Quem invadiu o DAO em 2016 e redirecionou 3.6 milhões de ETH? Laura Shin, jornalista e ex-editora da Forbes, identificou o hacker rastreando as complexidades das transações e usando ferramentas forenses para violar a privacidade. No entanto, ele negou tudo.

Ethereum, a segunda maior rede de criptomoedas, vale US$ 360 bilhões. O fundador Vitalik Buterin agora tem mais de 3 milhões de seguidores no Twitter. Todas as tendências de criptografia mais populares dos últimos anos têm suas raízes no Ethereum, como ICOs, finanças descentralizadas (DeFi), tokens não fungíveis (NFTs) e organizações autônomas descentralizadas (DAO). Ethereum também gerou muitos imitadores de blockchain, muitas vezes apelidados de “assassinos de Ethereum”.

Quem atacou o DAO?

Ethereum também é objeto de um grande mistério: quem realizou o maior roubo de Ether de todos os tempos ao atacar o DAO?

O Fundo de Risco Descentralizado levantou US$ 139 milhões em ETH no momento de sua venda pública de tokens, que terminou em 2016, tornando-se o esforço de crowdfunding de maior sucesso de todos os tempos. Algumas semanas depois, um hacker extraiu 31% do ETH no DAO, que era 3.64 milhões de ETH, ou cerca de 5% do estoque de ETH na época, do DAO principal e transferiu-o para o DarkDAO.

A investigação exclusiva de Laura Shin foi compilada e editada em um livro, The Cryptopians: Idealism, Greed, Lies, and the Making of the First Big Cryptocurrency Craze, o que parece indicar que Toby Hoenisch, o programador do ex-funcionário de 36 anos que é austríaco e atualmente mora em Cingapura esteve envolvido neste hack.

Hoenisch é de longe mais conhecido como cofundador e CEO da TenX, que arrecadou US$ 80 milhões para construir um cartão de débito criptográfico em seu ICO de 2017. Mas esta tentativa falhou. A capitalização de mercado dos tokens TenX é atualmente de apenas US$ 11 milhões, uma queda acentuada em relação ao ATH anteriores US$ 535 milhões.

Depois de receber um documento com evidências detalhadas apontando Hoenisch como um hacker, ele respondeu por e-mail que a conclusão estava realmente errada. Nesse e-mail, Hoenisch sugeriu que forneceria evidências para refutar o argumento de Laura Shin, mas Hoenisch não respondeu a nenhum outro e-mail até o momento.

Uma visão detalhada de quanto dano esse hack causou, com a ETH sendo negociada em torno de US$ 3,000, 3.64 milhões de ETH agora valendo US$ 11 bilhões. O famoso e controverso roubo de DAO levou Ethereum a realizar um hard fork onde a rede Ethereum se dividiu em duas para recuperar os fundos roubados, então DarkDAO não detém ETH, mas Ethereum Classic (ETC) é muito menos valioso. Os defensores do fork esperavam que o ETC morresse, mas atualmente ele está sendo negociado em torno de US$ 30. Isso significa que as carteiras DarkDAO detêm atualmente mais de US$ 100 milhões em ETC.

No ano passado, enquanto Laura escrevia seu livro, uma poderosa e misteriosa ferramenta forense da empresa de consulta de criptomoedas Chainalysis descobriu um sinal anômalo. Na verdade, a história do DAO e sua busca de seis anos para encontrar o hacker revela muitos aspectos diferentes do mundo criptográfico, incluindo o desenvolvimento da tecnologia de rastreamento de transações desde os primeiros dias do desenvolvimento do mercado.

Hoje, à medida que a tecnologia blockchain se tornou popular e novas aplicações estão surgindo, uma das primeiras aplicações da criptomoeda, o escudo de anonimato, está começando a retroceder devido à pressão, à regulamentação e ao fato de que as transações em blockchains públicas são rastreáveis.

Os cofundadores Toby Hoenisch e Paul Kittiwongsunthorn na Tailândia em 2018 durante a sessão de estratégia TenX

O mecanismo de ataque do DAO

Como Hoenisch não entrará em contato com Laura, ela só poderá especular sobre os motivos de Hoenisch.

Ele logo identificou vulnerabilidades técnicas no DAO, mas os avisos de Hoenisch não foram levados a sério pelos fabricantes do DAO.

No início de 2016, a rede Ethereum não tinha nem um ano e havia apenas um aplicativo que interessava às pessoas. Esse é o DAO, um fundo de risco descentralizado construído com contratos inteligentes que dá aos detentores de tokens o direito de votar nas propostas submetido para financiamento. Foi criado pela empresa Slock.it. Em vez de procurar capital de risco tradicional, a empresa decidiu criar um DAO e depois proceder ao financiamento coletivo, esperando que o seu projeto recebesse financiamento do DAO. A equipe de desenvolvimento do Slock.it acredita que o DAO pode atrair US$ 5 milhões.

No entanto, quando foi aberto à venda ao público em 30 de abril, arrecadou US$ 9 milhões apenas nos primeiros dois dias, com muitos participantes trocando 1 Ether por 100 tokens DAO. Algumas pessoas da equipe de desenvolvimento ficaram surpresas com a quantidade de dinheiro investido no projeto, mas era tarde demais para reduzir as vendas.

Quando a arrecadação de fundos terminou, um mês depois, entre 15,000 mil e 20,000 mil pessoas haviam doado. O DAO detinha 15% de todo o Ether na época, e o preço dessa criptomoeda aumentava constantemente. Ao mesmo tempo, muitas preocupações estruturais e de segurança foram levantadas com o DAO, uma vez que as retiradas são demasiado difíceis.

