Site oficial da Compound é novamente sequestrado: ataque de phishing disfarçado de plataforma de empréstimos DeFi, risco de segurança gera preocupação

10 de março de 2023, DeFi protocolo de empréstimos Compound Finance enfrentou novamente um incidente de segurança na sua interface, com vários utilizadores a relatar anomalias no site oficial, que foi redirecionado para uma página de phishing suspeita. Este incidente é considerado o mais recente de uma série de ataques de sequestro de sites de plataformas DeFi.

De acordo com a equipa de segurança do projeto, publicada no fórum de governança, os atacantes criaram um site de phishing falsificando um domínio semelhante, “compOOnd”, e direcionaram os visitantes para essa página. No entanto, a equipa afirmou que, até ao momento, não houve perdas de fundos dos utilizadores, e as credenciais das contas de infraestrutura afetadas foram todas substituídas, tendo o risco do sistema sido controlado.

Este é o segundo ataque semelhante à interface do Compound em menos de dois anos. Em julho de 2024, vários domínios de projetos DeFi hospedados na Squarespace foram alvo de ataques concentrados por hackers, afetando também o site do Compound. Especialistas em segurança apontam que, com o aumento da automação das ferramentas de phishing, a barreira técnica para ataques semelhantes está a diminuir continuamente.

No incidente atual, a razão pela qual os fundos dos utilizadores não foram afetados deve-se, em parte, à diferente forma de implantação da interface principal. Segundo a explicação oficial, o subdomínio app.compound.finance, usado para conectar carteiras e executar transações, fornece serviço através da rede IPFS, permitindo à equipa de segurança verificar de forma independente a integridade do código, o que reduz o risco de manipulação na interface.

Apesar de este incidente não ter causado perdas financeiras, para o Compound, que já foi uma das principais plataformas DeFi, uma série de problemas recentes tem vindo a minar a confiança do mercado. Nos últimos anos, o projeto enfrentou várias controvérsias operacionais e de governança. Por exemplo, o Compound DAO foi anteriormente questionado pela comunidade devido a potenciais conflitos de interesse com o fornecedor de serviços de gestão de risco, Gauntlet.

Mais cedo, em 2022, um erro operacional levou à suspensão do mercado de cETH, avaliado em mais de 8 mil milhões de dólares, por cerca de uma semana, até à resolução técnica. Além disso, durante uma atualização do protocolo em 2021, ocorreram eventos de distribuição de recompensas incorretas, com cerca de 150 milhões de dólares em tokens sendo distribuídos inadvertidamente aos utilizadores.

Analistas apontam que, com a expansão do setor DeFi, a segurança da interface, a proteção de domínios e a transparência na governança estão a tornar-se fatores essenciais para a estabilidade a longo prazo dos protocolos. Para plataformas de empréstimo, qualquer vulnerabilidade na camada do site pode ser uma porta de entrada para ataques de phishing e fraudes.