O roubo mais absurdo? Um hacker cunhou 1 bilhão de dólares em $DOT, por "este motivo" roubou apenas 230 mil dólares

Eventos de ataque a criptomoedas surgem constantemente, mas casos como este de “arriscar, ganhar pouco” são realmente raros. Hoje (13), mais cedo, um hacker explorou uma vulnerabilidade na ponte de cadeia cruzada Hyperbridge, criando do nada 1 bilhão de tokens Polkadot (DOT) na Ethereum, com um valor nominal de até 1,19 mil milhões de dólares. No entanto, ao tentar vender esses tokens, devido à severa falta de liquidez, acabou recebendo apenas cerca de 237 mil dólares em Ethereum. É importante esclarecer que o alvo do ataque foi o “contrato inteligente da ponte de cadeia cruzada”, portanto, os tokens DOT nativos na rede principal do Polkadot não foram afetados. A principal causa dessa vulnerabilidade foi que o contrato EthereumHost do Hyperbridge, antes de transmitir a mensagem de cadeia cruzada ao TokenGateway, não verificou corretamente a autenticidade da mensagem.

A ponte $DOT (@Polkadot) foi recentemente explorada na @ethereum.

O controle foi transferido para o contrato do atacante, então 1B $DOT foi cunhado e imediatamente vendido. O preço despencou de $1,22 para frações minúsculas de centavo.https://t.co/ECDT0RaHE9 pic.twitter.com/WUwxjtsNwr

— Onchain Lens (@OnchainLens) 13 de abril de 2026

As pontes de cadeia cruzada sempre foram o ponto mais frágil na arquitetura blockchain, pois detêm o controle de gerenciamento dos contratos de tokens. Uma vez que o mecanismo de verificação seja comprometido, os hackers podem facilmente obter o poder de cunhar tokens ilimitados. Método de ataque: falsificação de mensagens, tomada de controle, cunhagem ilimitada Rastreamentos na blockchain mostram que o hacker enviou uma mensagem falsificada através do dispatchIncoming, direcionando-a com sucesso para o TokenGateway.onAccept. O sistema deveria verificar a autenticidade dessa mensagem com base no estado da cadeia Polkadot, mas o mecanismo de verificação registrou o valor de promessa como “zero completo”, o que significa que o procedimento de verificação foi completamente burlado ou simplesmente inexistente, levando o sistema a interpretar essa mensagem falsa como uma instrução legítima. A mensagem aceita imediatamente executou a função changeAdmin no contrato de tokens da ponte Polkadot, transferindo o controle administrativo para o endereço do atacante. Após obter o controle, o hacker cunhou 1 bilhão de DOT em uma única transação e, usando o Odos Router V3, depositou esses tokens na pool de troca DOT-ETH do Uniswap V4. Após várias trocas a preços ligeiramente diferentes, finalizou com a retirada de aproximadamente 108,2 ETH. “Falta de liquidez” vira escudo de proteção No mercado financeiro, “falta de liquidez” costuma ser o maior problema para grandes investidores, mas, ironicamente, nesta ocasião, a escassez de liquidez acabou se tornando uma barreira invisível, limitando drasticamente os lucros do hacker. Devido à profundidade de liquidez extremamente limitada do DOT na Ethereum, não foi possível absorver esses 1 bilhão de tokens criados do nada. Quando o hacker tentou vender rapidamente, a forte queda de preço fez com que o valor real de cada token fosse inferior a 1 centavo de dólar. Em uma ponte com maior profundidade de liquidez ou com ativos de maior valor, a mesma vulnerabilidade poderia causar perdas dezenas de vezes maiores. Até o momento da redação, o preço do DOT está em torno de 1,17 dólares, com uma queda de 5% nas últimas 24 horas. Este incidente reforça a lição de que, mesmo com o controle de “cunhagem ilimitada”, o sucesso na arbitragem depende da liquidez e profundidade do mercado. A renomada empresa de segurança blockchain CertiK confirmou o ataque e afirmou que o hacker obteve aproximadamente 237 mil dólares ao cunhar e vender os tokens da ponte. Até o momento, a equipe oficial do Hyperbridge não comentou publicamente sobre o incidente.

#CertiKInsight 🚨

Vimos uma exploração no contrato de gateway @hyperbridge. https://t.co/h27iDm1JGd

O atacante conseguiu passar por uma mensagem falsificada para alterar o administrador do contrato de tokens do Polkadot na Ethereum e lucrou cerca de $237K ao cunhar e vender 1 bilhão de tokens.

Fique atento… pic.twitter.com/3t2n4uq5hy

— CertiK Alert (@CertiKAlert) 13 de abril de 2026