definição de negação de serviço distribuída (DDoS)

O que é um ataque Distributed Denial-of-Service (DDoS)?

Um ataque Distributed Denial-of-Service (DDoS) consiste em sobrecarregar um serviço com um volume massivo e distribuído de tráfego, levando ao seu colapso e impedindo o acesso a utilizadores legítimos. É como se milhares de carros congestionassem uma autoestrada — não por avaria, mas porque a via fica bloqueada pelo excesso de tráfego.

Este fluxo excessivo de tráfego tem origem, habitualmente, numa botnet — uma vasta rede de computadores ou dispositivos IoT infetados por malware e controlados remotamente para executarem pedidos coordenados. Os alvos incluem websites de exchanges, APIs de dados de mercado/negociação, nós RPC de blockchain e até ligações peer-to-peer (P2P) de validadores.

Em que difere um ataque DDoS de um ataque DoS?

A diferença fundamental reside na escala e dispersão: um ataque DDoS é lançado a partir de múltiplas fontes em simultâneo, enquanto um ataque Denial-of-Service (DoS) convencional parte, geralmente, de uma única origem. Os ataques DDoS são muito mais difíceis de bloquear e rastrear, já que o tráfego malicioso se distribui globalmente, como se inúmeras torneiras fossem abertas ao mesmo tempo.

No caso de um ataque DoS, por vezes basta bloquear um endereço IP para o mitigar. Já um ataque DDoS exige filtragem a montante e desvio de tráfego junto aos pontos de entrada da rede, em conjugação com limitação de taxa ao nível da aplicação e estratégias de degradação controlada.

Como funciona um ataque DDoS?

Os ataques DDoS enquadram-se, normalmente, em duas categorias principais:

• Network Layer Floods: Estes ataques saturam a largura de banda e os recursos de ligação com pacotes em massa. Exemplos: SYN floods ou UDP floods, que envolvem enormes volumes de pacotes sem executar lógica de negócio. Existe ainda a “reflection amplification”, na qual os atacantes falsificam o endereço IP da vítima e enviam pedidos a vários serviços abertos (como DNS ou NTP). Estes serviços devolvem depois tráfego amplificado à vítima — como quem recorre a megafones emprestados para gritar ao alvo.

• Application Layer Exhaustion: Estes ataques simulam utilizadores legítimos a fazer pedidos complexos para esgotar CPU ou ligações à base de dados. Exemplos comuns: HTTP floods ou abuso de WebSocket. Em Web3, endpoints para subscrições de dados de mercado ou colocação de ordens são frequentemente alvos preferenciais. Quando o tráfego de ataque imita de perto o comportamento real dos utilizadores, pode iludir a filtragem ao nível de rede e consumir diretamente threads de aplicação, cache e pools de ligação à base de dados.

Alvos de ataques DDoS em cenários Web3

No universo Web3, os ataques DDoS concentram-se em pontos de entrada críticos, como websites de exchanges e APIs de negociação/dados de mercado, nós RPC de blockchain, portas P2P de nós completos, cross-chain bridges e block explorers.

Por exemplo, numa exchange como a Gate, ataques DDoS às APIs de spot e derivados podem originar lentidão no carregamento de páginas, interrupções nos feeds de velas e livro de ordens, timeouts ao colocar ou cancelar ordens e limites de taxa mais apertados, com mais códigos de erro para utilizadores de API. Ao nível RPC, ataques a nós públicos podem provocar timeouts em consultas de blocos/contas, falhas na atualização de saldos de carteiras e chamadas de smart contracts mais lentas.

Para nós validadores, sondagens P2P excessivas podem perturbar a propagação de blocos e comprometer a produção e estabilidade de sincronização. Se bridges cross-chain expuserem interfaces públicas, serviços de assinatura ou prova off-chain podem tornar-se inacessíveis sob ataque.

Como identificar sintomas e indicadores de logs de ataques DDoS

Um sinal claro é a “degradação súbita do desempenho sem correspondência nas métricas de negócio”: picos de latência, aumento de timeouts e erros 5xx, bem como picos de tráfego sem crescimento correspondente em conversões ou transações.

Na rede, pode observar-se utilização anómala de largura de banda nos pontos de entrada, saturação de filas SYN e diversificação geográfica súbita dos IPs de origem. Ao nível da aplicação, procure QPS (queries per second) irregulares, aumento da latência p95, esgotamento de pools de ligação à base de dados, diminuição da taxa de acerto de cache e picos súbitos em sessões WebSocket.

Nos logs, surgem padrões como User-Agent strings repetitivas ou malformadas, picos de pedidos sem header Referrer, IPs únicos a acederem a muitos URLs diferentes num curto espaço de tempo ou ataques a endpoints dinâmicos em vez de recursos estáticos. Em serviços de nós e RPC, são comuns chamadas contratuais homogéneas ou consultas de baixo valor a alta frequência.

Resposta de emergência a ataques DDoS

1. Acionar filtragem a montante e limitação de taxa: Se necessário, “blackhole” temporariamente os IPs de destino mais visados ou reencaminhe-os por centros de limpeza, protegendo bases de dados e motores de matching nucleares contra sobrecarga.

2. Ativar degradação de serviço e modos read-only: As exchanges devem priorizar motores de matching e segurança dos ativos, reduzindo funções não críticas — como carregamento diferido de gráficos, pausa de APIs batch desnecessárias ou redução das janelas históricas de velas.

3. Mudar rapidamente para Anycast ou domínios de reserva: O Anycast permite atribuir o mesmo IP a várias localizações no mundo, permitindo aos utilizadores ligarem-se ao nó mais próximo e distribuindo naturalmente o tráfego. Os domínios de reserva isolam pontos de entrada sob ataque intenso.

