O Maior Roubo de Criptomoedas da História: O Que Aconteceu na Bybit?
A 21 de fevereiro de 2025, o mundo foi testemunha do maior roubo de criptomoedas alguma vez registado. Quase 1,5 mil milhões de dólares em ativos digitais desapareceram da Bybit, uma exchange de criptomoedas com sede em Dubai, num único e devastador ataque. A escala e a sofisticação do ataque abalaram o sistema financeiro global, expondo não apenas as vulnerabilidades dos mercados de criptomoedas em rápida expansão da Ásia, mas também o alarmante alcance dos operadores cibernéticos patrocinados pelo Estado da Coreia do Norte.
Índice
- O Maior Roubo de Criptomoedas da História: O Que Aconteceu na Bybit?
- Como Se Desenvolveu o Ataque?
- Consequências Imediatas e Resposta do Setor
- Quem Estava Por Trás do Ataque? O Grupo Lazarus da Coreia do Norte e o TraderTraitor
- Dentro do Playbook do Grupo Lazarus
- Como Lavou a Coreia do Norte as Criptomoedas Roubadas?
- Finanças Descentralizadas: Uma Faca de Dois Gumes
- Porque é Que a Coreia do Norte Ataca Criptomoedas — e Quais as Implicações Globais?
- O Fator Humano: Engenharia Social e Vulnerabilidades Cloud
- O Ecossistema de Criptomoedas da Ásia: Uma Falha Estrutural?
- Resposta do Setor e Regulamentar
- O Exército Cibernético da Coreia do Norte: Uma Ameaça Crescente
- Ataques Anteriores de Grande Visibilidade
- Desafios para as Forças da Ordem e o Caminho a Seguir
- Lições Regulamentares e de Segurança
- Em Resumo
A Bybit, uma das maiores exchanges de criptomoedas do mundo, com mais de 60 milhões de utilizadores, encontrou-se no epicentro de uma nova era do cibercrime. O ataque representou quase 70% de todos os ativos digitais roubados a nível global no primeiro semestre de 2025, segundo a empresa de análise blockchain Chainalysis. O evento evidenciou as rachaduras crescentes no ecossistema digital e sinalizou uma escalada perigosa nas táticas e ambições dos hackers norte-coreanos.
Como Se Desenvolveu o Ataque?
A violação começou com uma transação aparentemente rotineira. Ben Zhou, CEO da Bybit, aprovou o que parecia ser uma transferência standard de Ether (ETH), uma criptomoeda popular, entre contas da empresa. Sem que ele soubesse, os hackers já tinham comprometido a interface de software que a Bybit utilizava para gerir estas transações. Em minutos, os atacantes obtiveram o controlo de uma carteira que continha 401.000 ETH — avaliados em 1,5 mil milhões de dólares na época — e transferiram os fundos para endereços sob o seu controlo.
As investigações revelaram que os hackers exploraram uma vulnerabilidade num produto de software livre chamado Safe, do qual a Bybit dependia para armazenar e gerir ativos digitais. Ao manipular a interface de utilizador do Safe e injetar código malicioso, os atacantes enganaram a Bybit para que aprovasse a transação fraudulenta. A violação não foi apenas uma falha técnica, mas também um lembrete dos riscos representados pelas dependências de software de terceiros no setor das finanças digitais.
Consequências Imediatas e Resposta do Setor
O impacto foi imediato e severo. Os mercados de criptomoedas despenharam-se, com o Bitcoin a cair 20% face aos máximos de janeiro. A confiança no setor vacilou, sobretudo porque o ataque ocorreu num momento em que os decisores políticos nos Estados Unidos e noutros países debatiam novas regulamentações para incentivar a adoção mainstream de ativos digitais.
A Bybit respondeu assegurando aos clientes que os seus fundos seriam cobertos e lançou um programa de recompensa de recuperação, oferecendo até 10% de quaisquer ativos recuperados a quem pudesse ajudar a rastrear e congelar as criptomoedas roubadas. Em poucas semanas, mais de 40 milhões de dólares em fundos roubados tinham sido identificados e congelados, e foram pagos mais de 4 milhões de dólares em recompensas aos colaboradores. No entanto, os especialistas alertaram que a maioria dos ativos roubados já tinha "desaparecido" — lavados através de canais sofisticados e provavelmente irrecuperáveis.
