Um hacker lucrou US$ 1,2 milhão com um único tweet na conta do CEO da Robinhood.

Na quinta-feira, alguém invadiu a conta X de Vlad Tenev e a usou para lançar uma criptomoeda falsa (memecoin). Quando perceberam o golpe, o invasor já havia levado cerca de 650 ETH, o equivalente a algo entre US$ 1,2 e US$ 1,3 milhão.

A publicação afirmava que um token chamado Vladhood (VLAD) era o "mascote oficial" da Robinhood Chain, a rede Ethereum de camada 2 da empresa, lançada em 1º de julho. Também dizia que o VLAD seria listado no aplicativo Robinhood. Nenhuma das duas afirmações era verdadeira. Em 20 minutos, a publicação já tinha mais de 175.000 visualizações e as pessoas já estavam comprando. O volume de negociação do token na Uniswap atingiu US$ 22 milhões em poucas horas — o que demonstra a rapidez com que o Twitter das criptomoedas reage quando uma conta "verificada" publica um endereço de contrato.

A parte inteligente não é o ataque em si. Golpes de roubo de contas para distribuir tokens falsos são comuns há anos — Sydney Sweeney, 50 Cent, a lista de sempre. O que é diferente aqui é como o dinheiro saiu. O VLAD foi lançado através do Pons, uma plataforma de lançamento que bloqueia a liquidez, mas ainda permite que quem implantou o token cobre as taxas de negociação. Portanto, não houve o clássico golpe do "rug pull", nem o esvaziamento do pool de uma só vez. O atacante simplesmente chamou a função de saque de taxas repetidamente e deixou o ETH escorrer enquanto o token continuava sendo negociado em segundo plano. Quando a conta de comunicação da Robinhood publicou um aviso e o tweet foi apagado, o dinheiro já havia sumido. O explorador da Robinhood Chain já classificou o contrato como fraude.

Tenev recuperou sua conta e disse às pessoas que estava "aguardando detalhes" da X, e, seja lá o que isso signifique neste momento, a Robinhood não emitiu nenhuma criptomoeda própria.

Há algo um pouco desconfortável no momento escolhido. A Robinhood construiu essa blockchain para vender ações tokenizadas e ativos do mundo real. Em vez disso, as memecoins basicamente tomaram conta dela. A rede realiza milhões de transações por dia, e a maior parte delas não envolve ativos do mundo real.

A conta de Tenev nem foi a pior daquele dia. A Lookonchain sinalizou três ataques distintos ocorridos em um intervalo de aproximadamente 24 horas: AFX Trade, Verus e B² Network, totalizando US$ 35,55 milhões em prejuízos. A ponte Arbitrum da AFX Trade perdeu US$ 24,15 milhões em USDC depois que alguém comprometeu suas chaves de assinatura de validadores. A Verus foi atingida novamente — sua ponte Ethereum perdeu US$ 7,54 milhões, apenas dois meses após um ataque quase idêntico de US$ 8 milhões em maio. A Blockaid afirma que ambos os ataques usaram o mesmo contrato, o mesmo caminho de entrada e a mesma falha. Ninguém a corrigiu da primeira vez. A B² Network perdeu aproximadamente US$ 3,86 milhões em seu próprio token, que foi rapidamente despejado na BNB Chain.

Estão chamando isso de "Dia dos Hackers", meio que brincando. Quatro incidentes, quatro mecanismos diferentes: uma conta sequestrada, duas explorações de vulnerabilidades em pontes, um vazamento de tokens. Não é bem uma história só. Mas o padrão é sempre o mesmo: encontrar o único detalhe que ninguém está observando com atenção suficiente — uma chave privada, um conjunto de validadores, uma função de taxa de inicialização — e extrair os dados.