Ataque de US$ 387,5 milhões à Bitget eleva total de criptomoedas roubadas pela Coreia do Norte a mais de US$ 1 bilhão

Um balanço bilionário e um sistema de aprovação comprometido

O roubo de US$ 387,5 milhões da Bitget em 24 de setembro de 2026 elevou para mais de US$ 1 bilhão no ano as perdas com criptomoedas atribuídas a hackers norte-coreanos, segundo a Chainalysis. Somado aos US$ 643 milhões atribuídos a esses agentes nos primeiros seis meses do ano, o ataque eleva o total para pelo menos US$ 1,0305 bilhão.

O ataque teve como alvo algo mais complexo do que uma senha roubada ou uma chave de carteira exposta. As investigações preliminares descrevem um invasor que obteve acesso por meio de produtos de segurança de terceiros, assumiu o controle de um servidor que processava transações de uma carteira e falsificou informações de aprovação. A própria infraestrutura da Bitget autorizou então transferências que pareciam legítimas.

A Chainalysis afirmou que sua investigação de 1º de outubro seguiu XRP roubados até o Bitcoin e encontrou padrões de lavagem associados a agentes norte-coreanos. Os investigadores usaram inteligência artificial para automatizar uma tarefa de rastreamento em menos de 10 minutos, em comparação com mais de 20 horas de trabalho manual. Essa rapidez não significa que todo o roubo tenha sido solucionado nem que o dinheiro tenha sido recuperado.

O incidente também expôs uma rede financeira que vai além dos próprios invasores. Pesquisas sobre transações posteriores identificaram taxas recebidas por serviços de swap, diferentes respostas a fundos suspeitos e possíveis ligações com intermediários especializados em lavagem de dinheiro. Esses detalhes ajudam a explicar por que identificar criptomoedas roubadas em uma blockchain pública é apenas o começo do processo de recuperação.

Várias conclusões ainda são preliminares. A Chainalysis atribuiu o ataque a agentes norte-coreanos, enquanto a Elliptic avaliou que essa ligação é altamente provável. As informações públicas não estabeleceram uma atribuição conclusiva especificamente ao Grupo Lazarus, e os fornecedores de segurança cujos produtos teriam possibilitado o acesso não foram identificados.

Como o prejuízo aumentou US$ 35,9 milhões

Inicialmente, a Bitget estimou o roubo em US$ 351,6 milhões. Em 25 de setembro, elevou o valor para US$ 387,5 milhões após identificar outros ativos afetados, incluindo transferências envolvendo Zcash e Tron. Segundo a corretora, o aumento de US$ 35,9 milhões refletiu uma contabilização adicional, não um segundo ataque.

Os totais variam ligeiramente entre as investigações. A Bitquery rastreou US$ 386,80 milhões em 23 transferências por nove redes. Um relato técnico estimou em cerca de US$ 388 milhões o total mais amplo contabilizado pela Bitget, distribuído por 11 redes. A Chainalysis descreveu a distribuição inicial por quatro redes principais: Ethereum recebeu 49,7%, XRP 40,8%, Zcash 7,6% e Tron 1,8%. Esses percentuais arredondados somam 99,9%.

Os números descrevem diferentes escopos de rastreamento e não devem ser tratados como inventários idênticos. O relato técnico estimou em US$ 157,8 milhões a parcela em XRP e calculou que cerca de US$ 214 milhões vieram de carteiras que a Bitquery classificou como carteiras mornas. Carteiras quentes e mornas são fundos operacionais de criptomoedas usados para viabilizar transações e saques, ao contrário de reservas mantidas totalmente offline.

Os relatos também divergem sobre quando a Bitget detectou o problema. Vários indicam que a detecção ocorreu às 18h31 UTC de 24 de setembro. Uma reconstrução detalhada identifica esse horário como o das primeiras pequenas transferências e situa o alerta de conciliação às 19h05. Essa diferença importa porque o relato posterior estima que cerca de US$ 238 milhões, aproximadamente 61% do prejuízo, saíram após o alerta.

