As exchanges de criptomoeda centralizadas detêm concentrações enormes de fundos de utilizadores num número comparativamente pequeno de carteiras, o que as torna, ano após ano, o alvo de maior valor em toda a indústria. As práticas de custódia amadureceram consideravelmente desde os primeiros colapsos de exchanges da década anterior, mas os últimos dois anos produziram alguns dos maiores roubos da história da indústria. Examinar exatamente como três dos incidentes recentes mais significativos aconteceram revela que o ponto fraco se deslocou consistentemente da própria blockchain para a infraestrutura, as pessoas, e os processos que a rodeiam.
Bybit, fevereiro de 2025: o maior assalto de cripto da história
Em 21 de fevereiro de 2025, a Bybit sofreu o maior roubo de criptomoeda alguma vez registado, perdendo aproximadamente mil e quinhentos milhões de dólares, mais de quatrocentos mil ETH e ETH em staking, num único incidente. O FBI atribuiu publicamente o ataque ao Lazarus Group da Coreia do Norte, a operar sob o grupo que rastreia como TraderTraitor.
A violação não teve origem dentro dos próprios sistemas da Bybit. Os atacantes comprometeram infraestrutura de desenvolvimento pertencente à Safe Wallet, a plataforma de carteira multiassinatura de que a Bybit dependia, especificamente um bucket de armazenamento da Amazon Web Services usado para alojar ficheiros JavaScript da interface da carteira. Substituíram um ficheiro legítimo por uma versão maliciosa concebida para detetar endereços de carteira específicos da Bybit e substituir silenciosamente os detalhes de transação apresentados. Quando os próprios executivos da Bybit reviram o que parecia no ecrã ser uma transferência de rotina e a assinaram, estavam, sem saber, a aprovar uma transação que encaminhava os fundos diretamente para carteiras controladas pelos atacantes. Reportagens sobre o incidente indicam que pelo menos cento e sessenta milhões de dólares dos fundos roubados foram branqueados nas primeiras quarenta e oito horas, sublinhando a rapidez com que o produto se move assim que um roubo desta escala é bem-sucedido.
WazirX, julho de 2024: um comprometimento de carteira multiassinatura
Em 18 de julho de 2024, a exchange indiana WazirX divulgou um roubo de aproximadamente duzentos e trinta e quatro milhões de dólares de uma carteira multiassinatura detida ao abrigo de um acordo de custódia com terceiros. Segundo reportagens públicas sobre o incidente, os atacantes criaram uma conta falsa na exchange, depositaram fundos, e começaram a comprar um token específico num padrão concebido para atrair o processo de assinatura da carteira para uma transação que controlavam. Assim que os próprios signatários da WazirX reviram e aprovaram o que acreditavam ser uma transação padrão, o contrato inteligente subjacente que governava a carteira multiassinatura já tinha sido alterado a favor do atacante, dando-lhe controlo total da carteira sem precisar de nenhuma das chaves privadas reais da WazirX daí em diante. O incidente foi mais tarde ligado por investigadores ao Lazarus Group.
CoinDCX, julho de 2025: quando a violação não é o contrato inteligente
Quase exatamente um ano depois do incidente da WazirX, a exchange indiana CoinDCX divulgou um roubo de aproximadamente quarenta e quatro milhões de dólares em julho de 2025. Ao contrário dos dois casos anteriores, esta violação não envolveu de todo uma vulnerabilidade de contrato inteligente ou uma transação multiassinatura manipulada. Reportagens sobre o incidente descrevem atacantes a comprometer uma conta interna usada para provisão de liquidez numa plataforma parceira, essencialmente infraestrutura de back-end convencional, em vez de violarem diretamente o armazenamento a frio da exchange. O incidente ilustrou que mesmo exchanges com carteiras frias de clientes bem protegidas continuam expostas através das contas operacionais e integrações com terceiros que sustentam a gestão diária de liquidez.
A CoinDCX declarou publicamente que os fundos dos clientes não foram afetados e que a perda foi absorvida pela própria tesouraria da exchange, um padrão de resposta que se tem tornado mais comum entre exchanges estabelecidas na sequência de uma violação, e que contrasta fortemente com épocas anteriores da indústria, quando um roubo comparável podia ameaçar por completo a capacidade de uma exchange honrar os levantamentos dos clientes.
Os fios comuns entre os três casos
Confiança na infraestrutura e em terceiros
Nenhuma das três violações envolveu um assalto direto a uma carteira fria bem protegida. Cada uma visou antes uma camada de infraestrutura de confiança à sua volta, respetivamente o pipeline de desenvolvimento da interface de uma carteira de terceiros, a lógica de um contrato multiassinatura, e uma conta interna de liquidez.
A aprovação humana como última linha de defesa, e o seu falhanço
Tanto o incidente da Bybit como o da WazirX derrotaram especificamente a etapa de revisão humana em torno da qual as configurações multiassinatura são construídas. Em ambos os casos, uma pessoa olhou para o que acreditava ser uma transação legítima e aprovou-a, porque a informação que lhe foi apresentada já tinha sido manipulada antes de chegar ao seu ecrã.
Velocidade de branqueamento depois da violação
No caso específico da Bybit, uma parcela significativa dos fundos roubados moveu-se através de canais de branqueamento nas primeiras quarenta e oito horas. Este ritmo é consistente com os padrões mais amplos abordados no nosso guia sobre branqueamento entre blockchains, e reflete quão pouco tempo as exchanges e os investigadores tipicamente têm para intervir assim que um grande roubo é detetado.