Os usuários precisam ter bastante conhecimento de tecnologia e demorar muito para sacar fundos. Você deve primeiro criar um “Child DAO” ou “Split DAO”. Além disso, o sacador deve obter o consentimento de qualquer outra pessoa que tenha transferido os fundos para este “DAO subordinado”.

Na manhã de 17 de junho, a ETH atingiu um ATH de US$ 21.52, fazendo com que a criptomoeda valesse US$ 249.6 milhões no DAO. Naquela mesma manhã, Griff Green, gerente da comunidade e primeiro colaborador do Slock.it, recebeu uma mensagem telefônica de um membro da comunidade DAO Slack informando que algo estranho estava acontecendo e parecia que o dinheiro havia sido deduzido.

Green conduziu uma auditoria e descobriu que um fluxo de transações de 258 ETH saiu do DAO. Quando o ataque parou, algumas horas depois, 31% do ETH no DAO havia sido sugado para o DarkDAO. À medida que a notícia do ataque se espalhou, o preço do Ether despencou 33%, de US$ 21 para US$ 14.

Gráfico de preços de ETH e ETC durante ataque DAO | Fonte: Forbes

rede dividida

O crowdfunding DAO em 2016 levou o preço da ETH a níveis recordes até que o ataque de 17 de junho fez o preço despencar. Após o hard fork em 20 de julho, o blockchain legado começou a operar sob o nome Ethereum Classic (ETC).

Pouco tempo depois, a comunidade Ethereum expôs a vulnerabilidade que levou a este roubo. O contrato inteligente DAO foi escrito para que sempre que alguém sacar fundos, faça um depósito antes de atualizar o saldo dessa pessoa. O invasor usou um contrato inteligente malicioso, fez 258 retiradas de ETH de uma só vez e depois interferiu nas atualizações do contrato, permitindo que retirassem a mesma quantidade de Ether repetidamente.

Para facilitar o entendimento, digamos que o invasor tenha US$ 101 em sua conta bancária, ele saca US$ 100 do banco, depois impede o caixa de atualizar o saldo para US$ 1 e depois pede novamente: retire fundos e outro receba US$ 100. Pior ainda poderia acontecer. Assim que a vulnerabilidade se tornar pública, os 7.3 milhões de ETH restantes no DAO serão expostos a um ataque de cópia.

Um grupo de hackers de chapéu branco foi formado e usou o método do invasor para transferir os fundos restantes para um novo DAO subordinado. Mas o invasor ainda tem cerca de 5% do total de ETH em circulação, e até mesmo o Ether recuperado está vulnerável devido a vulnerabilidades no DAO. Além disso, o prazo para o hacker obter os fundos transferidos no DarkDao se aproxima de 21 de julho. Se a comunidade quiser impedi-lo de sacar os fundos, eles precisam enviar tokens para o DarkDAO do hacker e para os “DAOs compartilhados”. (ou DAOs filhos) que ele cria. De acordo com as regras do contrato inteligente DAO, um invasor não pode sacar fundos se outra pessoa no DAO compartilhado se opuser.

Finalmente, depois de muitas brigas (no Reddit, no canal Slack, via e-mail e Skype), o fundador do Ethereum, Buterin, tornou pública a cura. Depois que se descobriu que a maioria da comunidade Ethereum apoiava a mudança, o Ethereum realizou um hard fork. Em 20 de julho, o blockchain Ethereum se dividiu ao meio. Qualquer ETH que já esteja no DAO será movido para o contrato de “retirada”, que dá aos contribuidores originais o direito de depositar seus tokens DAO e recuperar o ETH no novo blockchain. O blockchain legado, que ainda atrai alguns apoiadores e especuladores, será rebatizado como Ethereum Classic.

No Ethereum Classic, o que resta é o DAO e o saque do invasor (na forma de 3.64 milhões de ETC). Neste verão, o invasor transferiu seu ETC para uma nova carteira, que permaneceu inativa até o final de outubro, quando tentou usar a exchange ShapeShift para transferir fundos para Bitcoin.

Como o ShapeShift não obteve nenhuma informação de identificação do usuário naquele momento, não foi possível determinar a identidade do invasor, embora todos os seus movimentos de blockchain pudessem ser rastreados. Nos dois meses seguintes, o hacker recebeu 282 bitcoins (no valor de US$ 232,000 mil na época, agora mais de US$ 11 milhões). E então, talvez porque o ShapeShift bloqueia transações regularmente, ele se absteve de sacar dinheiro, deixando para trás 3.4 milhões de ETC no valor de US$ 3.2 milhões (atualmente mais de US$ 100 milhões).

O fundador da Ethereum, Vitalik Buterin, considerou apoiar o hard fork

A identidade do hacker é gradualmente revelada

A história provavelmente terminou com um hacker anônimo com uma grande fortuna da qual não conseguia sair. Em julho passado, uma das fontes de Laura envolvidas no resgate do DAO disse que a polícia brasileira havia iniciado uma investigação sobre o ataque do DAO e suspeitava que o brasileiro Alex Van de Sande pudesse ser uma vítima ou até mesmo um hacker poderia. Van de Sande decidiu fazer um relatório forense da empresa de análise de blockchain Coinfirm para se limpar.

Entre os primeiros suspeitos estão um empresário suíço e sócios…

Junte-se ao CoinCu Telegram para acompanhar as novidades: https://t.me/coincunews

Siga o canal CoinCu no Youtube | Siga a página do Facebook da CoinCu