Da invasão à retomada dos saques

Conclusões preliminares atribuídas à Mandiant e à SlowMist situam a primeira atividade maliciosa registrada em 31 de agosto, mais de três semanas antes do roubo. A cronologia pública separa o acesso inicial, a movimentação dos fundos e a resposta da corretora.

• 31 de agosto: A atividade maliciosa mais antiga registrada teria explorado uma vulnerabilidade desconhecida em um produto de segurança.
• 24 de setembro, 17h49 UTC: Uma ferramenta personalizada de saque começou a ser executada no servidor da carteira.
• 24 de setembro, 18h31 UTC: As primeiras transferências rastreadas movimentaram 93 TRX e, em seguida, 0,84 ETH.
• 24 de setembro, 19h05 UTC: A reconstrução detalhada situa nesse horário o alerta de conciliação da Bitget e as restrições aos pedidos de saque de clientes.
• 24 de setembro, 21h23 UTC: A última transferência rastreada movimentou 223,20 ETH. Os serviços de saque da carteira, incluindo a assinatura de transações, foram desligados às 21h44.
• 25 de setembro: A Bitget identificou a causa raiz suspeita, comunicou o incidente às autoridades policiais e revisou sua estimativa de prejuízo.
• De 28 a 30 de setembro: Os saques em Bitcoin, Ethereum e USDT foram retomados gradualmente. Relatórios forenses preliminares foram publicados em 30 de setembro.
• 1º de outubro: A Chainalysis publicou suas conclusões de atribuição e rastreamento. A previsão era que os serviços restantes voltassem até 2 de outubro.

O relato detalhado afirma que o serviço de assinatura permaneceu ativo por duas horas e 39 minutos após o alerta das 19h05. Portanto, bloquear os pedidos comuns de clientes não interrompeu imediatamente a rota separada do invasor até o processo de saque.

O invasor usou o serviço de assinatura sem roubar as chaves

A Bitget afirmou que a invasão não comprometeu as chaves de suas carteiras frias nem dependeu de pedidos de saque de clientes falsificados. Em vez disso, o invasor teria fornecido dados falsos de autorização de transações de dentro da infraestrutura das carteiras. Uma chave privada é a credencial secreta que autoriza uma transferência de criptomoedas. Nesse caso, a preocupação era que um serviço legítimo de assinatura pudesse ser instruído a aprovar uma transação ilegítima.

A reconstrução técnica preliminar descreve dois produtos de segurança não identificados. A atividade no primeiro teria permitido que um script oculto lesse uma senha de banco de dados armazenada em uma variável de ambiente. Mais tarde, o invasor operou a plataforma de gerenciamento do segundo produto usando a identidade de um funcionário interno, antes de chegar a um servidor de carteira de produção e instalar um software malicioso.

Segundo informações, a SlowMist recuperou uma ferramenta apagada, desenvolvida especificamente para o sistema de saques da Bitget. Ela falsificava campos de controle de risco e acionava o processo de saque. A relação exata entre o acesso inicial ao banco de dados e a identidade usada no segundo produto ainda não foi confirmada.

A Bitget descreveu o ponto de entrada como uma vulnerabilidade de dia zero, uma falha de software até então desconhecida. Até o relato técnico de 2 de outubro, nenhum fornecedor havia sido identificado e não havia um identificador público de vulnerabilidade nem um comunicado de segurança disponível. A Bitget afirmou que corrigiu a falha, mas as informações públicas não traziam detalhes suficientes para que outros clientes identificassem os produtos afetados.

O produto separado Bitget Wallet, da corretora, não foi afetado. Esse serviço usa uma infraestrutura diferente e permite que os usuários controlem seus próprios ativos. Essa distinção limita o escopo conhecido da invasão, mas não reduz o prejuízo nas carteiras operacionais da corretora.

O que sustenta a atribuição à Coreia do Norte

A CEO da Bitget, Gracy Chen, apontou o comportamento dos endereços de internet e as assinaturas das transações na blockchain ao explicar a suspeita de ligação com a Coreia do Norte. Ela descreveu a técnica nos seguintes termos:

compatível com técnicas usadas por grupos hackers ligados à Coreia do Norte

Mais tarde, Chen descreveu a ligação como baseada em indícios preliminares. A Chainalysis atribuiu o roubo de forma independente a agentes norte-coreanos, enquanto a Elliptic citou ligações a endereços de lavagem associados a roubos anteriores, incluindo o da Bybit. A TRM Labs também avaliou como provável uma ligação com a Coreia do Norte, segundo o relato técnico.

