A ponte que nunca pontou

Fevereiro 2025. Um titular em Florianópolis quer mover 48 mil USDC de Arbitrum para Solana. Ele pesquisa "USDC bridge arbitrum solana" e clica no primeiro resultado patrocinado — hypercross-bridge[.]io. A interface parece um agregador de pontes polido. Ele conecta o MetaMask, aprova gasto USDC, e submete a ponte. O site mostra "Bridging em andamento... tempo típico 5–15 minutos". O USDC sai da carteira Arbitrum. Nada chega na Solana.

Como pontes falsas convertem ativos reais em perdas

A ponte falsa coleta os ativos do usuário na chain de origem (transações reais, aprovações reais) e então (1) fica com os fundos e espera as reclamações do usuário, ou (2) roteia uma fração pequena para a carteira de destino do usuário para simular sucesso parcial antes de abandonar. Não há ponte real — só um par de carteiras que o operador controla.

As cinco regras para pontes cross-chain

  • Use só pontes auditadas, de múltiplos anos. Para USDC: CCTP da Circle (Cross-Chain Transfer Protocol). Para ativos gerais: Wormhole, Stargate, Across, deBridge — todas com anos de operação e bilhões em volume acumulado. Idade e volume reduzem o risco sem eliminá-lo — a própria Wormhole foi explorada em 2022 — e qualquer coisa mais nova ou menos estabelecida carrega riscos que o usuário não tem como avaliar.
  • Encontre pontes por páginas oficiais, não por anúncio de busca. Comece pelo portal ou pela documentação da própria chain, ou pela página do emissor do token (a da Circle, no caso do CCTP), e salve nos favoritos a ponte que acabar usando. Resultados de busca são manipulados; a documentação oficial não é uma lista perfeita, mas é um ponto de partida muito mais seguro.
  • Faça primeiro uma ponte com valor de teste. Uma transferência pequena mostra se a rota funciona, e se algo der errado você perdeu 50 USD. Isso não prova que o site é honesto: pontes falsas às vezes entregam valores pequenos para ganhar confiança, como descrito acima. O teste vem em cima da checagem da URL, nunca no lugar dela.
  • A URL é conferida caractere por caractere. stargate.finance, não stargate-bridge[.]io. across.to, não across-bridge[.]com. Resultados patrocinados para nomes de pontes são um lugar preferido dos anúncios de phishing.
  • Transações de ponte aparecem nos exploradores das duas chains. Uma ponte real gera uma transação de bloqueio ou queima (lock/burn) na chain de origem e uma de mint ou liberação na chain de destino, ambas visíveis nos block explorers dentro do prazo informado pelo protocolo. Se você não encontra a transação do lado de destino, a ponte não aconteceu.

Se a tx de origem confirmou mas a de destino nunca chega

Espere a janela máxima que o protocolo informa na própria documentação; ela varia conforme a ponte e a rota. Confira o Discord ou o suporte oficial do protocolo — pontes reais têm canais de incidentes. Se, passada a janela informada, a própria URL da ponte não responde mais, a operação foi fraude. Registre boletim de ocorrência, documente todos os hashes de transação e denuncie a URL em bases anti-phishing.

A regra dura

Fazer ponte é uma das ações de maior risco em DeFi porque o usuário tem que confiar tanto no contrato da chain de origem quanto no mecanismo de release da chain de destino. Use só protocolos onde o histórico de auditoria, o time e os anos de operação coletivamente tornam o risco compreensível.