Roubo de 387,5 milhões de dólares à Bitget eleva perdas com criptomoedas atribuídas à Coreia do Norte para mais de mil milhões

Um balanço de mil milhões de dólares e um sistema de aprovação comprometido

O roubo de 387,5 milhões de dólares à Bitget, em 24 de setembro de 2026, elevou para mais de mil milhões de dólares as perdas com criptomoedas atribuídas a piratas informáticos norte-coreanos este ano, segundo a Chainalysis. Somado aos 643 milhões de dólares atribuídos a estes agentes durante os primeiros seis meses, o ataque eleva o total para pelo menos 1,0305 mil milhões de dólares.

O ataque visou algo mais complexo do que uma palavra-passe roubada ou uma chave de carteira exposta. As investigações preliminares descrevem um intruso que obteve acesso através de produtos de segurança externos, assumiu o controlo de um servidor de processamento de carteiras e falsificou informações de aprovação. A própria infraestrutura da Bitget autorizou então transferências que pareciam legítimas.

A Chainalysis afirmou que a sua investigação de 1 de outubro seguiu XRP roubado até Bitcoin e encontrou padrões de branqueamento associados a agentes norte-coreanos. Os investigadores usaram inteligência artificial para automatizar uma tarefa de rastreio em menos de 10 minutos, em comparação com mais de 20 horas de trabalho manual. Essa rapidez não significou que todo o roubo tivesse sido resolvido ou que o dinheiro tivesse sido recuperado.

O incidente também expôs uma rede financeira que ia além dos próprios atacantes. A investigação das transações subsequentes identificou comissões recebidas por serviços de troca, diferentes respostas a fundos suspeitos e possíveis ligações a intermediários especializados em branqueamento. Estes detalhes ajudam a explicar por que razão identificar criptomoedas roubadas numa blockchain pública é apenas o início do processo de recuperação.

Várias conclusões continuam a ser preliminares. A Chainalysis atribuiu o ataque a agentes norte-coreanos, enquanto a Elliptic considerou essa ligação altamente provável. A informação pública não estabeleceu uma atribuição conclusiva ao Grupo Lazarus em particular, e não foram identificados os fornecedores de segurança cujos produtos terão alegadamente permitido o acesso.

Como o prejuízo aumentou 35,9 milhões de dólares

A Bitget estimou inicialmente o roubo em 351,6 milhões de dólares. Em 25 de setembro, aumentou o valor para 387,5 milhões de dólares, depois de identificar ativos adicionais afetados, incluindo transferências envolvendo Zcash e Tron. Segundo a plataforma, o aumento de 35,9 milhões de dólares refletiu uma contabilização adicional, não um segundo ataque.

Os totais variam ligeiramente entre as investigações. A Bitquery rastreou 386,80 milhões de dólares através de 23 transferências em nove blockchains. Um relatório técnico estimou que o total mais abrangente da Bitget foi de cerca de 388 milhões de dólares em 11 blockchains. A Chainalysis descreveu a distribuição inicial através de quatro redes principais: 49,7% foram para Ethereum, 40,8% para XRP, 7,6% para Zcash e 1,8% para Tron. Estas percentagens arredondadas totalizam 99,9%.

Os valores correspondem a âmbitos de rastreio diferentes e não devem ser tratados como inventários idênticos. O relatório técnico situou a componente de XRP em 157,8 milhões de dólares e estimou que cerca de 214 milhões vieram de carteiras que a Bitquery classificou como «quentes» (warm). As carteiras quentes (hot) e «mornas» (warm) são reservas operacionais de criptomoedas usadas para suportar transações e levantamentos, ao contrário das reservas mantidas totalmente offline.

Os relatos também divergem quanto ao momento em que a Bitget detetou o problema. Vários indicam as 18h31 UTC de 24 de setembro. Uma reconstrução detalhada identifica esse momento como o das primeiras transferências de pequeno valor e situa o alerta de reconciliação às 19h05. A distinção é importante porque o relato posterior estima que cerca de 238 milhões de dólares, aproximadamente 61% do prejuízo, saíram depois do alerta.

Uma cronologia do acesso inicial à reabertura

As conclusões preliminares atribuídas à Mandiant e à SlowMist situam a primeira atividade maliciosa registada em 31 de agosto, mais de três semanas antes do roubo. A cronologia pública distingue o acesso inicial, a movimentação dos fundos e a resposta da plataforma.