Essas avaliações não equivalem a uma conclusão pública de natureza criminal. O trabalho preliminar da Mandiant não identificou um invasor, e as investigações não estabeleceram publicamente que um subgrupo específico do Lazarus tenha realizado a invasão da Bitget.

Os números anuais também exigem cautela. As perdas de US$ 285 milhões do Drift Protocol em 1º de abril e de US$ 292 milhões da KelpDAO em 18 de abril somam US$ 577 milhões, cerca de 90% dos US$ 643 milhões atribuídos a agentes norte-coreanos no primeiro semestre. Pesquisadores ligaram a exploração da KelpDAO ao TraderTraitor, um grupo associado a ataques contra infraestruturas que conectam blockchains. Separadamente, a Elliptic contabilizou mais de 51 incidentes suspeitos envolvendo agentes norte-coreanos em 2026, uma categoria mais ampla do que a de perdas confirmadas.

IA acelerou uma etapa específica do rastreamento dos fundos

A Chainalysis afirmou que trabalhou com a Bitget e as autoridades policiais para rastrear os ativos roubados. Em cerca de três horas, os fundos passaram por 23 transferências e, depois, por protocolos de liquidez, serviços de mensagens, swaps instantâneos e serviços de lavagem.

Uma tarefa central envolvia relacionar XRP roubados depositados em um protocolo ao Bitcoin pago em outro local. Esses serviços permitem que usuários troquem ativos entre diferentes blockchains. Os investigadores precisam conectar as transações de entrada e saída mesmo quando envolvem ativos, endereços e registros de transações diferentes.

A Chainalysis rastreou dezenas de milhões de dólares por esse caminho ao longo de cerca de um dia e meio, chegando a endereços de Bitcoin controlados pelo invasor. A empresa afirmou que uma automação desenvolvida com sua IA interna reduziu a tarefa de conciliação de mais de 20 horas para menos de 10 minutos, com investigadores humanos orientando o trabalho e analisando os resultados. Pelas estimativas, a tarefa levou menos de um centésimo e vigésimo do tempo anterior.

Foi mais difícil rastrear outras movimentações. O invasor começou a depositar fundos no pool protegido da Zcash, onde recursos de privacidade ocultam detalhes das transações que, de outra forma, ajudariam a vincular remetentes, destinatários e valores. A Chainalysis afirmou que continuaria monitorando os endereços de destino e compartilhando informações com corretoras e autoridades policiais.

Rastrear não permite, por si só, apreender os ativos. Bitcoin e ether não têm um emissor central capaz de congelar um saldo. A recuperação geralmente depende da cooperação de uma plataforma, de um emissor com poderes para congelar fundos ou de autoridades que obtenham o controle dos ativos.

Serviços de swap divergiram sobre a intervenção

A NEAR Intents afirmou que seu sistema SHIELD bloqueou mais de US$ 50 milhões em transferências tentadas associadas à invasão e congelou cerca de US$ 503 mil durante a execução. O gerente-geral Alex Shevchenko afirmou que aproximadamente US$ 166 mil passaram pelo sistema antes de os fluxos suspeitos serem interrompidos.

A THORChain continuou processando swaps e rejeitou o pedido da Bitget para uma intervenção seletiva. O protocolo distinguiu a suspensão emergencial da rede, destinada a proteger suas próprias operações, do bloqueio de endereços ou transações individuais. Também mencionou sua própria exploração de US$ 10,7 milhões em maio e afirmou que os invasores não foram posteriormente impedidos de fazer swaps.

Um levantamento da BlockSec de 29 de setembro estimou em cerca de US$ 269 milhões os fluxos relacionados à Bitget em 7.804 transações da THORChain. Esse valor representa o volume processado, não necessariamente um total de fundos roubados distintos: os mesmos fundos podem ser contabilizados mais de uma vez ao passar pelo serviço.

