O maior roubo de criptomoedas da história: o que aconteceu com a Bybit?
Em 21 de fevereiro de 2025, o mundo testemunhou o maior roubo de criptomoedas já registrado. Quase US$ 1,5 bilhão em ativos digitais desapareceu da Bybit, uma corretora de criptomoedas sediada em Dubai, em uma única e devastadora invasão. A dimensão e a sofisticação do ataque causaram abalos no sistema financeiro global, expondo não apenas as vulnerabilidades dos mercados de criptomoedas da Ásia, em rápido crescimento, mas também o alcance alarmante dos operadores cibernéticos da Coreia do Norte, patrocinados pelo Estado.
Conteúdo
- O maior roubo de criptomoedas da história: o que aconteceu com a Bybit?
- Como o ataque aconteceu?
- Consequências imediatas e reação do setor
- Quem estava por trás do ataque? O grupo Lazarus e o TraderTraitor, da Coreia do Norte
- Por dentro das táticas do grupo Lazarus
- Como a Coreia do Norte lavou as criptomoedas roubadas?
- Finanças descentralizadas: uma faca de dois gumes
- Por que a Coreia do Norte está mirando as criptomoedas e quais são as implicações globais?
- O fator humano: engenharia social e vulnerabilidades na nuvem
- O ecossistema de criptomoedas da Ásia: um elo fraco?
- Reação do setor e dos órgãos reguladores
- O exército cibernético da Coreia do Norte: uma ameaça crescente
- Ataques anteriores de grande repercussão
- Desafios para as autoridades e os próximos passos
- Lições regulatórias e de segurança
- Em resumo
A Bybit, uma das maiores corretoras de criptomoedas do mundo, com mais de 60 milhões de usuários, viu-se no epicentro de uma nova era do cibercrime. Segundo a empresa de análise de blockchain Chainalysis, o ataque respondeu por quase 70% de todos os ativos digitais roubados no mundo no primeiro semestre de 2025. O episódio evidenciou as fissuras cada vez maiores no ecossistema digital e sinalizou uma escalada perigosa nas táticas e ambições dos hackers norte-coreanos.
Como o ataque aconteceu?
A invasão começou com uma transação aparentemente rotineira. Ben Zhou, CEO da Bybit, aprovou o que parecia ser uma transferência padrão de Ether (ETH), uma criptomoeda popular, entre contas da empresa. Sem que ele soubesse, os hackers já haviam comprometido a interface de software que a Bybit usava para gerenciar essas transações. Em poucos minutos, os invasores assumiram o controle de uma carteira que continha 401 mil ETH — avaliados em US$ 1,5 bilhão na época — e transferiram os fundos para endereços sob seu controle.
As investigações revelaram que os hackers exploraram uma vulnerabilidade em um produto de software gratuito chamado Safe, que a Bybit usava para armazenar e gerenciar ativos digitais. Ao manipular a interface de usuário do Safe e inserir código malicioso, os invasores induziram a Bybit a aprovar a transação fraudulenta. A invasão não foi apenas uma falha técnica, mas também um lembrete contundente dos riscos associados à dependência de softwares de terceiros no setor de finanças digitais.
Consequências imediatas e reação do setor
O impacto foi imediato e severo. Os mercados de criptomoedas despencaram, e o Bitcoin caiu 20% em relação às máximas de janeiro. A confiança no setor vacilou, sobretudo porque o ataque aconteceu em um momento em que autoridades dos Estados Unidos e de outros lugares debatiam novas regulamentações para incentivar a adoção de ativos digitais pelo público em geral.
A Bybit respondeu garantindo aos clientes que seus fundos seriam cobertos e lançou um programa de recompensa pela recuperação, oferecendo até 10% dos ativos recuperados a quem pudesse ajudar a rastrear e congelar as criptomoedas roubadas. Em poucas semanas, mais de US$ 40 milhões em fundos roubados foram identificados e congelados, e mais de US$ 4 milhões em recompensas foram pagos aos colaboradores. Especialistas, porém, alertaram que a maior parte dos ativos roubados já havia “desaparecido do radar”: tinha sido lavada por canais sofisticados e provavelmente não poderia ser recuperada.