• 31 de agosto: A atividade maliciosa mais antiga registada terá explorado uma vulnerabilidade desconhecida num produto de segurança.
• 24 de setembro, 17h49 UTC: Uma ferramenta personalizada de levantamento começou a ser executada no servidor que alojava a carteira.
• 24 de setembro, 18h31 UTC: As primeiras transferências rastreadas movimentaram 93 TRX e, em seguida, 0,84 ETH.
• 24 de setembro, 19h05 UTC: A reconstrução detalhada situa neste momento o alerta de reconciliação da Bitget e as restrições aos pedidos de levantamento dos clientes.
• 24 de setembro, 21h23 UTC: A última transferência rastreada movimentou 223,20 ETH. Os serviços de levantamento da carteira, incluindo a assinatura de transações, foram encerrados às 21h44.
• 25 de setembro: A Bitget identificou a causa provável, comunicou o incidente às autoridades policiais e reviu a estimativa do prejuízo.
• 28 a 30 de setembro: Os levantamentos de Bitcoin, Ethereum e USDT foram reabertos faseadamente. Os relatórios forenses preliminares foram publicados em 30 de setembro.
• 1 de outubro: A Chainalysis publicou as suas conclusões de atribuição e rastreio. O regresso dos serviços restantes estava previsto até 2 de outubro.

O relato detalhado indica que o serviço de assinatura se manteve ativo durante duas horas e 39 minutos após o alerta das 19h05. Por isso, bloquear os pedidos normais dos clientes não interrompeu de imediato a via separada que o atacante usava para aceder ao processo de levantamento.

O atacante usou o sistema de assinatura sem roubar as chaves

A Bitget afirmou que as chaves das suas carteiras frias não foram comprometidas e que o ataque não dependeu de pedidos de levantamento de clientes falsificados. Em vez disso, o atacante terá introduzido dados falsos de autorização de transações a partir do interior da infraestrutura das carteiras. Uma chave privada é a credencial secreta que autoriza uma transferência de criptomoedas. Neste caso, a preocupação era que um serviço legítimo de assinatura pudesse ser instruído a aprovar uma transação ilegítima.

A reconstrução técnica preliminar descreve dois produtos de segurança não identificados. A atividade no primeiro terá permitido a um script oculto ler uma palavra-passe da base de dados armazenada numa variável de ambiente. Mais tarde, o atacante operou a plataforma de gestão do segundo produto com a identidade de um funcionário interno, antes de chegar a um servidor de produção de carteiras e instalar software malicioso.

A SlowMist terá recuperado uma ferramenta apagada, concebida especificamente para o sistema de levantamentos da Bitget. A ferramenta falsificava campos de controlo de risco e acionava o processo de levantamento. A ligação exata entre o acesso inicial à base de dados e a identidade usada no segundo produto continua por confirmar.

A Bitget descreveu o ponto de entrada como uma vulnerabilidade «zero-day», uma falha de software até então desconhecida. À data do relatório técnico de 2 de outubro, nenhum dos fornecedores tinha sido identificado e não estava disponível qualquer identificador público da vulnerabilidade ou aviso de segurança. A Bitget afirmou ter corrigido a falha, mas a informação pública não forneceu detalhes suficientes para que outros clientes identificassem os produtos afetados.

O produto separado Bitget Wallet, da plataforma, não foi afetado. Esse serviço usa uma infraestrutura diferente e permite aos utilizadores controlar os seus próprios ativos. Esta distinção limita o âmbito conhecido do ataque, sem reduzir o prejuízo causado às carteiras operacionais da plataforma.

O que sustenta a atribuição à Coreia do Norte

A diretora-executiva da Bitget, Gracy Chen, apontou o comportamento dos endereços de Internet e as assinaturas das transações na blockchain ao explicar a suspeita de uma ligação à Coreia do Norte. Descreveu a técnica nos seguintes termos:

consistente com técnicas utilizadas por grupos de piratas informáticos ligados à RPDC

Mais tarde, Chen descreveu a ligação como baseada em indícios preliminares. A Chainalysis atribuiu o roubo, de forma independente, a agentes norte-coreanos, enquanto a Elliptic apontou ligações a endereços de branqueamento associados a roubos anteriores, incluindo o da Bybit. A TRM Labs também considerou provável uma ligação à Coreia do Norte, segundo o relatório técnico.