As estimativas de congelamento também divergem. Um relato calculou em cerca de US$ 318 mil o total de stablecoins congeladas pela Circle e pela Tether. Uma estimativa técnica mais ampla, de 1º de outubro, situou em aproximadamente US$ 1,1 milhão os congelamentos envolvendo esses emissores e a NEAR Intents. Os números têm datas e coberturas diferentes e não devem ser somados como se fossem recuperações distintas.

Transações de lavagem geraram taxas e um salto nas negociações

O pesquisador independente Andrey Sergeenkov calculou US$ 761.725 em taxas de serviços e protocolos com base em transações analisadas até 2 de outubro, às 10h22 UTC. Sua divisão atribuiu US$ 573.226 a provedores de liquidez da THORChain, US$ 149.417 à MetaMask, US$ 26.751 à Chainflip e US$ 12.332 à CoW EthFlow.

Separadamente, ele identificou US$ 259.718 em taxas de afiliados da THORChain pagas a sete endereços com outras ligações financeiras a carteiras envolvidas nos swaps. Outros US$ 206.196 foram destinados a beneficiários para os quais ele não havia estabelecido essas ligações adicionais. Essas categorias de afiliados são valores analíticos separados, não quantias recuperadas.

Ser identificado como destinatário de taxas não prova que alguém seja dono dos fundos do invasor. Sergeenkov rastreou parte dos rendimentos do maior destinatário com ligações identificadas, que recebeu US$ 177.499, até USDT e, por fim, até um endereço rotulado como OKX Hot Wallet 5. Esse rastro não estabelece a identidade do cliente da corretora nem participação no roubo.

A THORChain registrou US$ 3,01 milhões em receita do sistema em setembro e US$ 2,40 bilhões em volume de swaps. Entre 25 e 29 de setembro, processou cerca de US$ 1,37 bilhão, 57% do volume mensal, e gerou aproximadamente US$ 1,9 milhão, 63% da receita mensal. Esses totais do período incluem atividades além das envolvendo fundos roubados identificados.

O comunicado do protocolo descreveu o período do aumento:

Entre 25 e 29 de setembro, o volume diário ficou entre cerca de US$ 190 milhões e US$ 460 milhões, enquanto fundos ligados à exploração da Bitget passavam pela rede.

O número de carteiras ativas aumentou de 23.500 em agosto para 25.000 em setembro, cerca de 6,4%. Esse crescimento modesto contrastou com a alta do volume de swaps, de US$ 613 milhões para US$ 2,40 bilhões. Os números apontam para uma concentração de grandes transações, e não para uma expansão proporcional da base de usuários.

Intermediários podem pagar os invasores antes que os fundos desapareçam

As investigações sobre o roubo de US$ 1,5 bilhão da Bybit em 21 de fevereiro de 2025 ilustram por que os fundos roubados visíveis podem já não representar dinheiro sob o controle dos hackers originais. O FBI atribuiu esse ataque a agentes norte-coreanos do TraderTraitor. Pesquisadores suspeitam que intermediários especializados aceitaram os ativos roubados, pagaram aos invasores o valor correspondente menos as taxas e assumiram o risco da lavagem posterior.

A empresa de segurança zeroShadow estimou que mais de US$ 1 bilhão da Bybit foi lavado entre fevereiro e junho de 2025. Isso não demonstra que todo o valor tenha se convertido em moeda convencional nem que corresponda aos rendimentos líquidos dos invasores. A Chainalysis também descreveu dezenas de milhões de dólares provenientes da Bybit e da WazirX que passaram pela rede de fornecedores da Xinbi, onde intermediários supostamente trocaram ativos rastreáveis por stablecoins provenientes de outras atividades criminosas.

Em uma declaração de 5 de outubro, o investigador pseudônimo ZachXBT afirmou ter disponibilizado US$ 349,7 mil em stablecoins e aceitado uma perda de 5% em cada ordem enquanto se passava por cliente. Ele disse que um operador chamado Jimmy Green ajudou a expor um grupo que mantinha mais de US$ 12 milhões em fundos relacionados à Bybit, e que a Tether posteriormente congelou 442 mil USDT.

