Hack da Gnosis Pay: O Que Aconteceu e Como Proteger Suas Criptomoedas em 2026

Hack ao Gnosis Pay: O Que Aconteceu, Como Funcionou e Como Proteger as Tuas Criptomoedas

Se usas um cartão de débito cripto, o hack ao Gnosis Pay de junho de 2026 é algo que deves conhecer. Por volta do dia 1 de junho de 2026, o Gnosis Pay detetou um exploit ativo que visava o Delay Module, um componente de smart contract concebido para proteger os fundos dos utilizadores. O ataque resultou no esvaziamento de fundos de dezenas de Safes, com perdas totais estimadas em cerca de 265.000 dólares em EURe e GNO. A confiança dos utilizadores foi abalada e o incidente colocou em destaque os riscos de segurança únicos que surgem ao ligar um cartão de débito a uma carteira on-chain.

Este artigo explica a mecânica do exploit ao Gnosis Pay, a vulnerabilidade do Delay Module no centro do problema, a resposta da Gnosis, e que boas práticas de segurança para carteiras cripto deves adotar a partir de agora. Aborda também como a segurança das carteiras MPC — a arquitetura que a Bleap utiliza no seu Mastercard com autocustódia — elimina exatamente o tipo de ponto único de falha que este hack explorou.

O teu cartão de pagamentos cripto deve proteger os teus fundos, não pô-los em risco. O Mastercard com autocustódia da Bleap usa segurança de carteira MPC, não delay modules de smart contracts, para te manter no controlo. 0% de taxas FX, até 20% de cashback, sem subscrição mensal. Vê como a Bleap funciona →

1. O Hack ao Gnosis Pay em Junho de 2026: O Que Aconteceu?

O cofundador e CEO da Gnosis, Martin Koppelmann, confirmou o exploit ativo no X a 1 de junho de 2026. O exploit resultou de uma vulnerabilidade no Delay Module, que permitia aos atacantes iniciar transações não autorizadas. A 29 de maio, o atacante implementou primeiro 41 contratos de ataque especializados, e a exploração principal ocorreu a 1 de junho por volta das 5h26.

Como parte das medidas de contenção, a Gnosis pediu aos validadores de bridges que pausassem as operações enquanto investigadores e equipas forenses coordenavam a resposta. Koppelmann inicialmente instou os utilizadores a retirar os fundos afetados em EURe e GNO, mas mais tarde retirou a recomendação, reconhecendo que a maioria dos utilizadores não conseguiria recuperar os fundos devido à natureza do exploit. Garantiu aos utilizadores que a Gnosis cobriria integralmente quaisquer perdas financeiras.

Quem Foi Afetado?

O Gnosis Pay oferece um cartão de débito Visa diretamente ligado às carteiras de smart contract Gnosis Safe dos utilizadores, permitindo gastar stablecoins como o EURe sem abdicar da custódia. O exploit afetou as contas Safe ligadas ao cartão, mas não impactou a infraestrutura mais alargada do Gnosis Safe nem a própria Gnosis Chain. Os titulares de cartão ativos com saldos em EURe e GNO nas suas Safes ligadas estavam em risco. Em termos de escala, o Gnosis Pay tinha processado mais de 100 milhões de dólares em volume total, mais de 1,6 milhões de transações e mais de 50.000 contas implementadas.

2. Como Funcionou o Exploit ao Delay Module

Análise Técnica da Vulnerabilidade do Delay Module

O Zodiac Delay Module foi concebido para impor um período de espera entre a aprovação e a execução de uma transação, dando tempo para detetar e bloquear atividade não autorizada. Em condições normais, o delay module coloca as transações de saída em fila durante 3 minutos para garantir a precisão da liquidação e prevenir levantamentos imediatos não autorizados.