Quem Estava Por Trás do Ataque? O Grupo Lazarus da Coreia do Norte e o TraderTraitor
Embora a Coreia do Norte raramente reivindique responsabilidade por ataques cibernéticos, as provas no caso Bybit foram esmagadoras. O FBI, juntamente com empresas internacionais de cibersegurança, atribuiu o ataque ao notório Grupo Lazarus da Coreia do Norte e à sua subunidade conhecida por TraderTraitor. Estes hackers patrocinados pelo Estado tornaram-se famosos pelos seus audaciosos roubos, utilizando os proveitos para financiar os programas nucleares e de mísseis do regime.
Segundo o FBI, a campanha "TraderTraitor" envolve uma combinação de engenharia social, ataques à cadeia de fornecimento e explorações técnicas. O grupo é conhecido por visar organizações blockchain e de criptomoedas, frequentemente utilizando ofertas de emprego falsas e software open-source malicioso para se infiltrar nos seus alvos. Uma vez dentro, utilizam malware para roubar credenciais, extrair chaves de carteiras de criptomoedas e, em última instância, desviar vastas quantias de ativos digitais para endereços controlados pela Coreia do Norte.
Dentro do Playbook do Grupo Lazarus
As táticas do Grupo Lazarus evoluíram rapidamente. Nos últimos anos, eles:
- Utilizaram campanhas de phishing em plataformas como LinkedIn, Slack e Telegram para induzir empregados a descarregar malware.
- Comprometeram máquinas de programadores e injetaram código malicioso em cadeias de fornecimento de software.
- Exploraram vulnerabilidades em serviços cloud e software de armazenamento, como se viu no ataque à Bybit.
- Recorreram a ferramentas de finanças descentralizadas (DeFi), pontes cross-chain e misturadores de criptomoedas para lavar fundos roubados e ocultar a sua origem.
O Dr. Tom Robinson, co-fundador da empresa de análise blockchain Elliptic, explicou a eficácia do grupo:
A Coreia do Norte é a melhor na lavagem de criptomoedas, provavelmente utilizando ferramentas automatizadas e trabalhando por turnos para converter criptomoedas em dinheiro.As operações do grupo combinam a sofisticação de um Estado-nação com a agilidade do cibercrime, tornando-os uma ameaça formidável para o sistema financeiro global.
Como Lavou a Coreia do Norte as Criptomoedas Roubadas?
Um dos aspectos mais alarmantes do roubo da Bybit foi a rapidez e eficiência com que os ativos roubados foram lavados. Em 48 horas, pelo menos 160 milhões de dólares tinham sido canalizados através de canais ilícitos, e até ao fim da primeira semana, mais de 400 milhões de dólares tinham sido movidos. A início de março, a fase inicial de lavagem estava concluída, com a vasta maioria do Ethereum roubado convertido em Bitcoin e dispersa por milhares de carteiras.
Finanças Descentralizadas: Uma Faca de Dois Gumes
Os hackers recorreram fortemente a protocolos de finanças descentralizadas (DeFi) — particularmente pontes cross-chain como a THORchain — para trocar ativos e obscurecer o seu rastro. Estas ferramentas, concebidas para permitir transferências perfeitas entre diferentes criptomoedas sem intermediários, também dificultam o rastreio e congelamento de fundos ilícitos por parte das forças da ordem.
Depois de transferir o Ethereum roubado para Bitcoin via ponte, os hackers depositaram grandes quantias em misturadores de criptomoedas como o Wasabi e o CryptoMixer. Estes serviços misturam transações de múltiplos utilizadores, tornando quase impossível rastrear a origem de moedas específicas. Embora a transparência da blockchain permita o seguimento público das transações, o volume e a complexidade do processo de lavagem sobrepuseram as equipas de compliance e os investigadores.
Apesar destes esforços, uma porção significativa do Bitcoin convertido permanece inativa, sugerindo que os hackers se estão a preparar para uma liquidation em grande escala ou para uma obfuscação adicional através de redes over-the-counter, particularmente em regiões com fiscalização laxa, como certas partes da China.
Porque é Que a Coreia do Norte Ataca Criptomoedas — e Quais as Implicações Globais?