Estas avaliações não equivalem a uma conclusão criminal pública. O trabalho preliminar da Mandiant não identificou qualquer atacante, e as investigações não estabeleceram publicamente que um subgrupo específico do Lazarus tenha levado a cabo a intrusão na Bitget.

Os valores anuais também devem ser interpretados com cautela. As perdas de 285 milhões de dólares do Drift Protocol, em 1 de abril, e de 292 milhões de dólares da KelpDAO, em 18 de abril, totalizam 577 milhões de dólares, cerca de 90% dos 643 milhões atribuídos a agentes norte-coreanos no primeiro semestre. Os investigadores ligaram o ataque à KelpDAO ao TraderTraitor, um grupo associado a ataques à infraestrutura que liga blockchains. Separadamente, a Elliptic contabilizou mais de 51 incidentes suspeitos de envolvimento norte-coreano em 2026, uma categoria mais abrangente do que a das perdas confirmadas.

A IA acelerou uma etapa específica do rastreio do dinheiro

A Chainalysis afirmou ter trabalhado com a Bitget e as autoridades policiais para rastrear os ativos roubados. Em cerca de três horas, os fundos passaram por 23 transferências, antes de circularem por protocolos de liquidez, serviços de mensagens, trocas instantâneas e serviços de branqueamento.

Uma tarefa central consistia em associar XRP roubado, depositado num protocolo, a Bitcoin pago noutro local. Estes serviços permitem aos utilizadores trocar ativos entre diferentes blockchains. Os investigadores têm de ligar as transações de entrada e de saída, mesmo quando envolvem ativos, endereços e registos de transações diferentes.

A Chainalysis rastreou dezenas de milhões de dólares através desse percurso ao longo de cerca de um dia e meio, até chegar a endereços de Bitcoin controlados pelo atacante. A empresa afirmou que a automatização desenvolvida com a sua IA interna reduziu a tarefa de reconciliação de mais de 20 horas para menos de 10 minutos, com investigadores humanos a orientar o trabalho e a analisar os resultados. Segundo estas estimativas, a tarefa demorou menos de um centésimo e vinte avos do tempo anterior.

Outras movimentações foram mais difíceis de acompanhar. O atacante começou a depositar fundos no conjunto protegido da Zcash, onde as funcionalidades de privacidade ocultam detalhes das transações que, de outro modo, ajudariam a ligar remetentes, destinatários e montantes. A Chainalysis afirmou que continuaria a monitorizar os endereços de destino e a partilhar informações com plataformas de câmbio e autoridades policiais.

O rastreio não permite, por si só, apreender os fundos. O Bitcoin e o ether não têm uma entidade emissora central capaz de congelar um saldo. A recuperação exige, em geral, a cooperação de uma plataforma, um emissor com poderes de congelamento ou a obtenção de controlo sobre os ativos pelas autoridades.

Serviços de troca divergiram sobre a intervenção

A NEAR Intents afirmou que o seu sistema SHIELD bloqueou mais de 50 milhões de dólares em transferências tentadas associadas ao ataque e congelou cerca de 503 mil dólares durante a execução. O diretor-geral, Alex Shevchenko, afirmou que cerca de 166 mil dólares passaram pelo sistema antes de os fluxos suspeitos serem travados.

A THORChain continuou a processar trocas e rejeitou o pedido da Bitget para uma intervenção seletiva. O protocolo distinguiu a suspensão de emergência da rede, destinada a proteger as suas próprias operações, do bloqueio de endereços ou transações individuais. Invocou o seu próprio ataque, em maio, que causou perdas de 10,7 milhões de dólares, afirmando que os atacantes também não tinham sido posteriormente impedidos de realizar trocas.

Uma análise da BlockSec de 29 de setembro estimou cerca de 269 milhões de dólares em fluxos relacionados com a Bitget ao longo de 7804 transações da THORChain. Trata-se de volume processado, não necessariamente de um valor distinto de fundos roubados: os mesmos fundos podem ser contabilizados mais do que uma vez à medida que passam pelo serviço.