Os atacantes encontraram uma forma de contornar esta salvaguarda. De acordo com o relatório da CertiK, o exploit centrou-se numa falha de verificação de assinatura no Delay Module do GnosisPay. O atacante explorou a forma como a função moduleTxSignedBy() do módulo analisa os valores r, s e v do calldata msg.data. Os contratos de ataque foram concebidos para devolver sempre o valor mágico EIP-1271 quando chamados via isValidSignature(), efetivamente a personificar signatários legítimos sem fornecer prova criptográfica válida.

Ao manipular o valor r, o sistema foi enganado para aceitar a transação maliciosa. Após um período de espera obrigatório imposto pelo Delay Module, o atacante executou as transações em fila por volta das 5h57, transferindo EURe e GNO das Gnosis Safes das vítimas diretamente para carteiras controladas pelo atacante.

A conclusão principal: as Gnosis Safes foram comprometidas não através do roubo direto de chaves, mas sim através de uma falha subtil num mecanismo de delay integrado. Este ataque demonstra como mesmo protocolos estabelecidos podem ser vítimas de manipulação avançada de calldata e de contornos à validação de assinaturas EIP-1271.

3. Por Que Razão as Carteiras Cripto Ligadas a Cartões de Débito Têm Riscos de Segurança Únicos

O incidente com o Gnosis Pay ilustra uma categoria específica de risco. O incidente é sensível porque o Gnosis Pay liga contas Safe com autocustódia a gastos com cartão. Quando uma carteira está sempre ligada a um cartão de pagamento, cria uma superfície de ataque persistente que as configurações normais de cold storage simplesmente não têm.

As contas Gnosis Pay dependem de 2 módulos principais: o Delay Module e o Roles Module. Embora estas funcionalidades melhorem a usabilidade, também introduzem vetores de ataque adicionais. As permissões de gastos, a autoridade de assinatura delegada e as transações frequentes de baixo valor podem mascarar atividade maliciosa. O Zodiac delay module foi comprometido de uma forma que permitiu ao atacante colocar transações nas filas de muitas carteiras em simultâneo.

É por isso que a arquitetura de segurança por trás do teu cartão de pagamentos cripto importa mais do que as funcionalidades de conveniência. Um cartão que depende de módulos de smart contracts para controlo de acesso apresenta riscos fundamentalmente diferentes de um que usa assinatura criptográfica off-chain, como é o caso do MPC.

4. A Resposta da Gnosis e Incidentes de Segurança Anteriores

Compromisso de Cobrir as Perdas dos Utilizadores

Koppelmann confirmou o exploit ativo a 1 de junho, afirmando: "Infelizmente, há um hack relacionado com o Gnosis Pay e o 'delay module'. Por favor, tenham paciência enquanto tentamos conter os danos. Podem ter a certeza de que a Gnosis cobrirá todas as perdas dos utilizadores."

A 2 de junho, o Gnosis Pay informou que o incidente tinha sido totalmente contido e que as operações começariam a ser retomadas de forma faseada. Cada utilizador receberia uma nova Safe ligada ao cartão, associada ao seu cartão e perfil de identidade existentes, e as novas Safes dos utilizadores afetados seriam financiadas com o seu saldo original. A 7 de junho, o Gnosis Pay tinha restaurado as operações normais do cartão para mais de 99% dos utilizadores.

Histórico de Vulnerabilidades

Este não foi um evento isolado. Menos de uma semana antes, a 25 de maio de 2026, um exploit separado drenou 3,2 milhões de dólares de 86 carteiras Safe através de um módulo de terceiros malicioso chamado SquidRouterModule. A causa raiz estava ligada a falhas nos módulos Zodiac Roles Modifier e Delay Modifier. Estes incidentes demonstram como mesmo módulos concebidos para melhorar a segurança podem tornar-se um problema se forem explorados.

A transparência importa. Os utilizadores de qualquer cartão de pagamentos cripto devem exigir auditorias de segurança publicadas, protocolos claros de resposta a incidentes e comunicação honesta quando algo corre mal.

