575 milhões de dólares perdidos na Ethereum e BNB Chain: estudo revela a dimensão dos erros de endereços

Investigadores de três universidades chinesas acabam de quantificar um fenómeno tão banal quanto devastador: enviar criptomoedas para o endereço errado. O resultado ultrapassa qualquer expectativa — 575 milhões de dólares evaporados na Ethereum e na BNB Chain, não por causa de ataques sofisticados, mas de erros humanos perfeitamente evitáveis.

O estudo, apresentado sob a égide da USENIX Association, analisa ao pormenor milhões de endereços on-chain e identifica padrões recorrentes que custam coletivamente uma fortuna aos utilizadores. Um sinal de alarme que a indústria já não pode ignorar.

Por detrás destes números escondem-se três categorias de más práticas bem distintas, sendo uma delas consideravelmente mais destrutiva do que as restantes — e os dados não deixam margem para dúvidas.

65 340 casos de risco: o que revela a análise on-chain

Os investigadores das universidades Sun Yat-sen, Pequim e Zhejiang analisaram milhões de endereços na Ethereum e na BNB Chain para cartografar aquilo que designam de «address misuse» — ou seja, qualquer interação incorreta com um endereço não destinado a receber fundos. O resultado: 65 340 instâncias de alto risco identificadas, envolvendo tanto contratos inteligentes como contas externas (EOA).

O estudo distingue três vetores principais de perda. O primeiro diz respeito a endereços de testnet utilizados por engano na mainnet — estes endereços de rede de teste simplesmente não são válidos na cadeia principal, tornando os fundos irrecuperáveis. O segundo vecteur agrupa os contratos reutilizados ou com tipo incorreto: enviar tokens diretamente para o endereço de um smart contract que não foi concebido para os receber equivale a destruí-los. Só este vetor engoliu 22 738 ETH e 8 681 BNB.

O terceiro vetor — e de longe o mais destrutivo — diz respeito a carteiras cuja chave privada já foi exposta. Enviar fundos para uma conta comprometida é o mesmo que oferecê-los diretamente a um atacante que monitoriza em tempo real todas as entradas. Este cenário representa, por si só, 104 245 ETH e 9 045 BNB em perdas acumuladas, correspondendo à fatia dominante dos 575 milhões de dólares totais.

Chaves privadas expostas: o verdadeiro abismo financeiro do ecossistema

O contraste entre as duas principais categorias de perdas é impressionante. Os erros relacionados com tipos incorretos de contratos representam um problema de conhecimento técnico — um utilizador que não compreende a diferença entre um EOA e um smart contract, ou que confunde mainnet com testnet. Estes erros são onerosos, mas resultam de uma falta de formação.

As perdas associadas a chaves privadas comprometidas enquadram-se num problema diferente e mais insidioso. Uma chave exposta pode sê-lo há meses ou anos — através de uma fuga de base de dados, de malware, ou de uma seed phrase introduzida num site de phishing — sem que o utilizador tenha qualquer consciência disso. Quando, posteriormente, envia fundos para esse endereço, bots automatizados (sweeper bots) interceptam-nos em segundos, antes mesmo de a transação ser confirmada.

Este mecanismo ilustra uma realidade brutal do ecossistema: a blockchain é imutável. Nenhum serviço de apoio ao cliente, nenhuma via jurídica, nenhuma transação inversa permite recuperar fundos enviados para um endereço comprometido. A prevenção continua a ser o único remédio — verificar sistematicamente o estado de um endereço através de ferramentas on-chain antes de qualquer transferência significativa, e nunca reutilizar um endereço cuja chave tenha sido manipulada num ambiente não seguro.

O que a indústria deve reter deste estudo

Para além dos números brutos, esta investigação académica levanta uma questão estrutural: por que razão as interfaces cripto não integram mais salvaguardas para detetar estes erros antes de se tornarem irreversíveis? Existem soluções — verificação automática do tipo de endereço, alertas sobre endereços em lista negra ou comprometidos, distinção clara entre ambientes testnet e mainnet nas carteiras.

Algumas carteiras como a MetaMask ou o Ledger Live já iniciaram esforços nesse sentido, com avisos sobre endereços suspeitos ou contratos não verificados. Porém, o estudo demonstra que estes mecanismos continuam insuficientes à escala: 65 340 casos de alto risco não são fruto de um punhado de utilizadores inexperientes, mas de um problema sistémico de UX e de educação em todo o ecossistema.

Para os utilizadores mais avançados, a mensagem é clara: auditar regularmente os endereços ativos, nunca reutilizar uma carteira cuja chave tenha circulado fora de um ambiente seguro, e tratar cada interação on-chain com o rigor de uma operação financeira irreversível — porque é exatamente isso que ela é.