Em cada um destes incidentes, a blockchain subjacente funcionou exatamente como concebida. A falha ocorreu no software, na infraestrutura, ou no processo de revisão humana circundante que decidia quais transações assinar.
O que está a mudar na segurança das exchanges
- As exchanges estão a colocar mais escrutínio na cadeia de fornecimento de software por trás da infraestrutura de carteiras de terceiros, não apenas nos próprios contratos das carteiras.
- A verificação de transações está cada vez mais a mudar para métodos de confirmação independentes e fora de banda, em vez de confiar no que uma única interface apresenta antes da assinatura.
- As contas internas usadas para provisão de liquidez e integrações com parceiros estão a ser tratadas com a mesma postura de segurança anteriormente reservada ao armazenamento a frio.
- A pressão regulatória e da indústria aumentou as expectativas em torno da divulgação pública rápida e da coordenação com as forças da lei na sequência de uma violação.
Uma mudança significativa visível nos três incidentes é que as exchanges envolvidas conseguiram absorver a perda e continuar a operar normalmente para os clientes, uma diferença marcada em relação a colapsos de exchanges anteriores, em que um roubo comparável podia ameaçar diretamente a solvência da plataforma. Essa resiliência reflete balanços maiores e práticas de reservas mais maduras em exchanges estabelecidas, mas não altera o facto subjacente de que os fundos ainda foram roubados, ainda tiveram de ser rastreados, e ainda se moveram através dos mesmos canais de branqueamento, independentemente de quem acabou por suportar a perda financeira.
Porque a maturidade não eliminou o risco
Seria razoável presumir que, depois de mais de uma década de colapsos e roubos de grande visibilidade em exchanges, as maiores plataformas da indústria teriam já fechado esta categoria de risco. O que estes três incidentes mostram, em vez disso, é que o alvo se deslocou em vez de desaparecer. As exchanges melhoraram genuinamente as práticas centrais de custódia, a segregação do armazenamento a frio, e a transparência de reservas em comparação com uma década atrás. Os atacantes responderam deslocando-se para as camadas em torno dessa custódia, as cadeias de fornecimento de software, os fluxos de aprovação multiassinatura, e as contas operacionais das quais mesmo uma exchange bem protegida continua a depender para funcionar no dia a dia. Cada melhoria numa área foi respondida pelos atacantes a sondar o próximo elo mais fraco, em vez de desistirem.
O que isto significa para os utilizadores
Nenhuma destas violações foi causada por um erro do próprio utilizador, e nenhuma poderia ter sido evitada apenas com melhores hábitos pessoais de segurança. Isso não significa que os utilizadores estejam impotentes. Distribuir participações significativas por mais do que uma plataforma limita a exposição à falha de uma única exchange, e compreender o que esperar se a exchange escolhida for alguma vez afetada é importante. O nosso guia sobre comprometimento de contas de exchange aborda o aspeto do comprometimento ao nível da conta individual, e o nosso guia sobre o que acontece depois de um hack de carteira aborda os passos práticos a seguir se for afetado por um incidente em qualquer plataforma que use.
Vale também a pena observar como uma exchange comunica no rescaldo imediato de uma violação. Cada uma das exchanges aqui discutidas divulgou o incidente publicamente e comprometeu-se a cobrir as perdas dos utilizadores a partir das suas próprias reservas, uma resposta que difere significativamente de plataformas que ficam em silêncio, atrasam levantamentos sem explicação, ou culpam os utilizadores depois de uma violação em grande escala, e é um fator razoável a ponderar ao decidir em que plataformas confiar participações significativas no futuro.
Perguntas frequentes
Sim, com aproximadamente mil e quinhentos milhões de dólares roubados em fevereiro de 2025, é o maior roubo individual de criptomoeda publicamente registado até à data, ultrapassando incidentes recorde anteriores por uma margem larga. O FBI atribuiu publicamente o ataque ao Lazarus Group da Coreia do Norte.
A Bybit declarou que cobriu a perda através das suas próprias reservas e acordos de empréstimo para garantir que os levantamentos dos utilizadores não fossem afetados, o que é um contraste notável com alguns colapsos anteriores de exchanges em que os fundos dos utilizadores foram diretamente perdidos. Os fundos roubados em si permanecem em grande parte sujeitos a esforços contínuos de rastreamento e de aplicação da lei.
Uma carteira multiassinatura, ou multisig, exige que mais do que uma parte autorizada aprove uma transação antes de esta ser executada, com o objetivo de prevenir que uma única chave comprometida movimente fundos. Tanto no caso da Bybit como no da WazirX, os atacantes não roubaram diretamente as chaves de assinatura. Manipularam o que os signatários viam ou alteraram a lógica do contrato subjacente, fazendo com que signatários legítimos aprovassem, sem saber, uma transação fraudulenta.
Isto varia significativamente consoante o caso. Algumas violações são detetadas em minutos através de monitorização automatizada de padrões de levantamento invulgares, enquanto outras, particularmente as que envolvem interfaces manipuladas ou contas de back-end, podem não ser identificadas até os fundos já terem sido movidos e parcialmente branqueados.
Fontes e leituras adicionais
- FBI Confirms North Korean Lazarus Group Behind $1.5 Billion Bybit Crypto Heist · Picus Security
- Inside the $44M CoinDCX Hack: How Hackers Drained Millions Without Touching a Smart Contract · CCN
- CoinDCX vs WazirX: Lessons from India's $44M Crypto Hacks · Crystal Intelligence