5. Passos Imediatos para os Utilizadores Afetados

Isto não é aconselhamento financeiro. Se foste afetado, considera estes passos práticos:

• Revoga as permissões de gastos e desliga imediatamente quaisquer dApps conectadas à tua antiga Safe do Gnosis Pay.
• Move os fundos restantes para uma carteira separada e não comprometida. Depósitos para endereços antigos de Safe do Gnosis Pay, seja on-chain ou via IBAN, serão perdidos permanentemente.
• Ativa todos os alertas disponíveis e 2FA em todas as contas associadas.
• Acompanha os canais oficiais do Gnosis Pay para atualizações sobre reembolso e instruções de migração. As instruções claras são fornecidas diretamente na aplicação web do Gnosis Pay ou na carteira usada para aceder ao cartão.
• Documenta as perdas com timestamps e hashes de transações para qualquer processo de reclamação.

Procuras um cartão de pagamentos cripto com um modelo de segurança diferente? O Mastercard com autocustódia da Bleap divide a tua chave privada por múltiplas partes usando MPC. Sem um único módulo de smart contract para explorar, sem risco de delay module. 0% de taxas FX e até 20% de cashback. Obtém o cartão Bleap →

6. Boas Práticas Gerais de Segurança para Criptoativos

Independentemente do cartão de pagamentos cripto ou da carteira que uses, estes princípios fundamentais aplicam-se:

• Usa hardware wallets para poupanças a longo prazo. As hardware wallets continuam a ser a opção mais segura para os detentores individuais de criptomoedas em 2026. Mantém apenas os valores de gastos em hot wallets.
• Audita regularmente as apps conectadas e revoga permissões não utilizadas. O phishing continua a ser o vetor de ataque número 1 em cripto, com táticas cada vez mais sofisticadas em 2026.
• Evita reutilizar seed phrases ou chaves privadas em diferentes plataformas.
• Mantém as software wallets e o firmware atualizados. Os patches de segurança corrigem vulnerabilidades conhecidas.
• Protege os teus criptoativos com autenticação multifator em todo o lado onde for oferecida. Multiplica as tuas defesas.

Quando o teu cartão de pagamentos faz parte da equação, combina estes hábitos com um cartão que use um modelo de segurança robusto. A Bleap, por exemplo, oferece trading de cripto sem taxas e um Mastercard com autocustódia com 0% de taxas FX, mas o verdadeiro diferencial é a arquitetura MPC por baixo.

7. Carteiras Custodiais vs. Não Custodiais: Compreender a Diferença de Risco

As carteiras custodiais delegam a gestão de chaves a terceiros. Embora sejam convenientes, isto introduz risco de contraparte — estás a confiar nas práticas de segurança e na solvência do custodiante. Se o custodiante for hackeado ou entrar em insolvência, os teus fundos estão em risco.

As carteiras não custodiais dão-te controlo total sobre as chaves privadas. No entanto, isto coloca a responsabilidade total de segurança sobre ti. Tens as tuas chaves, mas também tens o risco de bugs em smart contracts, phishing ou má segurança operacional.

O exploit ao Gnosis Pay situa-se numa interseção única. O incidente destaca os riscos contínuos em elementos custodiais de plataformas de pagamentos cripto, mesmo as construídas sobre infraestrutura descentralizada. O Gnosis Pay é não custodial por design, mas o Delay Module partilhado introduziu um ponto único de falha que afetou muitos utilizadores em simultâneo. Esta é a lacuna que a segurança de carteiras MPC foi concebida para preencher.

8. Carteiras MPC: Um Modelo de Segurança Mais Robusto para Pagamentos Cripto

O Que É a Computação Multi-Partes (MPC) e Por Que Razão É Importante?

Uma carteira MPC é construída sobre Computação Multi-Partes, um ramo da criptografia. Em vez de armazenar uma única chave privada, a carteira cria múltiplas partes de chave cifradas. Cada parte é armazenada em localizações diferentes. Quando aprovas uma transação, estas partes colaboram para a assinar, mas a chave completa nunca existe num único lugar. Esta abordagem elimina o ponto único de falha inerente às carteiras tradicionais.

