Corretora não é carteira. Entenda o roubo de criptomoedas que ocorreu na Bybit em 21 de fevereiro de 2025

Este artigo visa apresentar ao leitor e investidor de criptomoedas a importância de priorizar a segurança ao lidar com criptoativos. É importante lembrar que nenhum sistema eletrônico é 100% seguro, visto que falhas podem ocorrer tanto no nível de hardware quanto de software, e, na maioria das vezes, por erro humano. Continue lendo para entender o caso que ocorreu no dia 21 de fevereiro de 2025, onde aproximadamente 1,46 bilhão de dólares foram roubados da corretora Bybit.

Contextos

Em 21 de fevereiro de 2025, aproximadamente 1,46 bilhão de dólares foram roubados da Bybit. De acordo com informações divulgadas na internet, sugere-se que, através de um erro humano e de um vírus malware, foi possível aprovar transações da corretora para um contrato inteligente na rede Ethereum e, posteriormente, enviar esses fundos para a carteira do hacker.

Este foi, de longe, o maior roubo de criptomoedas de todos os tempos, superando os 611 milhões de dólares roubados da Poly Network no ano de 2021 e muitos outros ataques hackers.

Poly Network: Agosto de 2021

Em agosto de 2021, um único hacker explorou uma vulnerabilidade na plataforma de finanças descentralizadas da rede Poly e fugiu com aproximadamente 600 milhões de dólares. Os desenvolvedores do projeto solicitaram e expuseram o problema na antiga rede social Twitter, hoje conhecida como X, pelos seus recursos roubados, que incluíam 33 milhões de dólares na stablecoin USDT. A rede blockchain Poly criou vários endereços e, após alguns dias, cerca de 300 milhões de dólares roubados foram devolvidos pelo hacker. Segundo o próprio hacker, ele tinha feito aquilo por diversão e para desafiar a si mesmo.

Binance BSC Token Bridge: Outubro de 2022

Um dos ataques hackers que gerou grande repercussão no mundo das criptomoedas. Um hacker encontrou uma falha no código do contrato inteligente do token BSC da Binance, o que permitiu a ele sacar mais de 2 milhões de tokens BNB extras, além de 570 milhões em outras criptomoedas.

Ronin Network: Março de 2022

Um dos ataques mais conhecidos ocorreu em março de 2022, quando um grupo de hackers conhecido como Lazarus Group, situado na Coreia do Norte, teve como alvo a rede blockchain que suportava a plataforma de jogos Axie Infinity. Os hackers violaram a rede Ronin e conseguiram sacar mais de 625 milhões de dólares em criptomoedas, como Ethereum e a stablecoin USDC.

Coincheck: Janeiro de 2018

Em janeiro de 2018, a corretora japonesa Coincheck sofreu um ataque que confiscou quase 523 milhões de moedas NEM. Uma vulnerabilidade foi explorada em uma carteira que estava ativamente conectada à internet. A corretora, após o ataque, continuou operando e, depois de alguns meses, foi comprada por outra empresa japonesa.

FTX: Novembro de 2022

Em novembro de 2022, a corretora FTX, uma grande corretora da indústria de criptomoedas, declarou falência. Naquele dia, quando entrou com o pedido de falência, mais de 477 milhões de dólares foram roubados das carteiras hospedadas na corretora. Muitos usuários da corretora FTX reportaram saldo zero em suas carteiras digitais.

A corretora utilizou seu canal no Telegram para informar que:

“A FTX foi hackeada. Os aplicativos da FTX foram contaminados por um vírus do tipo malware. Delete todos os aplicativos e não acesse o site da FTX, pois ele pode baixar vírus do tipo Trojan.”

Alguns dizem que os hackers obtiveram acesso através de um funcionário da empresa FTX e, através da conta de usuário desse funcionário, conseguiram desviar milhões de dólares. Você acredita nisso? É tudo culpa desses hackers.

MT.Gox: Fevereiro de 2014

O primeiro grande ataque hacker ocorreu em 2011, quando a corretora Mt. Gox perdeu cerca de 25.000 bitcoins, que estavam avaliados em quase 400 mil dólares. Naquela época, a corretora era responsável por operar quase 70% das transações de Bitcoin.

