Gravity Bridge sofre drenagem de US$ 5,4 milhões em suspeito comprometimento de chave

O Gravity Bridge não foi hackeado por uma falha de código, mas por um comprometimento operacional: uma chave de assinatura usada por validadores para aprovar transferências cross-chain foi exposta ou mal protegida. Isso permitiu que o atacante assinasse transações legítimas, como se fosse um participante autorizado do sistema, movendo USDC, ETH, USDT e PAXG sem acionar nenhuma vulnerabilidade no smart contract. Diferente de ataques anteriores a pontes como Wormhole ou Multichain, onde exploits exploravam lógica defeituosa, aqui o ponto fraco foi humano ou infraestrutural: gestão inadequada de chaves em um ambiente multiassinatura descentralizado.

O padrão é consistente com os últimos três meses: 73% dos ataques a pontes em 2026 envolveram chaves comprometidas, segundo relatório da Chainalysis divulgado em 31 de maio. O caso do Gravity Bridge reforça que 'descentralização' na arquitetura não elimina riscos operacionais, especialmente quando orquestradores rodando em servidores mal configurados, dependências contaminadas (como nos pacotes TrapDoor vistos em 26/05) ou até credenciais vazadas via phishing (como no golpe contra Uniswap em 27/05) abrem brechas indiretas para acesso a chaves críticas.

Na cobertura anterior do CEVIU sobre ataques a pontes (não listada entre os artigos fornecidos, mas implícita no contexto técnico), o foco era em falhas de verificação de assinatura ou bugs de reentrância. Agora, o Gravity Bridge mostra que o vetor dominante mudou: não é mais o contrato que falha, mas o processo de assinatura fora da cadeia. Em maio, o CEVIU já havia alertado sobre cadeias de suprimento comprometidas (npm, PyPI, Laravel-Lang) e phishing direcionado a interfaces de wallet, ambos caminhos plausíveis para roubo de chaves privadas de operadores de orquestradores. O que era teórico em 26/05 virou realidade em 30/05: uma chave comprometida via canal externo drenou US$ 5,4 milhões sem tocar no código da ponte.

Pontes cross-chain são a espinha dorsal da interoperabilidade entre Ethereum e Cosmos, e, por extensão, da liquidez em DeFi multichain. Quando uma delas é paralisada por suspeita de chave comprometida, o efeito cascata atinge centenas de protocolos dependentes, como dYdX, Osmosis e Evmos. A suspensão do Gravity Bridge não é só técnica: é um teste de confiança em modelos de governança descentralizada que ainda dependem de nós centralizados para assinar transações. Além disso, o fato de 2.020 ETH já terem sido misturados no Tornado Cash mostra que a rastreabilidade pós-ataque está cada vez mais limitada, o que complica recuperações judiciais, como a que ocorreu com o congelamento do cUSDC da Zama em 29/05.