Em termos práticos: se um fragmento for comprometido, o atacante não consegue assinar uma transação porque não tem as outras partes distribuídas.

Como as Carteiras Baseadas em MPC Reduzem o Risco de Exploit

O MPC divide uma chave privada em múltiplas partes independentes armazenadas em diferentes dispositivos ou localizações. Em nenhum momento a chave privada é totalmente reconstruída. Isto elimina pontos únicos de falha e melhora significativamente a segurança. Ao contrário da abordagem do Delay Module, em que uma única vulnerabilidade de smart contract podia desbloquear o acesso a muitas carteiras, o MPC exige comprometer múltiplos sistemas independentes em simultâneo.

O MPC opera off-chain: a assinatura é uma computação criptográfica realizada entre os detentores das partes de chave antes de qualquer coisa ser transmitida. É agnóstico em relação à chain, já que a mesma implementação MPC protege carteiras em todas as blockchains que usam ECDSA ou EdDSA.

A Bleap como Alternativa Mais Segura

A Bleap aplica a tecnologia MPC diretamente aos pagamentos cripto do dia a dia. Em vez de depender de delay modules on-chain ou camadas de permissões que podem ser exploradas, o Mastercard com autocustódia da Bleap usa assinatura segura por MPC para autorizar transações. As partes de chave são divididas por múltiplas partes, pelo que nenhum componente comprometido isolado pode esvaziar os teus fundos.

Esta é uma arquitetura fundamentalmente diferente da abordagem do Delay Module que o Gnosis Pay usava. Com a Bleap, tens uma conta com autocustódia e controlo total dos teus fundos, 0% de taxas FX, até 20% de cashback em gaming, streaming e gastos do dia a dia, e trading de cripto sem taxas — tudo sem a superfície de risco de smart contracts que tornou possível o hack ao Gnosis Pay. Não há subscrição mensal.

9. O Que Procurar num Produto de Pagamentos Cripto Seguro

Antes de confiares o teu dinheiro a um cartão de pagamentos cripto, verifica estas funcionalidades:

• Arquitetura MPC ou de assinatura de limiar. Nenhuma chave privada deve ser exposta em nenhum momento.
• Auditorias de segurança transparentes publicadas por empresas independentes. Se um fornecedor não foi auditado, isso é um sinal de alerta.
• Controlos granulares de gastos e alertas de transações em tempo real. Deves saber no momento em que qualquer fundo se move.
• Políticas claras de resposta a incidentes e de compensação a utilizadores. O que acontece quando algo corre mal?
• Conformidade regulatória. Um produto de cartão que opera dentro de quadros regulatórios acrescenta uma camada adicional de responsabilização.

A Bleap cumpre estes requisitos com autocustódia segura por MPC, um cartão de débito Mastercard que podes usar em qualquer lugar onde o Mastercard seja aceite, e sem custos ocultos. É um cartão de débito que podes usar no Steam, PlayStation ou Xbox, com até 20% de cashback.

Compra, guarda e gasta cripto com segurança de nível MPC, não com risco de delay module. A Bleap oferece trading de cripto sem taxas, um Mastercard com autocustódia com 0% de taxas FX e até 20% de cashback. Sem subscrição mensal, sem superfície de exploit de smart contracts. Abre uma conta Bleap →

Perguntas Frequentes

O que foi o exploit ao Gnosis Pay e como esvaziou fundos?

O exploit centrou-se numa falha de verificação de assinatura no Delay Module do GnosisPay. O atacante explorou a forma como a função moduleTxSignedBy() do módulo analisa o calldata, usando contratos de ataque especialmente criados para personificar signatários legítimos. Após aguardar o período de espera obrigatório, o atacante executou as transações em fila, transferindo EURe e GNO das Safes das vítimas para carteiras controladas pelo atacante. As perdas totais foram estimadas em cerca de 265.000 dólares.