Quem estava por trás do ataque? O grupo Lazarus e o TraderTraitor, da Coreia do Norte
Embora a Coreia do Norte raramente assuma a responsabilidade por ataques cibernéticos, as evidências no caso da Bybit eram contundentes. O FBI, junto com empresas internacionais de cibersegurança, atribuiu o ataque ao notório grupo Lazarus, da Coreia do Norte, e a uma de suas subdivisões, conhecida como TraderTraitor. Esses hackers patrocinados pelo Estado tornaram-se infames por seus roubos audaciosos, usando os recursos obtidos para financiar os programas nuclear e de mísseis do regime.
Segundo o FBI, a campanha “TraderTraitor” combina engenharia social, ataques à cadeia de suprimentos e exploração de falhas técnicas. O grupo é conhecido por atacar organizações de blockchain e criptomoedas, muitas vezes recorrendo a falsas ofertas de emprego e a softwares maliciosos de código aberto para se infiltrar em seus alvos. Uma vez dentro dos sistemas, os integrantes instalam malware para roubar credenciais, extrair chaves de carteiras de criptomoedas e, por fim, desviar enormes quantias em ativos digitais para endereços controlados pela Coreia do Norte.
Por dentro das táticas do grupo Lazarus
As táticas do grupo Lazarus evoluíram rapidamente. Nos últimos anos, o grupo:
- Usou campanhas de phishing em plataformas como LinkedIn, Slack e Telegram para atrair funcionários e levá-los a baixar malware.
- Comprometeu computadores de desenvolvedores e inseriu código malicioso em cadeias de suprimentos de software.
- Explorou vulnerabilidades em serviços de nuvem e softwares de armazenamento, como no ataque à Bybit.
- Recorreu a ferramentas de finanças descentralizadas (DeFi), pontes entre blockchains e misturadores de criptomoedas para lavar fundos roubados e ocultar sua origem.
Dr. Tom Robinson, cofundador da empresa de análise de blockchain Elliptic, explicou a eficácia do grupo:
A Coreia do Norte é a melhor em lavar criptomoedas, provavelmente usando ferramentas automatizadas e trabalhando em turnos para transformar criptomoedas em dinheiro.As operações do grupo combinam a sofisticação de um Estado com a agilidade do cibercrime, tornando-o uma ameaça formidável ao sistema financeiro global.
Como a Coreia do Norte lavou as criptomoedas roubadas?
Um dos aspectos mais alarmantes do roubo à Bybit foi a rapidez e a eficiência com que os ativos roubados foram lavados. Em 48 horas, pelo menos US$ 160 milhões haviam passado por canais ilícitos e, ao fim da primeira semana, mais de US$ 400 milhões já tinham sido movimentados. No início de março, a fase inicial da lavagem estava concluída: a grande maioria do Ethereum roubado havia sido convertida em Bitcoin e distribuída por milhares de carteiras.
Finanças descentralizadas: uma faca de dois gumes
Os hackers recorreram amplamente a protocolos de finanças descentralizadas (DeFi), sobretudo a pontes entre blockchains, como a THORchain, para trocar ativos e ocultar seus rastros. Essas ferramentas, criadas para permitir transferências contínuas entre diferentes criptomoedas sem intermediários, também dificultam o rastreamento e o congelamento de fundos ilícitos pelas autoridades.
Depois de transferir o Ethereum roubado para a rede Bitcoin, os hackers depositaram grandes quantias em misturadores de criptomoedas, como Wasabi e CryptoMixer. Esses serviços combinam transações de vários usuários, tornando quase impossível rastrear a origem de moedas específicas. Embora a transparência do blockchain permita acompanhar publicamente as transações, o enorme volume e a complexidade do processo de lavagem sobrecarregaram as equipes de conformidade e os investigadores.
Apesar desses esforços, uma parcela significativa do Bitcoin convertido continua parada, o que sugere que os hackers estão se preparando para uma liquidação em larga escala ou para ocultar ainda mais os fundos por meio de redes de balcão, sobretudo em regiões com fiscalização pouco rigorosa, como algumas partes da China.
Por que a Coreia do Norte está mirando as criptomoedas e quais são as implicações globais?
