Prejuízo da Bitget sobe para US$ 387 milhões e pistas apontam para hackers norte-coreanos

No fim da tarde de 24 de setembro, pelo horário de Brasília, os sistemas de segurança da Bitget detectaram transferências não autorizadas saindo de suas carteiras quentes. Era o início daquele que, segundo o Decrypt, é considerado o maior ataque hacker do setor cripto em 2026, com perdas que chegaram a cerca de US$ 387,5 milhões. A suspeita recai sobre a Coreia do Norte, mas a autoria ainda não foi confirmada.

O alerta disparou às 18h31 UTC. Em cerca de uma hora, investigadores que acompanham a blockchain já haviam identificado aproximadamente US$ 183 milhões em stablecoins, ether e outros criptoativos deixando carteiras controladas pela corretora. Quando a Bitget tornou o caso público, horas depois, o prejuízo estimado estava em US$ 351,6 milhões. No dia seguinte, o número foi revisado para US$ 387,5 milhões.

A presidente-executiva da empresa, Gracy Chen, explicou que os criminosos não roubaram chaves privadas de nenhuma carteira, fosse fria, quente ou morna. Eles invadiram um sistema de retaguarda da infraestrutura de carteiras e falsificaram dados de transações, levando o processo de autorização a aprovar pagamentos fraudulentos como se fossem operações rotineiras. Segundo Chen, os invasores também não forjaram pedidos de saque de usuários.

A maior parte do roubo envolveu cerca de 103 milhões de XRP, avaliados em aproximadamente US$ 157 milhões. O restante incluiu stablecoins e ether, enviados por pelo menos cinco blockchains diferentes para endereços do atacante. O pesquisador conhecido como DCF GOD observou que uma carteira recém-criada gastou US$ 19,67 milhões em USDT0, versão da Tether que circula entre redes, para comprar 7.111 ETH em apenas seis minutos, pagando cerca de 5% acima do preço de mercado nas plataformas descentralizadas UniswapX e 1inch Fusion.

A corretora afirma ter interrompido a saída de recursos e impedido novas transferências indevidas. O fundo de proteção ao usuário, com mais de US$ 464 milhões, vai cobrir toda a perda, o que significa que os saldos dos clientes permanecem intactos. Depósitos e negociações continuaram funcionando, enquanto os saques foram suspensos por precaução até o dia seguinte. Esse fundo foi criado justamente para situações assim e valia US$ 300 milhões em 2023.

Sobre a autoria, Chen adotou tom cauteloso. Ela disse que a equipe identificou endereços de IP compatíveis com as escolhas de VPN de um grupo norte-coreano e que o padrão lembra ações anteriores atribuídas ao país. A executiva ressaltou, porém, que a identidade do atacante não foi confirmada e que nenhuma evidência técnica foi divulgada. Ela contou ainda ter sido alvo do mesmo grupo no passado, perdendo cerca de US$ 80 mil de uma carteira pessoal.

O Grupo Lazarus, também rastreado pelo codinome TraderTraitor, é apontado como responsável pelos maiores roubos da história do setor. Em fevereiro de 2025, a Bybit perdeu US$ 1,4 bilhão em um ataque que o FBI depois atribuiu a norte-coreanos. Segundo a Chainalysis, o país arrecadou mais de US$ 2 bilhões em criptoativos em 2025.

A Bitget promete publicar um relatório completo, com a análise da causa, após concluir os reparos técnicos. Autoridades policiais investigam o caso. Para usuários brasileiros da plataforma, a principal informação é que, segundo a empresa, os saldos estão preservados graças ao fundo de proteção.