Uma exchange descentralizada, a Orca, anunciou a 20 de abril que concluiu a substituição completa de chaves e credenciais para um incidente de segurança na plataforma de desenvolvimento em cloud Vercel, confirmando que os seus contratos on-chain e os fundos dos utilizadores não foram afetados. A Vercel divulgou no domingo que um atacante, através de uma ferramenta de IA de terceiros que integra o Google Workspace OAuth, acedeu a parte dos sistemas internos da plataforma.
Caminho de intrusão: vulnerabilidade na cadeia de fornecimento de OAuth da IA, não um ataque direto ao próprio Vercel
(Fonte: Vercel)
O caminho de ataque deste incidente não visou diretamente a Vercel; em vez disso, passou por uma ferramenta de IA de terceiros que já tinha sido comprometida num incidente de segurança anterior de maior escala, utilizando as permissões concedidas pela integração do Google Workspace OAuth para aceder aos sistemas internos da Vercel. A Vercel afirma que esta ferramenta já tinha afetado centenas de utilizadores de várias organizações.
Este tipo de vulnerabilidade na cadeia de fornecimento é difícil de detetar com monitorização de segurança tradicional, porque explora um serviço de integração de confiança em vez de uma vulnerabilidade de código detetável de forma direta. O programador Theo Browne indicou que o impacto mais grave ocorreu nas integrações internas da Vercel com o Linear e o GitHub. A informação que o atacante poderá ter conseguido aceder inclui: chaves de acesso, código-fonte, registos de base de dados e credenciais de implementação (incluindo tokens da NPM e do GitHub). A atribuição do incidente ainda não está esclarecida; há relatos de que o vendedor teria exigido um resgate à Vercel, mas os pormenores das negociações não foram divulgados.
Riscos específicos do front-end cripto: ataque à camada de gestão vs. sequestro tradicional de DNS
Este incidente evidencia uma superfície de ataque no âmbito da segurança do front-end cripto que tem sido ignorada há muito tempo:
Principais diferenças entre dois modos de ataque
Sequestro na camada DNS: o atacante redireciona os utilizadores para um site falsificado, geralmente detetável relativamente rápido através de ferramentas de monitorização
Invasão na camada de gestão (Build Pipeline): o atacante modifica diretamente o código do front-end entregue aos utilizadores; os utilizadores acedem ao domínio correto, mas podem executar código malicioso sem o saber
No ambiente da Vercel, se as variáveis de ambiente não estiverem marcadas como “sensitive”, podem ser expostas. Para protocolos cripto, estas variáveis normalmente incluem informações críticas, como chaves de API, endpoints privados de RPC e credenciais de implementação. Uma vez expostas, o atacante pode alterar versões de deployment, injetar código malicioso ou aceder a serviços backend para realizar ataques mais abrangentes. A Vercel instou os clientes a rever imediatamente as variáveis de ambiente e a ativar a funcionalidade de proteção de variáveis sensíveis da plataforma.
Implicações para a segurança Web3: a dependência de cadeias de fornecimento está a tornar-se um risco sistémico
Este incidente não afeta apenas a Orca, mas revela à comunidade Web3 um problema estrutural mais profundo: a dependência de projetos cripto de infraestruturas cloud centralizadas e de serviços de integração de IA está a criar uma nova superfície de ataque difícil de defender. Quando qualquer serviço de terceiros de confiança é comprometido, o atacante pode contornar defesas de segurança tradicionais e afetar diretamente os utilizadores. A segurança do front-end cripto já ultrapassou o âmbito da proteção DNS e das auditorias de smart contracts; a gestão de segurança abrangente das plataformas em cloud, dos pipelines de CI/CD e das integrações de IA está a tornar-se uma camada de defesa que os projetos Web3 não podem ignorar.
Questões frequentes
Que impacto tem o incidente de segurança da Vercel na utilização da Vercel por projetos cripto?
A Vercel afirma que o número de clientes afetados é limitado e que o serviço da plataforma não foi interrompido. Contudo, como muitos front-ends DeFi, interfaces de DEX e páginas de ligação de carteiras estão alojados na Vercel, recomenda-se que as equipas dos projetos revejam imediatamente as variáveis de ambiente, substituam quaisquer chaves que possam ter sido expostas, e confirmem o estado de segurança das credenciais de deployment (incluindo tokens da NPM e do GitHub).
O que significa, de forma concreta, “exposição de variáveis de ambiente” no front-end cripto?
As variáveis de ambiente normalmente armazenam informações sensíveis, como chaves de API, endpoints privados de RPC e credenciais de implementação. Se estes valores forem expostos, o atacante pode alterar o deployment do front-end, injetar código malicioso (por exemplo, pedidos falsificados de autorização de carteira) ou aceder a serviços de ligação backend para realizar um ataque mais abrangente, enquanto o domínio que os utilizadores visitam ainda apresenta, aparentemente, um aspeto normal.
Os fundos dos utilizadores da Orca foram afetados por este incidente da Vercel?