As estimativas dos congelamentos também diferem. Um relato apontou para congelamentos combinados de stablecoins pela Circle e pela Tether de cerca de 318 mil dólares. Uma estimativa técnica mais abrangente, de 1 de outubro, situou os congelamentos envolvendo esses emissores e a NEAR Intents em cerca de 1,1 milhões de dólares. Os valores correspondem a datas e âmbitos diferentes e não devem ser somados como recuperações separadas.

As transações de branqueamento geraram comissões e um aumento da atividade de negociação

O investigador independente Andrey Sergeenkov calculou 761 725 dólares em comissões de serviços e protocolos com base nas transações analisadas até às 10h22 UTC de 2 de outubro. A sua decomposição atribuiu 573 226 dólares aos fornecedores de liquidez da THORChain, 149 417 dólares à MetaMask, 26 751 dólares à Chainflip e 12 332 dólares à CoW EthFlow.

Identificou ainda, em separado, 259 718 dólares em comissões de afiliados da THORChain pagas a sete endereços com ligações financeiras adicionais a carteiras envolvidas nas trocas. Outros 206 196 dólares foram pagos a destinatários para os quais não conseguiu estabelecer essas ligações adicionais. Estas categorias de afiliados são valores analíticos distintos, não montantes recuperados.

Ser identificado como destinatário de comissões não prova que se seja proprietário dos fundos do atacante. Sergeenkov rastreou parte das receitas do maior destinatário com ligações, que recebeu 177 499 dólares, até USDT e, por fim, a um endereço identificado como OKX Hot Wallet 5. Este percurso não permite determinar a identidade do cliente da plataforma nem a sua participação no roubo.

A THORChain registou 3,01 milhões de dólares em receitas do sistema em setembro e 2,40 mil milhões de dólares em volume de trocas. Entre 25 e 29 de setembro, processou cerca de 1,37 mil milhões de dólares, 57% do volume mensal, e gerou aproximadamente 1,9 milhões de dólares, 63% das receitas mensais. Estes totais do período incluem atividade para além dos fundos roubados identificados.

O comunicado do protocolo descreveu o momento do aumento da atividade:

Entre 25 e 29 de setembro, o volume diário oscilou entre cerca de 190 e 460 milhões de dólares, à medida que fundos ligados ao ataque à Bitget circulavam pela rede.

O número de carteiras ativas aumentou de 23 500 em agosto para 25 000 em setembro, cerca de 6,4%. Este crescimento modesto contrastou com a subida do volume de trocas, de 613 milhões para 2,40 mil milhões de dólares. Os valores apontam para transações de grande dimensão concentradas, e não para uma expansão comparável do número de utilizadores.

Os intermediários podem pagar aos atacantes antes de os fundos desaparecerem

As investigações sobre o roubo à Bybit, em 21 de fevereiro de 2025, ilustram por que razão os fundos roubados que continuam visíveis podem já não representar dinheiro ainda controlado pelos piratas informáticos originais. O FBI atribuiu esse ataque, de aproximadamente 1,5 mil milhões de dólares, a agentes do TraderTraitor ligados à Coreia do Norte. Os investigadores suspeitam que intermediários especializados aceitaram os ativos roubados, pagaram aos atacantes o respetivo valor deduzido de comissões e assumiram o risco do branqueamento posterior.

A empresa de segurança zeroShadow estimou que mais de mil milhões de dólares roubados à Bybit foram branqueados entre fevereiro e junho de 2025. Isso não demonstra que o montante total tenha sido convertido em moeda convencional ou corresponda aos ganhos líquidos dos atacantes. A Chainalysis também descreveu dezenas de milhões de dólares provenientes da Bybit e da WazirX a passar pela rede de fornecedores da Xinbi, onde os intermediários terão trocado ativos rastreáveis por stablecoins provenientes de outras atividades criminosas.

Numa revelação de 5 de outubro, o investigador pseudónimo ZachXBT afirmou ter disponibilizado 349 700 dólares em stablecoins e aceitado uma perda de 5% por ordem, fazendo-se passar por cliente. Disse que um operador chamado Jimmy Green ajudou a revelar um grupo com mais de 12 milhões de dólares em fundos relacionados com a Bybit, tendo a Tether congelado posteriormente 442 000 USDT.

