A Taiko foi vítima de um ataque informático que resultou num prejuízo de 1,7 milhões de dólares. Depois, o valor do token multiplicou-se por 9.

A 22 de junho, alguém retirou 1,7 milhões de dólares da ponte Ethereum L2 da Taiko. Não foi ao descobrir uma falha engenhosa num contrato inteligente, mas sim ao descobrir uma chave privada. Uma chave RSA-3072 chamada enclave-key.pem, que se encontrava no repositório público da Taiko no GitHub (taikoxyz/raiko), disponível para download gratuito por qualquer pessoa com uma conta. Essa chave deveria permanecer bloqueada dentro de um enclave Intel SGX, onde assina provas que indicam à ponte «sim, este levantamento é verdadeiro». Em vez disso, o atacante apoderou-se dela, registou o seu próprio hardware falso como um verificador de confiança e falsificou provas de levantamento que a ponte não tinha motivos para duvidar. A produção de blocos foi interrompida. A equipa instruiu todos a retirarem os seus fundos de todas as pontes da rede, imediatamente.

Dez dias depois, a 2 de julho, a ponte reabriu. Todos os utilizadores afetados foram indemnizados a partir do tesouro, de acordo com o próprio comunicado da Taiko. E foi aí que as coisas ficaram estranhas.

A TAIKO não se limitou a recuperar — disparou. De um mínimo histórico de cerca de 0,058 dólares atingido a 29 de junho, o token disparou até aos 0,52 dólares em 24 horas — um aumento de cerca de 9 vezes —, antes de se estabilizar novamente em cerca de 0,13–0,14 dólares. Isso ainda é cerca do dobro do valor a que estava a ser negociado logo após o ataque. A CoinDesk registou um aumento de até 136% numa única sessão; a CoinGecko aponta um aumento de 114% ao longo da semana. O volume de negociação disparou para mais de 100 milhões de dólares num dia, para um token com uma capitalização de mercado de 27 milhões de dólares.

Há um ano, o padrão era o seguinte: uma «shitcoin» é retirada de uma bolsa, o preço dispara, e ninguém consegue explicar o porquê, a não ser «menos pressão de venda, menos pessoas sensatas a acompanhar». Agora, aparentemente, ter a chave de assinatura divulgada no GitHub e perder um valor de sete dígitos tem o mesmo efeito. Talvez se trate de compras de alívio: a correção funcionou, todos foram reembolsados, por isso, porque não entrar na onda? Talvez seja apenas um token com baixa flutuação, em que qualquer notícia, boa ou má, é suficiente para fazer o preço disparar. Provavelmente, ambas as coisas.

No entanto, vale a pena recordar o que realmente aconteceu aqui. Não se tratou de uma falha no contrato inteligente. Toda a configuração de múltiplos provadores da Taiko, com SGX e backends ZK, foi concebida de forma a que um atacante precisasse de violar dois sistemas independentes ao mesmo tempo. Nada disso importava, porque a chave nunca deveria ter saído do enclave, para começar, e acabou num local onde qualquer script a poderia encontrar. Isso não é uma falha de criptografia. É uma falha do`.gitignore`. A PeckShield estima que o total de ataques a pontes em 2026 ultrapasse os340 milhões de dólares, em pelo menos 14 incidentes, e o fio condutor na maioria deles não é uma falha matemática, mas sim alguém que se esqueceu de trancar uma porta.

A Taiko afirma que está a caminho uma análise pós-incidente completa. Até lá: a ponte funciona, os utilizadores recuperaram o seu dinheiro e o gráfico parece indicar que nada de mau aconteceu.