A Orca confirmou de forma inequívoca que os seus contratos on-chain e os fundos dos utilizadores não foram afetados. Esta substituição de chaves é uma medida preventiva por precaução, e não baseada em perdas de fundos já confirmadas. Como a Orca adota uma arquitetura não-custodial, mesmo que o front-end seja afetado, o controlo da propriedade dos ativos on-chain continua a ser detido pelo próprio utilizador.
Isenção de responsabilidade: As informações contidas nesta página podem ser provenientes de terceiros e não representam os pontos de vista ou opiniões da Gate. O conteúdo apresentado nesta página é apenas para referência e não constitui qualquer aconselhamento financeiro, de investimento ou jurídico. A Gate não garante a exatidão ou o carácter exaustivo das informações e não poderá ser responsabilizada por quaisquer perdas resultantes da utilização destas informações. Os investimentos em ativos virtuais implicam riscos elevados e estão sujeitos a uma volatilidade de preços significativa. Pode perder todo o seu capital investido. Compreenda plenamente os riscos relevantes e tome decisões prudentes com base na sua própria situação financeira e tolerância ao risco. Para mais informações, consulte a
Isenção de responsabilidade.
Related Articles
O CTO da Ripple: O Exploit do Kelp DAO Reflecte as Trocas de Segurança na Ponte
David Schwartz, CTO Emérito da Ripple, analisou vulnerabilidades de segurança na ponte na sequência do exploit do $292 milhão da Kelp DAO. Ele observou que os fornecedores priorizaram a conveniência em vez de uma segurança robusta, prejudicando funcionalidades de proteção essenciais. A violação da Kelp DAO teve origem num vazamento de chave privada, agravado por uma configuração de segurança simplificada na implementação da LayerZero.
CryptoFrontier4m atrás
rsETH ponte LayerZero foi roubada, várias soluções como a Aave congelam de forma urgente
Os tokens de re-staking de liquidez rsETH do Kelp DAO foram alvo de um ataque perpetrado por hackers a 19 de abril, que exploraram uma falha na validação de mensagens entre cadeias, resultando na libertação de 116.500 rsETH para endereços controlados pelo atacante. Vários protocolos DeFi congelaram de forma urgente as funcionalidades relacionadas, para fazer face a potenciais perdas. A LayerZero oficial afirmou que está a reparar ativamente a falha e que publicará um relatório de análise pós-incidente.
MarketWhisper4m atrás
A França regista 41 rapto relacionados com criptomoedas e invasões domiciliárias em 2025
Em 2025, a França registou 41 raptos relacionados com criptomoedas no contexto do aumento dos "ataques com chave inglesa", levando a um reforço da segurança em torno de eventos ligados à blockchain. Os incidentes globais de coerção aumentaram 75%, com a França a liderar em número de casos. Estão em curso esforços para melhorar a segurança e para responder às preocupações sobre o risco de a França se tornar um centro de criptomoedas.
GateNews35m atrás
O domínio eth.limo foi sequestrado; a EasyDNS reconhece o primeiro ataque de engenharia social em 28 anos
O domínio eth.limo foi alvo de sequestro DNS a 17 de abril, tendo o atacante se feito passar por um membro da equipa para induzir com sucesso o registador de domínios EasyDNS a executar a recuperação da conta. Embora este incidente não tenha afetado os utilizadores, uma vez que o atacante não obteve as chaves DNSSEC, não conseguiu contornar a cadeia de confiança. Este incidente evidenciou o risco de engenharia social no setor cripto e levou o eth.limo a migrar para o serviço Domainsure, que não suporta a recuperação de contas, para reforçar a segurança.
MarketWhisper1h atrás
A Curve Finance suspende preventivamente a LayerZero para transferências cross-chain; as pontes de CRV e crvUSD têm limites em vigor
A Curve Finance sofreu um ataque à infraestrutura de LayerZero relacionada com rsETH, tendo suspendido a funcionalidade de transferências entre cadeias para prevenir riscos, afectando a ponte de CRV entre cadeias e a transferência rápida de crvUSD. O fundador Egorov afirmou que este incidente demonstra o risco de “empréstimos não isolados” e propôs um modo totalmente isolado como alternativa. O Kelp DAO perdeu cerca de 292 milhões de dólares devido ao ataque, o que afectou as actividades de empréstimo da plataforma Aave.
MarketWhisper1h atrás
A ponte Kelp é afetada por uma vaga de ataques e Aave, com queda acentuada do TVL que faz surgir 196 milhões em créditos de cobrança duvidosa
O bridge cross-chain do protocolo de re-hidratação de liquidez Kelp foi atacado, tendo sido roubadas 116.500 unidades de rsETH e depositadas na Aave V3, formando cerca de 196 milhões de dólares em créditos incobráveis. O contrato da Aave não foi afetado, mas este incidente revelou o risco sistémico da garantia do LRT, exigindo que os protocolos DeFi voltem a avaliar os modelos de risco, o que poderá levar os detentores de stkAAVE a sofrer perdas.
MarketWhisper1h atrás
