O protocolo Ethereum Layer 2 Taiko confirmou uma grave violação de segurança na segunda-feira depois que um invasor explorou uma falha em seu sistema de verificação de ponte, drenando cerca de US$ 1,5 milhão a US$ 1,7 milhão de seu cofre ERC20. O incidente interrompeu a produção de blocos na rede e gerou avisos urgentes para os usuários protegerem seus fundos.
O que aconteceu
A Taiko confirmou um comprometimento de seu mecanismo de verificação do estado da cadeia, alertando que não é mais possível confiar nas suposições de segurança de todas as pontes implantadas no protocolo. A equipe disse que estava coordenando com seu Conselho de Segurança e parceiros do ecossistema para conter os danos e instou todos os usuários a retirarem fundos das pontes Taiko imediatamente.
A violação foi sinalizada pela primeira vez pela empresa de segurança blockchain Blockaid, cujo sistema de detecção de exploração identificou um ataque contínuo ao ERC20 Vault da Taiko no Ethereum, estimando perdas iniciais em mais de US$ 1 milhão.
A causa raiz, de acordo com a Blockaid, foi uma falha crítica na forma como a ponte de Taiko validava mensagens entre cadeias. As provas de mensagens elaboradas foram aceitas como válidas no Ethereum L1 sem eventos MessageSent legítimos correspondentes na cadeia de origem Taiko. Isso permitiu que o invasor registrasse e posteriormente recuperasse mensagens de ponte fraudulentas, resultando em liberações não autorizadas de ativos do cofre ERC20. Em termos simples, o invasor enganou a ponte fazendo-a acreditar que transações legítimas entre cadeias haviam ocorrido no Taiko, quando isso não aconteceu, permitindo-lhes retirar ativos reais do lado Ethereum sem qualquer apoio válido.
Declaração Oficial de Taiko (Fonte: Taiko)
Quanto foi roubado
As estimativas de perdas variaram entre as empresas de segurança. A empresa de segurança Blockchain PeckShield estimou perdas totais em aproximadamente US$ 1,7 milhão, superior ao valor inicial da Blockaid de mais de US$ 1 milhão.
Os dados on-chain rastreados pela Lookonchain adicionaram mais detalhes: o invasor moveu 1,99 milhão de tokens TAIKO no valor de aproximadamente US$ 189.000 para a exchange MEXC, enquanto aproximadamente 870,8 ETH avaliados em perto de US$ 1,52 milhão permaneciam nas carteiras dos exploradores no momento do relatório. Quatro endereços de carteiras de invasores foram publicados pela equipe Taiko:
- 0x7506DeA0c38ca0B55364B22424374c5A1ae1B76a
- 0x5fbc60a12bc6635e7d587d8dac52e4b1388b4990
- 0x3cc936b795a188f0e246cbb2d74c5bd190aecf18
- 0x9108828e30f2de407aadb0af677b4a9228e4acd4
Vault ERC20 de Taiko hackeado (Fonte: Arkham)
Resposta de Taiko
A resposta da equipe Taiko veio em vários estágios. Primeiro veio o aviso de segurança de emergência e o apelo aos usuários para sacarem os fundos-ponte. Então, em uma postagem de acompanhamento, Taiko confirmou que todos os proponentes de blocos pararam temporariamente de produzir novos blocos enquanto a equipe investiga e trabalha para resolver o problema, paralisando efetivamente a rede como medida de contenção.
Taiko também pediu às exchanges centralizadas que suspendessem os depósitos TAIKO imediatamente, afirmando que os depósitos só deveriam ser retomados após um aviso oficial do projeto. A equipe disse que buscaria soluções técnicas e legais sempre que necessário, mas não forneceu um cronograma para restaurar a funcionalidade da ponte ou retomar a produção de blocos.
Em uma atualização posterior, Taiko disse que o incidente foi contido e que o Bridge e o ERC20Vault foram pausados. A equipe esclareceu que as transações pendentes não são perdidas, apenas pausadas, e que os usuários não precisam mais realizar nenhuma ação para proteger seus fundos enquanto a ponte permanecer offline.
O que é taiko
Taiko é um rollup baseado – um tipo de rollup que depende de validadores de bloco Ethereum para sequenciar transações. Foi lançado na mainnet em maio de 2024, após estar em desenvolvimento desde 2022. Como ZK-EVM Tipo 1, foi projetado para ser totalmente equivalente ao Ethereum, o que significa que suporta os mesmos contratos inteligentes e ferramentas de desenvolvedor sem modificação. O token nativo TAIKO está sendo negociado atualmente a cerca de US$ 0,084, uma queda de aproximadamente 98% em relação ao seu pico de 2024.
Parte de um padrão mais amplo
O hack Taiko é um dos pelo menos 23 explorações de criptografia registrado em junho de 2026, de acordo com DeFiLlama. O mês foi particularmente severo para a segurança financeira descentralizada, com o Humanity Protocol sofrendo o maior incidente único com mais de US$ 30 milhões, seguido pela Syscoin Bridge com mais de US$ 8 milhões, Secret Network com US$ 4,67 milhões por meio de um bug infinito e uma drenagem de US$ 1,1 milhão de um pool de liquidez PancakeSwap.
As vulnerabilidades de ponte estão entre as superfícies de ataque mais direcionadas em DeFi em 2026, com violações notáveis atingindo Gravity Bridge (US$ 5,4 milhões), Axelar-Secret Network (US$ 4,67 milhões), Alephium TokenBridge (US$ 815.000) e Hyperbridge (US$ 2,5 milhões), entre outros.
As pontes entre cadeias continuam a ser estruturalmente difíceis de proteger porque exigem que uma cadeia confie nas declarações feitas sobre a atividade de outra. Quando a lógica de verificação que impõe essa confiança pode ser manipulada, como foi o caso aqui, os atacantes podem fabricar levantamentos sem quaisquer depósitos correspondentes.
O que vem a seguir
A equipe do Taiko não forneceu um cronograma específico para a retomada dos serviços da ponte. Os quatro endereços publicados dos invasores fornecem aos investigadores e às exchanges um caminho a seguir, e a velocidade com que as exchanges congelam as carteiras sinalizadas pode determinar se algum dos fundos roubados pode ser recuperado. Taiko disse que mais atualizações serão publicadas à medida que a situação evoluir.
