Passamos tempo demais obcecados com a robustez do algoritmo SHA-256 ou debatendo se uma rede é suficientemente descentralizada para resistir a um ataque de 51%, enquanto ignoramos o elefante na sala. A criptografia assimétrica, base matemática do Bitcoin e de praticamente todas as blockchains, nunca foi quebrada. O que quebra, repetidamente, é o elo mais fraco da corrente: o operador humano sentado entre a cadeira e o teclado. Quando analisamos os dados forenses de perdas massivas em cripto, tirando as implosões sistêmicas de corretoras centralizadas (que, ironicamente, também derivam de falha humana, seja por malícia ou incompetência na gestão de risco), o padrão é claro. A grande maioria dos usuários não perde seus fundos porque um hacker genial encontrou uma vulnerabilidade de “dia zero” no código do Ethereum. Eles perdem porque foram enganados. A engenharia social tornou-se uma indústria muito mais lucrativa do que a exploração de bugs de software. É uma questão de retorno sobre o investimento (ROI). Para um atacante, gastar meses tentando encontrar uma falha no código de um contrato inteligente auditado é custoso e incerto. Criar um site espelho, comprar anúncios no Google e esperar que alguém conecte sua carteira em busca de um airdrop falso custa frações de centavos e tem uma taxa de conversão assustadora. Aqui entra o conceito técnico devastador do “Blind Signing” (assinatura cega). Este é, talvez, o maior exemplo prático de como a interface do usuário (UI) e a psicologia humana colidem de forma catastrófica.
O usuário, muitas vezes movido pela ganância ou pelo medo de perder uma oportunidade (FOMO), interage com um dApp malicioso. A carteira, seja uma MetaMask ou até mesmo uma Ledger, apresenta uma solicitação de transação. Para a maioria, aquilo é apenas uma sopa de letras hexadecimais. O usuário clica em “Confirmar”. Nesse momento, ele não foi hackeado. Ele autorizou o roubo. Frequentemente, a função assinada é um setApprovalForAll em um padrão de token ERC-20 ou ERC-721. O atacante não precisa da sua chave privada; você acabou de dar a ele permissão legal, em nível de código, para drenar todos os USDT ou NFTs da sua carteira para o endereço dele. A blockchain, sendo neutra e incensurável, apenas executa a ordem. A falha não foi da tecnologia, mas da incapacidade do usuário de verificar o que estava assinando. Outro vetor que explora a preguiça cognitiva é o Address Poisoning. Dado que endereços de carteiras são longos e complexos, o cérebro humano tende a verificar apenas os primeiros e os últimos quatro caracteres. Atacantes geram endereços “vanity” que mimetizam esses caracteres de carteiras com as quais a vítima interage frequentemente e enviam transações de valor zero. O histórico da vítima fica poluído. Na pressa, ao copiar o endereço de uma transação anterior para enviar fundos, a vítima copia o endereço do atacante. Mais uma vez, a matemática funcionou perfeitamente; a atenção humana falhou. A autocustódia, frequentemente vendida como a solução definitiva (“not your keys, not your coins”), carrega um risco operacional que poucos estão preparados para assumir. Ser seu próprio banco significa ser seu próprio departamento de TI e de segurança. Não há 0800 para ligar se você anotar sua seed phrase na nuvem e seu e-mail for comprometido. A dura realidade é que a segurança em cripto não é um produto que se compra, é um processo que se executa. Hardware wallets são excelentes barreiras físicas, mas se o usuário digitar sua frase de recuperação em um site de phishing porque um e-mail falso disse que “seus fundos estão em risco”, o dispositivo físico torna-se um peso de papel irrelevante.