TAC publica análise de incidente de segurança: US$ 2,86 milhões de prejuízo, 90% já foi recuperado, fundo complementar cobrirá o restante

A TAC publicou em 21 de maio um relatório oficial de análise pós-evento sobre o incidente de segurança da ponte de ativos TON-TAC ocorrido em 11 de maio. A causa da vulnerabilidade foi a falta de uma validação essencial no software do sequenciador; a perda total foi de aproximadamente US$ 2,854 milhões (envolvendo USDT, BLUM e tsTON). Cerca de 90% dos ativos roubados foram devolvidos para endereços de multisig sob controle da TAC, e a Fundação TAC vai cobrir a diferença restante de US$ 288 mil.

Causa do incidente e detalhes técnicos do ataque

Conforme confirmado pela TAC em sua análise pós-evento oficial, a falha principal é que o software do sequenciador não verificou se o hash do código da carteira Jetton do remetente da mensagem da ponte de entrada é idêntico ao código padrão de uma carteira Jetton. Isso significa que qualquer contrato TON capaz de gerar uma mensagem de ponte com o formato correto, independentemente do código real ou do cunhador, é tratado como uma carteira Jetton válida.

O ataque ocorreu por volta de 11 de maio de 2026, em torno das 02:20 UTC: o atacante implantou no TON uma carteira Jetton falsificada (com aparência que imita a carteira de USDT, mas sem precisar de suporte a liquidez real), enviou uma mensagem de ponte ao contrato TAC Proxy, e o sequenciador aceitou o token falsificado e cunhou na TAC ativos equivalentes. Em seguida, o atacante fez a ponte desses ativos cunhados de volta ao TON, liberando os ativos realmente bloqueados na ponte TON. Os fundos foram então transferidos via infraestruturas como LayerZero e THORChain para várias redes, incluindo Ethereum, Bitcoin, ZCash, BSC e Solana, e a movimentação foi ainda mais embaralhada por meio de protocolos de privacidade. Após a Hypernative detectar em tempo real que os saldos no TON não correspondiam aos saldos na TAC, a equipe da TAC interrompeu imediatamente o sequenciador e entrou em contato com as autoridades de aplicação da lei, a SEAL911 e auditores de segurança.

Dados de confirmação da recuperação de ativos

De acordo com o relatório oficial da TAC, a perda total do protocolo foi de aproximadamente US$ 2,854 milhões (até 12 de maio de 2026, 22:00 UTC). Deste valor, USDT representou cerca de US$ 2,434 milhões, BLUM cerca de US$ 403 mil e tsTON cerca de US$ 18 mil.

Em 14 de maio, cerca de 90% dos ativos roubados foram devolvidos para endereços multisig sob controle da TAC; o valor efetivamente recuperado foi de US$ 2,290.7 mil, com taxa de recuperação efetiva de aproximadamente 80,2% (a diferença reflete a volatilidade de mercado dos ativos durante a transferência entre múltiplas redes, além de perdas com taxas e slippage). Os cerca de US$ 288 mil restantes não puderam ser recuperados, incluindo 13 ETH que já foram enviados para a Tornado Cash, parte do ZEC e SOL que foi transferido por meio do protocolo de privacidade Umbra.

Roteiro de recuperação e próximos passos confirmados

Conforme declaração oficial da TAC, a recuperação da ponte entre cadeias requer a conclusão de duas condições: (1) o sequenciador com correções deve passar por uma revisão independente conduzida por auditores principais e especialistas do ecossistema TON; (2) preencher a lacuna de fundos usando os ativos recuperados e as reservas de tokens da Fundação TAC, de modo a restaurar completamente a liquidez transitória.

A TAC confirmou que a lacuna restante de fundos será coberta pelo tesouro da fundação, e que usuários e protocolo não terão qualquer perda financeira. Após a recuperação, os usuários não precisarão tomar nenhuma ação. Como é necessário coordenar com diversas partes, a TAC afirma que atualmente não pode fornecer um cronograma exato de recuperação; atualizações futuras serão publicadas semanalmente por meio da conta oficial no X e do canal no Telegram. A TAC também alertou: quaisquer mensagens privadas não solicitadas de “recuperação” ou “apoio” são golpes.

Perguntas frequentes

Qual foi a causa raiz do ataque da ponte entre cadeias da TAC?

De acordo com a análise pós-evento oficial da TAC, a causa raiz foi a falta de validação, no software do sequenciador, do hash do código da carteira Jetton do remetente na mensagem da ponte de entrada. Isso permite que o atacante implante carteiras Jetton falsificadas sem precisar de suporte a liquidez real para acionar a cunhagem de tokens na TAC e, assim, extrair os ativos realmente bloqueados na ponte TON.

Os usuários terão perdas financeiras por causa deste evento?

De acordo com a declaração oficial da TAC, a lacuna restante de cerca de 10% dos fundos será coberta pelo tesouro da Fundação TAC, garantindo que usuários e protocolo não tenham qualquer perda financeira. Após a recuperação, os usuários não precisarão tomar nenhuma ação.

Quando a ponte entre cadeias voltará a operar?

Conforme a explicação oficial da TAC, a recuperação depende da conclusão de duas etapas: auditoria independente do sequenciador com correções e preenchimento da lacuna de fundos. Devido às dependências externas, a TAC não consegue fornecer um cronograma exato no momento; as atualizações serão feitas semanalmente por meio dos canais oficiais.