A adoção de roubos de criptomoedas pela Coreia do Norte é ditada pela necessidade. Isolada por sanções internacionais e enfrentando graves desafios económicos, o regime recorreu ao cibercrime como principal fonte de moeda estrangeira. As Nações Unidas estimam que a Coreia do Norte roubou mais de 3 mil milhões de dólares em criptomoedas desde 2017, com grande parte destinada, segundo se acredita, ao financiamento dos seus programas de armamento.
O ataque à Bybit faz parte de uma tendência mais ampla. Apenas no primeiro semestre de 2025, mais de 2,17 mil milhões de dólares em criptomoedas foram roubados a nível mundial, com os hackers norte-coreanos responsáveis por quase 70% desse total. Este surto de cibercrime tem repercussões globais, minando a confiança nas finanças digitais e levantando pedidos de regulamentação mais forte e cooperação internacional.
O Fator Humano: Engenharia Social e Vulnerabilidades Cloud
As explorações técnicas são apenas parte da história. Os hackers norte-coreanos tornaram-se hábeis em engenharia social — enganando empregados para que concedam acesso a sistemas sensíveis. Frequentemente, fazem-se passar por recrutadores ou profissionais de TI, oferecendo oportunidades de emprego falsas para induzir as vítimas a descarregar malware ou revelar credenciais. Estas táticas têm-se revelado especialmente eficazes contra empresas de criptomoedas baseadas em cloud, que frequentemente dependem de forças de trabalho remotas e software de terceiros.
Benjamin Read, investigador de segurança da Wiz, notou:
O TraderTraitor concentra-se em explorações cloud porque é onde os dados e o dinheiro estão, especialmente para empresas de criptomoedas mais recentes com infraestrutura cloud-first.À medida que o setor cresce, também cresce a superfície de ataque para atores ameaçados sofisticados.
O Ecossistema de Criptomoedas da Ásia: Uma Falha Estrutural?
O ataque à Bybit expôs vulnerabilidades significativas no setor das finanças digitais da Ásia. O crescimento rápido, as lacunas regulamentares e a dependência de software de terceiros tornaram a região um alvo privilegiado para os cibercriminosos. Segundo a Chainalysis, o incidente "revelou as rachaduras de segurança crescentes no ecossistema digital da Ásia e sinalizou a chegada de uma nova era do cibercrime".
Embora a Bybit tenha a sua sede em Dubai, a sua base de utilizadores e o foco das suas operações estão profundamente enraizados na Ásia. O boom de criptomoedas da região ultrapassou o desenvolvimento de normas de segurança robustas, deixando exchanges e investidores expostos a ataques cada vez mais sofisticados.
Resposta do Setor e Regulamentar
Na sequência do ataque à Bybit, os líderes do setor e os reguladores estão a reavaliar a sua abordagem à segurança. A Bybit comprometeu-se a cobrir as perdas dos clientes e está a trabalhar com peritos forenses para rastrear e recuperar ativos roubados. Entretanto, governos e forças da ordem estão a pedir uma maior cooperação internacional e o desenvolvimento de protocolos de segurança normalizados para exchanges de criptomoedas.
O governo dos EUA, sob a administração Trump, fez da criptomoeda uma prioridade-chave da sua política tecnológica, com o objetivo de posicionar o país como líder global em finanças digitais. No entanto, o ataque à Bybit evidenciou a necessidade urgente de regulamentações mais fortes e medidas de segurança aprimoradas para proteger os consumidores e manter a confiança no setor.
O Exército Cibernético da Coreia do Norte: Uma Ameaça Crescente
O Grupo Lazarus e as suas subunidades, incluindo o TraderTraitor, representam a vanguarda das capacidades cibernéticas da Coreia do Norte. Estes grupos são considerados operacionais com milhares de pessoal, a trabalhar por turnos para maximizar a eficiência. As suas operações são altamente organizadas, combinando recursos de Estado-nação com a agilidade de empresas de cibercrime.
A estratégia cibernética da Coreia do Norte é multifacetada. Para além do roubo direto, o regime emprega trabalhadores de TI remotos para se infiltrar em empresas tecnológicas, roubar propriedade intelectual e extorquir negócios. Os proveitos destas atividades são canalizados de volta para Pyongyang, apoiando os programas de armamento sancionados do país e sustentando a sua economia em dificuldades.