4. Reforçar desafios e autenticação ao nível da aplicação: Adicione CAPTCHAs a endpoints anónimos; implemente limites de taxa do tipo token bucket e controlos de pico mais granulares em chaves API; imponha verificações de assinatura ou utilize caches pré-aquecidos para pedidos de custo elevado.

5. Coordenar com ISPs e fornecedores de segurança: Ajuste dinamicamente limiares e padrões de filtragem, mantendo a observabilidade — assegure que métricas, logs e alertas essenciais permanecem eficazes.

6. Comunicar atualizações de estado e alertas de risco aos utilizadores: Por exemplo, a página de estado da Gate pode informar sobre o impacto e os tempos estimados de recuperação. Recomende aos utilizadores que definam parâmetros de proteção de preço e risco ao colocar ordens, prevenindo erros durante períodos de instabilidade de rede.

Estratégia de defesa DDoS a longo prazo e considerações de custo

A defesa a longo prazo exige uma abordagem integrada — combinando desvio, absorção, filtragem e degradação do tráfego. Ao nível da rede, implemente redundância de largura de banda elevada e centros de limpeza nos pontos de entrada. Combine Anycast com Content Delivery Networks (CDN) para absorver picos de tráfego junto dos utilizadores; encerre portas de reflexão desnecessárias ou implemente controlos de acesso em serviços suscetíveis de amplificação.

Ao nível da aplicação, utilize caching multi-nível e separação de leitura/escrita; transforme ou pré-calcule endpoints de acesso intensivo; recorra a Web Application Firewalls (WAF) para detetar comportamentos anómalos; aplique limites de taxa do tipo token bucket em APIs, com níveis de QPS por utilizador e controlo de bursts; disponibilize gateways privados, whitelisting e quotas por origem para endpoints RPC.

Do ponto de vista de engenharia e organização: estabeleça exercícios e playbooks de resposta que clarifiquem quem aciona que medidas em cada circunstância; foque a monitorização em SLOs (Service Level Objectives) críticos como disponibilidade, latência p95 e taxas de erro; avalie os benefícios marginais de reservas de largura de banda, serviços de limpeza e redundância computacional em função dos picos de negócio e da exposição ao risco.

Principais conclusões & dicas de segurança para ataques DDoS

Os ataques DDoS não roubam ativos diretamente, mas desestabilizam a negociação e as consultas — amplificando a slippage, causando erros operacionais e aumentando o risco de latência. Para builders, é fundamental conceber defesas em camadas de forma preventiva e estabelecer procedimentos de emergência céleres que cubram tanto a rede como a aplicação. Para utilizadores: perante acessos anómalos, consulte as páginas de estado oficiais, utilize apenas portais de confiança como a Gate, defina parâmetros de limite/risco ao negociar e evite transações volumosas ou com elevada alavancagem durante períodos de instabilidade. Relatórios do setor indicam que ataques DDoS de elevado volume e de camada de aplicação continuam a crescer em 2024 — com volumes máximos a atingir níveis de Tbps (fontes: relatórios anuais e trimestrais da Cloudflare, Akamai). A preparação e treino proativos são quase sempre mais rentáveis do que a recuperação após incidente.

FAQ

Porque se chama “Distributed” Denial-of-Service? Um único computador não pode lançar um ataque?

O termo “distributed” refere-se ao facto de o ataque partir de milhares de dispositivos comprometidos, e não de apenas um. O tráfego de um único computador é limitado e facilmente bloqueado por firewalls. Mas, quando o tráfego malicioso se distribui globalmente por muitas máquinas, não basta bloquear um endereço IP. Esta dispersão aumenta significativamente a taxa de sucesso e a furtividade do ataque.

O que acontece se a minha carteira ou conta for alvo de um ataque DDoS?

Uma carteira ou conta não é normalmente comprometida por ataques DDoS (os fundos não são roubados diretamente), mas exchanges ou plataformas de carteiras podem ficar offline — impedindo a negociação ou o levantamento de ativos. Atrasos severos durante um ataque podem causar slippage ou falhas em transações. Em certos casos, os atacantes podem explorar essa janela para outras ações maliciosas. É aconselhável usar plataformas bem protegidas (como a Gate) com autenticação de dois fatores ativada.

Quanto tempo duram habitualmente os ataques DDoS? Quando será restabelecido o serviço?

A duração de um ataque DDoS pode ir de minutos a horas, ou até dias — dependendo dos objetivos dos atacantes e da capacidade de resposta dos defensores. Ataques de média escala são, por norma, mitigados em 30 minutos a 2 horas; ataques de grande escala podem exigir várias horas para recuperação total. Proteção profissional por CDN e equipas de resposta a incidentes reduzem significativamente os tempos de indisponibilidade.

Porque lançam os hackers ataques DDoS? Quais são as suas motivações?

Os hackers lançam ataques DDoS por vários motivos — extorsão (exigência de resgates), sabotagem por concorrentes, agendas políticas ou simples diversão. No setor cripto, podem visar impedir o lançamento de uma exchange ou projeto, ou explorar tempos de inatividade para outras atividades ilícitas. Compreender estas motivações permite ajustar as estratégias de defesa de forma mais eficaz.

O que podem os utilizadores comuns fazer para se protegerem do impacto de ataques DDoS?

Embora os ataques DDoS visem sobretudo plataformas, pode adotar precauções: escolha exchanges com infraestrutura de proteção robusta (como a Gate), evite grandes transações durante períodos de instabilidade, ative a autenticação multi-fator, monitorize regularmente a sua conta para atividade suspeita — e diversifique os seus ativos por várias plataformas, reduzindo a exposição global ao risco.