ZachXBT alegou que a rede operava em Hong Kong e na China continental e lavou mais de US$ 1 bilhão para o Lazarus. O porte da rede e a identidade do operador não foram confirmados de forma independente por meio de acusações públicas. Ele também alegou que agentes chineses que lidavam com fundos da Bitget buscaram ajuda em grupos públicos do Discord e do Telegram e que um operador havia movimentado valores provenientes da KelpDAO.

A reserva financeira da Bitget e os limites da recuperação

A Bitget afirmou que seu Fundo de Proteção ao Usuário superava US$ 464 milhões antes do ataque e cobriria as perdas dos clientes. O roubo de US$ 387,5 milhões equivale a cerca de 83,5% de uma reserva de US$ 464 milhões. Essa comparação mede o possível impacto, mas não comprova como a indenização foi paga nem quais ativos a financiaram.

Em 28 de setembro, a corretora prometeu recompor o fundo para pelo menos US$ 300 milhões no prazo de uma semana. Anunciou que concluiu a recomposição em 30 de setembro. Também ofereceu recompensas de até 5% por fundos congelados ou recuperados com sucesso, firmou parcerias com a Mandiant e a SlowMist e lançou um painel de rastreamento de carteiras.

Segundo a Bitget, as negociações e os depósitos permaneceram abertos durante a suspensão dos saques. Os saques em Bitcoin foram retomados em 28 de setembro, os de Ethereum em 29 de setembro e os de USDT em 30 de setembro. A corretora afirmou que não houve novas perdas durante a suspensão. Seu token BGB caiu quase 7%, para US$ 1,93, antes de se recuperar para US$ 1,97 no retrato das negociações divulgado.

Também houve divergência quanto ao escopo do prejuízo total de setembro. A PeckShield contabilizou 55 ataques, totalizando US$ 766,5 milhões, enquanto a CertiK contabilizou 97 incidentes, totalizando US$ 768,4 milhões. A Bitget representou cerca de metade de qualquer um dos totais. Relatos situaram uma perda separada da Liquid Network entre US$ 319 milhões e US$ 320 milhões, dos quais mais de US$ 270 milhões teriam sido devolvidos. Outro incidente relatado, envolvendo a Coldcard, resultou em cerca de US$ 116 milhões em julho.

Os esforços de aplicação da lei vão além dos roubos a corretoras. O Departamento do Tesouro dos Estados Unidos sancionou oito pessoas e duas entidades acusadas de lavar dinheiro proveniente de crimes cibernéticos e de trabalhadores de TI no exterior. Entre as alegações estavam as de que banqueiros movimentaram pelo menos US$ 5,3 milhões por meio do First Credit Bank e ocultaram valores com ajuda de intermediários na China e na Rússia. Ações separadas do Departamento de Justiça envolveram US$ 7,7 milhões ligados a uma suposta fraude de trabalhadores de TI e mais de US$ 15 milhões associados a quatro roubos atribuídos ao APT38.

Essas ações mostram por que congelamento, apreensão e restituição são etapas distintas. O valor que a Bitget ainda conseguiu recuperar, a identidade dos fornecedores vulneráveis e um relatório técnico final continuam sem solução. Nenhuma data definitiva para a conclusão da investigação ou a devolução dos ativos roubados foi anunciada.

Principais pontos

• O prejuízo revisado da Bitget, de US$ 387,5 milhões, eleva para pelo menos US$ 1,0305 bilhão o total de roubos de 2026 atribuídos à Coreia do Norte.
• Conclusões preliminares descrevem dados de aprovação falsificados, e não chaves privadas roubadas, como o mecanismo que permitiu os saques.
• A Chainalysis atribuiu o ataque a agentes norte-coreanos; uma atribuição específica ao Lazarus ainda não foi confirmada publicamente.
• A IA reduziu uma tarefa de rastreamento de fundos para menos de 10 minutos, mas o rastreamento não recuperou os ativos.
• Os serviços de swap divergiram sobre a intervenção, enquanto as transações de lavagem analisadas geraram taxas substanciais.
• A Bitget anunciou a recomposição do fundo de proteção para pelo menos US$ 300 milhões e retomou os saques gradualmente.
• O total final recuperado e a identidade dos fornecedores de segurança afetados continuam desconhecidos.