A adesão da Coreia do Norte ao roubo de criptomoedas é motivada pela necessidade. Isolado por sanções internacionais e enfrentando graves dificuldades econômicas, o regime passou a recorrer ao cibercrime como fonte primordial de moeda forte. A Organização das Nações Unidas estima que a Coreia do Norte tenha roubado mais de US$ 3 bilhões em criptomoedas desde 2017, e acredita-se que boa parte dos recursos tenha financiado seus programas de armas.
O ataque à Bybit faz parte de uma tendência mais ampla. Somente no primeiro semestre de 2025, mais de US$ 2,17 bilhões em criptomoedas foram roubados no mundo, e os hackers norte-coreanos foram responsáveis por quase 70% desse total. Essa onda de cibercrime tem repercussões globais, abalando a confiança nas finanças digitais e levando a pedidos por regulamentações mais rigorosas e maior cooperação internacional.
O fator humano: engenharia social e vulnerabilidades na nuvem
As falhas técnicas são apenas parte da história. Os hackers norte-coreanos tornaram-se especialistas em engenharia social, enganando funcionários para obter acesso a sistemas sensíveis. Muitas vezes, eles se passam por recrutadores ou profissionais de TI e oferecem falsas oportunidades de emprego para convencer as vítimas a baixar malware ou revelar credenciais. Essas táticas têm se mostrado especialmente eficazes contra empresas de criptomoedas que operam na nuvem, muitas das quais dependem de equipes remotas e de softwares de terceiros.
Benjamin Read, pesquisador de segurança da Wiz, observou:
O TraderTraitor se concentra em explorar vulnerabilidades na nuvem porque é lá que estão os dados e o dinheiro, especialmente nas empresas de criptomoedas mais novas, que priorizam uma infraestrutura baseada na nuvem.À medida que o setor cresce, também aumenta a superfície de ataque disponível para agentes de ameaças sofisticados.
O ecossistema de criptomoedas da Ásia: um elo fraco?
O ataque à Bybit expôs vulnerabilidades importantes no setor de finanças digitais da Ásia. O rápido crescimento, as lacunas regulatórias e a dependência de softwares de terceiros transformaram a região em um alvo prioritário para cibercriminosos. Segundo a Chainalysis, o episódio “escancarou as crescentes falhas de segurança no ecossistema digital da Ásia e sinalizou o início de uma nova era do cibercrime”.
Embora a Bybit tenha sede em Dubai, sua base de usuários e seu foco operacional estão profundamente enraizados na Ásia. O crescimento acelerado do mercado de criptomoedas na região superou o desenvolvimento de padrões de segurança robustos, deixando corretoras e investidores expostos a ataques cada vez mais sofisticados.
Reação do setor e dos órgãos reguladores
Após o ataque à Bybit, líderes do setor e autoridades reguladoras estão reavaliando sua abordagem à segurança. A Bybit se comprometeu a cobrir as perdas dos clientes e está trabalhando com especialistas forenses para rastrear e recuperar os ativos roubados. Enquanto isso, governos e órgãos de segurança pública pedem maior cooperação internacional e a criação de protocolos de segurança padronizados para corretoras de criptomoedas.
O governo dos Estados Unidos, sob a administração Trump, colocou as criptomoedas entre as principais prioridades de sua política tecnológica, com o objetivo de posicionar o país como líder global em finanças digitais. No entanto, o ataque à Bybit destacou a necessidade urgente de regulamentações mais rigorosas e medidas de segurança aprimoradas para proteger os consumidores e manter a confiança no setor.
O exército cibernético da Coreia do Norte: uma ameaça crescente
O grupo Lazarus e suas subdivisões, entre elas o TraderTraitor, representam o que há de mais avançado nas capacidades cibernéticas da Coreia do Norte. Acredita-se que esses grupos operem com milhares de integrantes, trabalhando em turnos para maximizar a eficiência. Suas operações são altamente organizadas e combinam recursos de Estado com a agilidade de empresas cibercriminosas.
A estratégia cibernética da Coreia do Norte tem várias frentes. Além dos roubos diretos, o regime usa trabalhadores de TI remotos para se infiltrar em empresas de tecnologia, roubar propriedade intelectual e extorquir empresas. Os recursos obtidos com essas atividades são enviados de volta a Pyongyang, onde ajudam a financiar os programas de armas do país, alvo de sanções, e a sustentar sua economia em dificuldades.