Segundo a Chainalysis, os hackers norte-coreanos representaram 61% de todos os fundos de criptomoedas roubados em 2024 e estão em vias de ultrapassar esse valor em 2025. A sua capacidade de se adaptar e inovar — utilizando IA para criar e-mails de phishing convincentes, explorando novas tecnologias e visando tanto grandes exchanges como carteiras individuais — torna-os uma ameaça persistente e em evolução.
Ataques Anteriores de Grande Visibilidade
O ataque à Bybit é apenas o mais recente de uma série de grandes roubos de criptomoedas atribuídos à Coreia do Norte. Casos notáveis incluem:
- O ataque à ponte Ronin em 2022 (600 milhões de dólares roubados)
- A violação da Atomic Wallet em 2023 (100 milhões de dólares roubados)
- O ataque à UpBit em 2019 (41 milhões de dólares roubados)
- O roubo da KuCoin em 2020 (275 milhões de dólares roubados)
Cada ataque demonstrou um aumento da sofisticação técnica e da escala operacional, com a violação da Bybit a estabelecer um novo padrão para ambos.
Desafios para as Forças da Ordem e o Caminho a Seguir
Apesar da transparência da tecnologia blockchain — onde cada transação é registada publicamente — as forças da ordem enfrentam desafios significativos no rastreio e recuperação de criptomoedas roubadas. A utilização de misturadores, pontes cross-chain e exchanges descentralizadas permite aos hackers mover e obscurecer fundos rapidamente, frequentemente superando a capacidade de resposta dos investigadores.
A cooperação internacional é essencial. O FBI publicou listas de endereços de carteiras associados a hackers norte-coreanos e instou exchanges e prestadores de serviços a bloquear transações a partir desses endereços. No entanto, nem todas as empresas de criptomoedas estão dispostas ou capacitadas a cumprir, e a natureza descentralizada do setor complica os esforços de fiscalização.
Algum progresso foi registado. O programa de recompensas da Bybit e a colaboração com empresas de análise blockchain resultaram no congelamento de dezenas de milhões de dólares em ativos roubados. Ainda assim, os especialistas permanecem pessimistas quanto à recuperação da maioria dos fundos, tendo em conta a experiência da Coreia do Norte e o alcance global das suas redes de lavagem.
Lições Regulamentares e de Segurança
O ataque à Bybit levantou pedidos de:
- Normas de segurança mais fortes para exchanges de criptomoedas, incluindo auditorias regulares e avaliações de software de terceiros
- Maior transparência e partilha de informações entre os intervenientes do setor e as forças da ordem
- Quadros regulamentares internacionais para abordar a natureza transfronteiriça do crime em criptomoedas
- Maior sensibilização e educação pública sobre os riscos da engenharia social e dos ataques de phishing
Construir confiança no sistema financeiro digital exigirá um esforço coordenado por parte do setor, dos reguladores e dos consumidores.
Em Resumo
- O ataque à Bybit a 21 de fevereiro de 2025 resultou no roubo de 1,5 mil milhões de dólares em ativos cripto, o maior roubo do género na história.
- O Grupo Lazarus da Coreia do Norte e a sua subunidade TraderTraitor são responsabilizados pelo ataque, utilizando uma combinação de explorações técnicas e engenharia social.
- Os fundos roubados foram rapidamente lavados através de ferramentas de finanças descentralizadas, pontes cross-chain e misturadores de criptomoedas, dificultando a recuperação.
- As operações de cibercrime da Coreia do Norte são consideradas financiadoras dos seus programas nucleares e de mísseis, constituindo uma ameaça de segurança global.
- O incidente expôs vulnerabilidades significativas no ecossistema de criptomoedas da Ásia e evidenciou a necessidade de medidas de segurança e regulamentares mais fortes a nível mundial.
- As respostas do setor e das forças da ordem congelaram alguns ativos roubados, mas a maioria permanece irrecuperável.
- O ataque à Bybit evidencia a necessidade urgente de cooperação internacional, normas de segurança robustas e sensibilização pública para salvaguardar o futuro das finanças digitais.
