Mixin Network perdeu US$ 200 milhões em violação de banco de dados na nuvem — usuários foram instruídos a arcar com metade

Nas primeiras horas de 23 de setembro de 2023, atacantes invadiram o banco de dados do provedor de serviços de nuvem da Mixin Network e levaram cerca de US$ 200 milhões em ativos da mainnet. A Mixin — uma rede de transferência entre cadeias que alega um milhão de usuários, aproximadamente US$ 1 bilhão em ativos sob custódia e suporte a 48 blockchains — suspendeu todos os depósitos e saques e acionou o Google e a empresa de segurança SlowMist.

A resposta revelou a estrutura real da empresa. Uma mensagem on-chain ofereceu ao ladrão uma recompensa de US$ 20 milhões para devolver o butim, e o fundador Feng Xiaodong disse aos usuários em uma transmissão ao vivo em mandarim que a Mixin restauraria até 50% dos fundos roubados, enquanto o restante seria convertido em tokens de títulos que a empresa prometeu recomprar posteriormente. Críticos notaram a ironia de uma infraestrutura "descentralizada" falhar em um único banco de dados na nuvem.

A violação ocorreu no pior período de 2023 para comprometimentos de criptomoedas de terceiros: dias antes, a Elliptic havia atribuído ao Grupo Lazarus da Coreia do Norte o roubo de US$ 54 milhões da CoinEx, e a Mixin foi a terceira empresa de criptomoedas em uma semana atingida por meio de um fornecedor, depois da OpenSea e da Nansen. O balanço da Mixin não podia absorver uma perda equivalente a um quinto de seu capital como o de uma grande exchange poderia — então metade dela foi transferida para os registros dos usuários como papel.

Cerca de US$ 200 milhões em criptomoedas dos usuários — aproximadamente 20% do capital da empresa; depósitos e saques congelados; usuários receberam de volta metade do dinheiro, metade em IOUs

Manter a custódia atrás de um único banco de dados de provedor de serviços de nuvem recriou exatamente o ponto central que um protocolo descentralizado existe para eliminar.

Uma recompensa de US$ 20 milhões sobre US$ 200 milhões de butim admitiu que a empresa não podia recuperar os fundos tecnicamente e esperava que o ladrão negociasse.

A promessa de restauração de 50% mais os tokens de títulos converteram uma falha operacional em dívida suportada pelos usuários, mantendo a empresa viva.

Violações de fornecedores na OpenSea, Nansen e CoinEx no mesmo mês mostraram que a infraestrutura de terceiros faz parte da superfície de ataque, não está fora dela.

Um protocolo pode se autodenominar descentralizado enquanto o dinheiro de seus usuários está atrás de um único banco de dados na nuvem. Quando a custódia é centralizada, as perdas recaem sobre quem tem a reivindicação mais fraca — geralmente os usuários.

Depósitos e saques permaneceram suspensos enquanto a Mixin trabalhava nas correções da vulnerabilidade, com a transmissão ao vivo do fundador e a mensagem de recompensa on-chain como a contabilidade pública da empresa. O plano de restauração de 50% mais tokens de títulos colocou a metade faltante do dinheiro dos usuários em seus próprios registros até que a Mixin pudesse recomprar os IOUs. A violação encerrou um trimestre brutal para a infraestrutura de criptomoedas de terceiros: OpenSea e Nansen violadas por meio de fornecedores, CoinEx drenada de US$ 54 milhões em uma invasão que a Elliptic atribuiu ao Lazarus, e quase US$ 240 milhões tomados em cinco hacks nos 104 dias antes da queda da Mixin.