Segundo a Chainalysis, hackers norte-coreanos foram responsáveis por 61% de todos os fundos em criptomoedas roubados em 2024 e devem superar esse percentual em 2025. A capacidade de adaptação e inovação do grupo — usando IA para criar e-mails de phishing convincentes, explorando novas tecnologias e atacando tanto grandes corretoras quanto carteiras individuais — faz dele uma ameaça persistente e em constante evolução.
Ataques anteriores de grande repercussão
O ataque à Bybit é apenas o mais recente de uma série de grandes roubos de criptomoedas atribuídos à Coreia do Norte. Entre os casos de maior destaque estão:
- O ataque à ponte Ronin, em 2022 (US$ 600 milhões roubados)
- A invasão à Atomic Wallet, em 2023 (US$ 100 milhões roubados)
- O ataque à UpBit, em 2019 (US$ 41 milhões roubados)
- O roubo à KuCoin, em 2020 (US$ 275 milhões roubados)
Cada ataque demonstrou maior sofisticação técnica e escala operacional, e a invasão à Bybit estabeleceu um novo patamar em ambos os aspectos.
Desafios para as autoridades e os próximos passos
Apesar da transparência da tecnologia blockchain — em que todas as transações são registradas publicamente —, as autoridades enfrentam grandes desafios para rastrear e recuperar criptomoedas roubadas. O uso de misturadores, pontes entre blockchains e corretoras descentralizadas permite que os hackers movimentem e ocultem fundos rapidamente, muitas vezes superando a capacidade de resposta dos investigadores.
A cooperação internacional é essencial. O FBI publicou listas de endereços de carteiras associados a hackers norte-coreanos e pediu que corretoras e prestadores de serviços bloqueiem transações provenientes desses endereços. No entanto, nem todas as empresas de criptomoedas estão dispostas ou conseguem cumprir essa orientação, e a natureza descentralizada do setor dificulta os esforços de fiscalização.
Algum progresso foi alcançado. O programa de recompensas da Bybit e a colaboração com empresas de análise de blockchain levaram ao congelamento de dezenas de milhões de dólares em ativos roubados. Ainda assim, especialistas continuam pessimistas quanto à recuperação da maior parte dos fundos, diante da experiência da Coreia do Norte e do alcance global de suas redes de lavagem.
Lições regulatórias e de segurança
O ataque à Bybit levou a pedidos por:
- Padrões de segurança mais rigorosos para corretoras de criptomoedas, incluindo auditorias regulares e avaliações de softwares de terceiros
- Mais transparência e compartilhamento de informações entre empresas do setor e autoridades de segurança pública
- Marcos regulatórios internacionais para lidar com a natureza transfronteiriça dos crimes com criptomoedas
- Mais conscientização e educação do público sobre os riscos da engenharia social e dos ataques de phishing
Construir confiança no sistema financeiro digital exigirá um esforço coordenado do setor, das autoridades reguladoras e dos consumidores.
Em resumo
- O ataque à Bybit, em 21 de fevereiro de 2025, resultou no roubo de US$ 1,5 bilhão em ativos de criptomoedas, o maior da história.
- O grupo Lazarus, da Coreia do Norte, e sua subdivisão TraderTraitor são responsabilizados pelo ataque, que combinou exploração de falhas técnicas e engenharia social.
- Os fundos roubados foram rapidamente lavados por meio de ferramentas de finanças descentralizadas, pontes entre blockchains e misturadores de criptomoedas, o que dificulta sua recuperação.
- Acredita-se que as operações cibercriminosas da Coreia do Norte financiem seus programas nuclear e de mísseis, representando uma ameaça à segurança global.
- O episódio expôs vulnerabilidades importantes no ecossistema de criptomoedas da Ásia e evidenciou a necessidade de medidas de segurança e regulação mais rigorosas no mundo todo.
- As ações do setor e das autoridades levaram ao congelamento de parte dos ativos roubados, mas a maior parte não pode ser recuperada.
- O ataque à Bybit ressalta a necessidade urgente de cooperação internacional, padrões robustos de segurança e conscientização pública para proteger o futuro das finanças digitais.