ZachXBT alegou que a rede operava em Hong Kong e na China continental e que branqueou mais de mil milhões de dólares para o Lazarus. A dimensão da rede e a identidade do operador não foram confirmadas de forma independente através de acusações públicas. Alegou ainda que agentes chineses que movimentavam fundos da Bitget procuraram ajuda em grupos públicos do Discord e do Telegram, e que um dos operadores tinha movimentado fundos provenientes do ataque à KelpDAO.

O apoio financeiro da Bitget e os limites da recuperação

A Bitget afirmou que o seu Fundo de Proteção dos Utilizadores ultrapassava os 464 milhões de dólares antes do ataque e cobriria as perdas dos clientes. O roubo de 387,5 milhões de dólares equivale a cerca de 83,5% de uma reserva de 464 milhões. Esta comparação mede o encargo potencial, não comprova como foi paga a compensação nem quais os ativos que a financiaram.

Em 28 de setembro, a plataforma comprometeu-se a repor o fundo para pelo menos 300 milhões de dólares no prazo de uma semana. Anunciou que o objetivo foi cumprido em 30 de setembro. Ofereceu também recompensas de até 5% pelos fundos congelados ou recuperados com sucesso, estabeleceu parcerias com a Mandiant e a SlowMist e lançou um painel de acompanhamento de carteiras.

Segundo a Bitget, as negociações e os depósitos mantiveram-se disponíveis durante a suspensão dos levantamentos. Os levantamentos de Bitcoin foram retomados em 28 de setembro, os de Ethereum em 29 de setembro e os de USDT em 30 de setembro. A plataforma afirmou que não houve perdas adicionais durante a suspensão. O seu token BGB caiu quase 7%, para 1,93 dólares, antes de recuperar para 1,97 dólares, segundo o retrato da negociação divulgado.

O âmbito do prejuízo total de setembro também foi contestado. A PeckShield contabilizou 55 ataques, num total de 766,5 milhões de dólares, enquanto a CertiK contabilizou 97 incidentes, num total de 768,4 milhões de dólares. A Bitget representou cerca de metade de qualquer um dos totais. Os relatos situaram as perdas separadas da Liquid Network entre 319 e 320 milhões de dólares, dos quais terão sido devolvidos mais de 270 milhões. Outro incidente noticiado, envolvendo a Coldcard, terá causado perdas de cerca de 116 milhões de dólares em julho.

Os esforços de aplicação da lei vão além dos roubos a plataformas de câmbio. O Departamento do Tesouro dos EUA sancionou oito pessoas e duas entidades acusadas de branquearem receitas de cibercrime e de trabalhadores informáticos no estrangeiro. As acusações incluíam banqueiros que terão movimentado pelo menos 5,3 milhões de dólares através do First Credit Bank e ocultado fundos através de intermediários na China e na Rússia. Ações separadas do Departamento de Justiça envolveram 7,7 milhões de dólares ligados a alegadas fraudes de trabalhadores informáticos e mais de 15 milhões associados a quatro roubos atribuídos ao APT38.

Estas ações mostram por que razão o congelamento, a apreensão e a restituição são etapas distintas. O montante ainda por recuperar pela Bitget, a identidade dos fornecedores vulneráveis e um relatório técnico final continuam por esclarecer. Não foi anunciada qualquer data concreta para a conclusão da investigação ou a devolução dos ativos roubados.

Pontos-chave

• O valor revisto de 387,5 milhões de dólares em perdas da Bitget eleva para pelo menos 1,0305 mil milhões de dólares o total declarado de roubos com criptomoedas relacionados com a Coreia do Norte em 2026.
• As conclusões preliminares apontam para dados de aprovação falsificados, e não para chaves privadas roubadas, como mecanismo que permitiu os levantamentos.
• A Chainalysis atribuiu o ataque a agentes norte-coreanos; uma atribuição específica ao Lazarus não foi confirmada publicamente.
• A IA reduziu uma tarefa de rastreio de fundos para menos de 10 minutos, mas o rastreio não recuperou os ativos.
• Os serviços de troca divergiram quanto à intervenção, enquanto as transações de branqueamento analisadas geraram comissões substanciais.
• A Bitget anunciou que repôs o fundo de proteção para pelo menos 300 milhões de dólares e reabriu os levantamentos faseadamente.
• O total final recuperado e a identidade dos fornecedores de segurança afetados continuam por apurar.