept. O sistema deveria verificar a autenticidade dessa mensagem com base no estado da cadeia Polkadot, mas o mecanismo de verificação registrou o valor de promessa como “zero”, o que indica que o procedimento de verificação foi completamente burlado ou inexistente, fazendo com que o sistema interpretasse a mensagem falsa como uma instrução legítima. A mensagem aceita imediatamente executou a função changeAdmin no contrato de tokens de ponte do Polkadot, transferindo o controle administrativo para o endereço do atacante. Após obter o controle, o hacker cunhou 1 bilhão de tokens DOT em uma única transação e, usando o Odos Router V3, depositou esses tokens na pool de troca DOT-ETH do Uniswap V4. Após várias trocas com preços ligeiramente diferentes, conseguiu retirar cerca de 108,2 ETH. “Falta de liquidez” vira escudo de proteção No mercado financeiro, “falta de liquidez” costuma ser um problema de grande preocupação para os grandes investidores, mas, ironicamente, a escassez de liquidez desta vez acabou funcionando como um escudo invisível, limitando drasticamente os lucros do hacker. Devido à profundidade de liquidez extremamente limitada do DOT na Ethereum, não foi possível absorver esses 1 bilhão de tokens criados do nada. Quando o hacker tentou vender rapidamente, a queda severa no preço fez com que o valor real de cada token fosse inferior a 1 centavo de dólar. Em uma ponte com maior profundidade de liquidez ou com ativos de maior valor, a mesma vulnerabilidade poderia causar perdas dezenas de vezes maiores. Até o momento da redação, o preço do DOT está em torno de US$1,17, uma queda de 5% nas últimas 24 horas. Este incidente reforça a lição de que, mesmo com o controle de “cunhagem ilimitada”, o sucesso na arbitragem depende da liquidez e profundidade de mercado. A renomada empresa de segurança blockchain CertiK confirmou o ataque, afirmando que o hacker obteve lucro de aproximadamente US$237 mil ao cunhar e vender os tokens da ponte. Até o momento, o Hyperbridge não comentou publicamente sobre o incidente.

#CertiKInsight 🚨

Vimos uma exploração no contrato de gateway @hyperbridge. https://t.co/h27iDm1JGd

O atacante conseguiu passar por uma mensagem falsificada para alterar o administrador do contrato de tokens do Polkadot na Ethereum e lucrou aproximadamente $237K ao cunhar e vender 1 bilhão de tokens.

Fique atento… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 de abril de 2026