O Gnosis Pay é seguro de usar depois do hack?

O Gnosis Pay restaurou as operações normais do cartão para mais de 99% dos utilizadores, substituindo todas as contas Safe afetadas e ligando-as aos cartões existentes dos utilizadores. A Gnosis comprometeu-se a compensar integralmente todos os utilizadores afetados. Uma análise detalhada pós-incidente é esperada nas próximas semanas. Os utilizadores devem acompanhar os canais oficiais e avaliar se as medidas de segurança atualizadas se alinham com a sua tolerância ao risco.

O que é um Delay Module numa carteira cripto e por que razão é arriscado?

O Zodiac Delay Module foi concebido para impor um período de espera entre a aprovação e a execução de uma transação, dando tempo para detetar e bloquear atividade não autorizada. O risco é que este único componente on-chain se torna uma superfície de ataque partilhada. As Gnosis Safes foram comprometidas não através do roubo direto de chaves, mas via uma falha subtil num mecanismo de delay integrado. Se o módulo tiver um bug, todas as carteiras que o usam podem ser afetadas em simultâneo.

Como é que uma carteira MPC difere de uma carteira não custodial padrão?

Uma carteira não custodial padrão armazena 1 chave privada completa (ou seed phrase) num único dispositivo. Uma carteira MPC divide a tua chave privada em múltiplas partes cifradas, tornando-a mais segura do que as carteiras de chave única e mantendo-te em controlo total. Se um hacker comprometesse 1 fragmento, este seria inútil sem os outros. Este é o modelo que a Bleap usa no seu Mastercard com autocustódia.

Qual é a forma mais segura de usar um cartão de débito cripto?

Mantém apenas os valores de gastos carregados na tua carteira ligada ao cartão. Usa hardware wallets para armazenamento a longo prazo. Escolhe um cartão com segurança MPC ou de assinatura de limiar em vez de controlo de acesso baseado em módulos de smart contracts. Ativa alertas em tempo real e 2FA. O Mastercard com autocustódia da Bleap aplica segurança de carteira MPC com 0% de taxas FX, trading de cripto sem taxas e até 20% de cashback, sem subscrição mensal.

Quais são os principais riscos das carteiras ligadas a cartões de débito?

As carteiras ligadas a cartões de débito estão sempre "quentes", o que significa que estão ligadas à internet e expostas a risco contínuo. Módulos como o Delay Module e o Roles Module melhoram a funcionalidade, mas também introduzem vetores de ataque adicionais. As permissões de gastos delegadas criam caminhos de assinatura extra que os atacantes podem visar. O hack ao Gnosis Pay mostrou que mesmo uma funcionalidade concebida para segurança pode tornar-se uma vulnerabilidade quando está presente um bug num smart contract.

Conclusão

O hack ao Gnosis Pay de junho de 2026 expôs uma fraqueza crítica nas carteiras de smart contracts ligadas a cartões de débito. O incidente serve de aviso claro sobre as complexidades envolvidas na segurança de sistemas modulares de smart contracts. Uma única vulnerabilidade no Delay Module permitiu aos atacantes esvaziar fundos de dezenas de carteiras em simultâneo, apesar do design não custodial da plataforma.

A lição principal: a arquitetura importa. A segurança de carteiras MPC elimina os pontos únicos de falha que os exploits de delay module visam, porque nenhuma chave completa existe alguma vez num único lugar e nenhum módulo on-chain isolado pode ser utilizado como arma contra todos os utilizadores ao mesmo tempo.

Ao escolheres um cartão de pagamentos cripto, prioriza o modelo de segurança acima de tudo. O Mastercard com autocustódia da Bleap usa assinatura segura por MPC, cobra 0% de taxas FX, oferece até 20% de cashback e não exige subscrição mensal. Compra cripto sem taxas de trading, gasta-o em qualquer lugar onde o Mastercard seja aceite e mantém o controlo total dos teus fundos durante todo o tempo.

Abre uma conta Bleap →