The Audit Gap in Blockchain Security: A Four-Year Empirical Study of Public Audit Findings and Real-World Exploit Incidents
Este estudo empírico da segurança da Web3 de 2022 a 2026 revela um descompasso crítico entre as constatações estáveis de auditoria e as perdas reais por exploração, demonstrando que, enquanto as auditorias focam em vulnerabilidades técnicas, a maioria dos danos financeiros provém de vetores não técnicos, como engenharia social, e exibe uma concentração extrema em alguns incidentes massivos.
Artigo original sob licença CC BY 4.0 (http://creativecommons.org/licenses/by/4.0/). Esta é uma explicação gerada por IA do artigo abaixo. Não foi escrita nem endossada pelos autores. Para precisão técnica, consulte o artigo original. Ler aviso legal completo
Imagine o mundo da Web3 (blockchain e criptomoeda) como uma cidade enorme e movimentada, onde as pessoas constroem bancos, pontes e cofres digitais para guardar seu dinheiro. Este artigo é como uma investigação de quatro anos sobre o porquê de, apesar de contratar os melhores seguranças (auditores) para revisar as plantas desses edifícios, a cidade ainda perder bilhões de dólares para ladrões.
Aqui está a história da investigação, dividida em partes simples:
1. Dois Mundos Diferentes
Os pesquisadores analisaram duas listas de dados muito diferentes:
- A Lista de "Verificação de Plantas": Contém 23.818 notas de empresas de segurança que revisaram códigos. Elas encontraram coisas como "esta maçaneta está fraca" ou "esta parede é feita de material frágil".
- A Lista de "Assaltos": Contém 218 histórias reais de dinheiro roubado, totalizando cerca de US$ 7,76 bilhões.
A grande pergunta era: As coisas sobre as quais os seguranças nos alertam coincidem com as coisas que são realmente roubadas?
2. O Grande Descompasso (O "Gap de Auditoria")
A resposta é um não retumbante. As duas listas são completamente diferentes, como comparar uma lista de "coisas que podem quebrar em um motor de carro" com uma lista de "razões pelas quais as pessoas realmente sofrem acidentes de carro".
- O que os Auditores Encontraram: Os seguranças passaram a maior parte do tempo encontrando pequenos problemas técnicos no próprio código. Eles se preocupavam com coisas como "erros de lógica" (o código fazendo a conta errada) ou "controle de acesso" (quem tem a chave). Estas representaram a vasta maioria de seus relatórios.
- O que Realmente Aconteceu: Os ladrões não se importavam com a matemática do código. Eles roubaram dinheiro principalmente através de:
- Enganar as pessoas: Phishing de e-mail ou engenharia social (fingir ser outra pessoa).
- Roubar chaves: Pegar as senhas privadas que controlam os cofres.
- Hackear a cadeia de suprimentos: Roubar as ferramentas usadas para construir o cofre, em vez de quebrar o próprio cofre.
A Analogia: Imagine que um banco contrata uma equipe para verificar o aço de sua porta de cofre. A equipe passa meses encontrando pequenas rachaduras no aço (a auditoria). Mas os ladrões não quebram a porta; eles esperam um guarda sair, o enganam para conseguir a chave, ou roubam as plantas da mesa do arquiteto. A auditoria foi perfeita para a porta, mas não olhou para o guarda ou para a mesa.
3. O Efeito "Supertempestade"
O artigo também descobriu que as perdas de dinheiro neste mundo não acontecem de forma uniforme. Não é como a chuva caindo suavemente todos os dias. É mais como um furacão.
- A Regra 80/20 com Esteroides: Apenas 8 assaltos massivos foram responsáveis por mais da metade de todo o dinheiro perdido em quatro anos.
- A "Média" é uma Mentira: Se você tentar prever o risco olhando para o "roubo médio", você estará errado. A maioria dos roubos é pequena, mas alguns são tão gigantescos que apagam todos os outros. O artigo alerta que planejar para o "médio" é como planejar para um dia ensolarado quando um tsunami está chegando.
4. O Fator "Humano"
A descoberta mais surpreendente é que as maiores perdas vêm de erros humanos, não de bugs de computador.
- Nos últimos anos, mais da metade de todo o dinheiro perdido foi devido a pessoas sendo enganadas, chaves sendo roubadas ou má gestão.
- As auditorias de segurança verificavam principalmente o código, mas raramente verificavam as pessoas segurando as chaves ou os computadores que as pessoas usavam para assinar transações.
5. Conclusão: Precisamos de Dois Tipos de Segurança
O artigo conclui que não podemos confiar apenas em um tipo de segurança.
- Os Auditores de Código são ótimos para encontrar bugs no software (a "planta").
- Os Guardas Operacionais são necessários para proteger as pessoas, as chaves e os processos (o "uniforme do segurança e a mente do guarda").
O estudo diz que, atualmente, a indústria é muito boa em verificar as plantas, mas péssima em proteger as pessoas que seguram as chaves. Para parar de perder bilhões, precisamos tratar esses dois trabalhos como parceiros, não como substitutos. Precisamos verificar o código e verificar o comportamento humano.
Em resumo: Os especialistas em segurança estão procurando sob o poste de luz por chaves perdidas porque a luz é boa ali (o código), mas os ladrões estão pegando as chaves no beco escuro (as pessoas e os processos) onde ninguém está olhando.
Afogado em artigos na sua área?
Receba digests diários dos artigos mais recentes que correspondam às suas palavras-chave de pesquisa — com resumos técnicos, no seu idioma.