Em 2014, a corretora sofreu um novo ataque. Ela perdeu quase 650 mil dólares de seus clientes em bitcoins e outros 100 mil deles mesmos. No total, o prejuízo contabilizado desses sucessivos ataques chegou a aproximadamente 473 milhões de dólares. Na época, os clientes moveram vários processos contra a corretora, alegando que a empresa não utilizava padrões de segurança no desenvolvimento do site, viabilizando a inserção de código malicioso por qualquer hacker, tornando o sistema completamente vulnerável.

O uso de hackers na guerra.

Após este contexto, pode-se entender que a maioria dos ataques às corretoras ocorre por grupos hackers que exploram falhas de segurança nos softwares das empresas, nas redes de tokens e nas carteiras utilizadas por essas corretoras para armazenar os tokens dos clientes.

Muitos desses hackers possuem motivações próprias, e outros são utilizados na guerra cibernética, como foi o caso da Bybit. Esse ataque hacker foi amplamente ligado ao grupo hacker da Coreia do Norte, que vem realizando diversos ataques desde 2017. De acordo com notícias do FBI, esse grupo está sendo utilizado para adquirir recursos para a Coreia do Norte empregá-los no programa de mísseis balísticos do país.

O problema é que as finalidades e os propósitos desses ataques são completamente obscuros e, verdade ou não o que foi dito pelo FBI, já é possível entender que os ataques hackers são mais comuns do que imaginamos e que nenhum sistema está seguro e salvo quando falamos de criptomoedas.

Nesse mercado, não temos segurança jurídica ou alguma ferramenta governamental como o FGC (Fundo Garantidor de Créditos), que protege o investidor em caso de falência ou ataque hacker a qualquer instituição financeira. O mercado de criptomoedas, atualmente, não é regulado e, às vezes, penso que não deva ser, dado que a natureza das criptomoedas é ser descentralizada, sem um governo central dando diretrizes, fiscalizando e vigiando.

O fato é que, como investidores, devemos cuidar dos nossos próprios interesses e não devemos delegar responsabilidades a terceiros nesse mundo.

Modus operandi.

Voltando ao foco principal deste artigo, é preciso entender todo o processo executado pelo grupo hacker da Coreia do Norte. Durante as últimas décadas, eles aprimoraram suas técnicas e hoje têm uma grande capacidade de realizar ataques às corretoras, bem como de lavar os recursos adquiridos. Sim, estamos falando de lavagem de dinheiro.

O processo de lavagem de dinheiro da Coreia do Norte possui uma série de etapas executadas em cascata. Geralmente, um atacante age em grupo, e cada um realiza sua tarefa de modo sequencial, como em uma fábrica de automóveis, garantindo a execução perfeita de cada etapa.

O primeiro passo: Conversão de tokens

O primeiro passo que eles têm realizado é converter qualquer token roubado para um token nativo de uma blockchain nativa. Geralmente, alguns tokens podem ser marcados e, quando saem da carteira, ela é automaticamente marcada como fonte de ativos roubados. Isso não ocorre com tokens nativos do Ethereum e Bitcoin.

Foi exatamente o que ocorreu no ataque hacker da Bybit. Centenas de milhões de dólares em tokens como stEth e cmETH foram trocados por ETH em corretoras descentralizadas, evitando a marcação de carteiras quando transferidos para corretoras centralizadas.

Segundo passo: Colocar os tokens em camadas

Um ponto importante da blockchain é que ela possui um encadeamento das transações, permitindo rastrear a origem e o destino. Isso gera transparência para a blockchain; o ponto negativo, do ponto de vista dos atacantes, é que as transações de ativos roubados são facilmente rastreáveis. A tática de colocar esses tokens em camadas complica o processo de rastreamento, dando aos atacantes e ao processo de lavagem de dinheiro tempo para que consigam sacar o dinheiro na etapa final.

Esse processo de camadas pode ocorrer de várias maneiras:

• Enviando os ativos roubados de várias origens diferentes (várias carteiras diferentes).
• Depois disso, os ativos são movidos para outras blockchains (Ethereum para Solana, Solana para Cardano, Cardano para XRP, XRP para outras), usando várias corretoras diferentes.
• Na execução anterior, as criptomoedas são convertidas, utilizando corretoras descentralizadas, serviços de coinswap ou corretoras centralizadas.
• Utilizam-se de mixers como Tornado Cash ou CryptoMixer.

Todo esse processo pode ocorrer em vários dias, pois o valor e a quantidade de carteiras podem ser grandes demais para serem transformados em um curto período.

Terceiro passo: Final

Após cumprir toda a etapa anterior, é preciso encontrar e solicitar a uma corretora centralizada que facilite o saque. Logicamente, um acordo é feito antes da etapa 1, visto que a corretora vai receber milhares ou milhões em taxas pelas conversões e saques. No caso desse ataque da Bybit, a corretora escolhida foi a eXch, muito conhecida por investidores por não exigir KYC.

A ByBit realizou pedidos diretos através da rede social X a eXch para não aceitar o saque destes tokens roubados. Segue a resposta da eXch para a ByBit.

Olá, dado os ataques diretos a reputação da nossa exchange pela ByBit no ano passado, é dificil para nós entender ou atender a expectativa de colabaração agora. Especialmente, nos temos notado que depositos vindos de endereços da nossa corretora, eXch, estão sendo etiquetados como “alto risco” resultando em congelamento destes fundos causando sofrimento significante entre nossos investidores. Apesar de que nossos esforços em comunicar estes problemas para seu time, nós não tivemos nenhuma ou qualquer resposta. Voces podem procurar nossas publicações passadas sobre este assunto realtivo a ByBit nos seguintes artigos em nossa “thread” em nosso forum oficial BitcoinTalk; ….segue alguns links….A luz dessas circustâncias, nós apreciariamos uma clara explicação sobre o motivo pelo qual deveríamos considerar fornecer assistência a uma organização que prejudicou ativamente nossa reputação. Aguardamos sua resposta

Conforme o usuário @langeriuseth da rede social X disse temos:

5000 ETH roubados no hack da Bybit estão supostamente sendo lavados através do eXch (um mixer centralizado) e convertidos para Bitcoin via Chainflip. Em resposta, a Bybit solicitou que a eXch bloqueasse os fundos e rastreasse sua movimentação. No entanto, a eXch tornou essa solicitação pública e se recusou a cooperar. Há duas opiniões conflitantes sobre isso: 1 - Uma plataforma que permite a lavagem de fundos de um dos maiores hacks da história é uma vergonha para a indústria. Os reguladores intervirão em breve, e todas as plataformas devem bloquear quaisquer fundos vindos da eXch. Se alguém estiver usando a eXch, deve retirar seus ativos imediatamente; 2 - Este incidente não é um hack, mas uma falha de engenharia social. A Bybit deve arcar com o custo de sua própria falha de segurança. O fato de um membro da equipe que assina uma transação com várias assinaturas ter sido vítima de phishing é um erro operacional da Bybit. A postura da eXch é uma resposta à campanha FUD de anos da Bybit contra eles e, portanto, eles podem se recusar a ajudar.

Após várias conversões, o grupo hacker finalmente converteu os ETH roubados para Bitcoin e refez a etapa 2, passando esses Bitcoins por novos Crypto Mixers para ofuscar ainda mais a origem das transações e enviando-os para a Wasabi Wallet. Basicamente, o funcionamento desses Crypto Mixers é feito da seguinte maneira: o Bitcoin dos investidores é colocado em um pool controlado pelo operador do mixer. Os investidores retiram os Bitcoins com uma fonte diferente de fundos (menos a taxa do operador do mixer). Já a Wasabi Wallet opera de forma diferente. Por ser uma carteira de alta privacidade, ela não é considerada um mixer, mas recebe os Bitcoins de um mixer, junta essas transações e transforma em um único endereço, ocultando ainda mais a origem do dinheiro.

Proteja-se corretora não é carteira.

Explicado todo o modus operandi de um ataque hacker, neste final de artigo, o leitor pode ter adquirido um grande conhecimento. Aconselhamos fortemente o leitor a entender a importância de não deixar suas criptomoedas hospedadas em carteiras de corretoras. Veja que elas podem ser alvo de hackers ou, por causa de uma simples falta de atenção, todos os seus recursos podem ser comprometidos em poucos segundos. No caso da Bybit, por admitir sua falha, ela comprou ETH no mercado e devolveu cada centavo para seus usuários, indicando certa credibilidade.

Idealmente, e necessariamente, retire suas criptomoedas e faça a autocustódia de seus ativos. Deixe somente o necessário na corretora, aquilo que você for operar, e guarde o restante em sua posse. Lembre-se, você é responsável pelo seu dinheiro.