Em fevereiro de 2025, a Bybit revelou um ataque que desviou cerca de US$ 1,5 bilhão em Ethereum. O caso se tornou o maior roubo confirmado contra uma exchange na história das criptomoedas. Conforme o FBI, o grupo TraderTraitor, ligado à Coreia do Norte e associado ao Lazarus Group, conduziu a operação. Os invasores não quebraram chaves privadas nem exploraram uma vulnerabilidade conhecida no contrato central da carteira.

Em vez disso, o grupo comprometeu a interface usada pelos responsáveis por assinar transações. Dessa maneira, os invasores manipularam as informações exibidas durante uma transferência da carteira fria multisig. O episódio mostrou que uma interface adulterada pode comprometer até operações protegidas por várias assinaturas.

Cronologia do ataque à carteira fria da Bybit

O incidente veio a público em 21 de fevereiro de 2025, quando o CEO Ben Zhou confirmou uma saída incomum da carteira fria de Ethereum. A exchange descreveu o caso em sua atualização oficial de segurança. A carteira afetada utilizava a infraestrutura multisig da Safe, comum em operações institucionais. Apesar da perda, a empresa afirmou que os recursos dos clientes continuavam cobertos.

Dados on-chain registraram a transferência de aproximadamente 401 mil ETH para um endereço controlado pelos invasores. Logo depois, o grupo distribuiu os recursos entre diversas carteiras. Esse comportamento corresponde a técnicas de dispersão e lavagem já observadas por analistas de blockchain. Naquele momento, não havia confirmação sobre a recuperação integral dos valores.

Em 26 de fevereiro de 2025, o FBI atribuiu formalmente o roubo ao TraderTraitor. A agência também orientou exchanges, validadores e instituições financeiras a bloquearem transações ligadas aos endereços identificados. Com isso, as autoridades buscaram dificultar a conversão e a movimentação dos recursos roubados.

Interface manipulada enganou os signatários

A Safe relacionou a origem do incidente ao comprometimento do computador de um desenvolvedor. De acordo com o relato técnico da Safe, os invasores obtiveram acesso à infraestrutura usada pelo aplicativo web. Em seguida, inseriram código JavaScript malicioso direcionado especificamente à carteira da Bybit. A alteração não afetou o contrato inteligente central da Safe.

Durante uma transferência rotineira, a interface apresentou aos signatários informações compatíveis com a operação esperada. Entretanto, a transação assinada alterou a lógica da carteira e permitiu que o invasor assumisse o controle dos fundos. Depois das aprovações necessárias, o grupo executou a retirada. Como os participantes consultaram a mesma interface adulterada, nenhum deles identificou a divergência a tempo.

O episódio ilustra o risco de assinar dados sem uma validação independente. Contudo, classificá-lo apenas como blind signing simplifica o mecanismo empregado. O ataque combinou comprometimento de infraestrutura, falsificação da interface e manipulação da transação. Portanto, a segurança das chaves privadas não bastou para impedir a perda.

Controles que poderiam limitar as perdas

Carteiras de hardware compatíveis com a exibição de calldata decodificado oferecem uma camada adicional de conferência. Assim, os signatários podem verificar o contrato, o método e os parâmetros antes da aprovação. Interfaces independentes também ajudam a detectar divergências durante uma operação. Por outro lado, todos os participantes da Bybit visualizaram dados fornecidos pela mesma camada comprometida.

Limites de saque vinculados ao contrato poderiam reduzir o impacto de uma sessão adulterada. Da mesma forma, bloqueios temporais criariam uma janela para cancelar operações suspeitas. A carteira fria afetada não aparentava ter limites on-chain capazes de conter uma retirada daquela dimensão. Por isso, o incidente ampliou o debate sobre controles obrigatórios para carteiras institucionais.

Outra medida envolve separar a criação, a simulação e a assinatura das transações. Nesse modelo, equipes distintas podem validar os mesmos dados por fontes independentes. Ainda assim, qualquer processo depende de procedimentos operacionais consistentes. Uma única interface não deve controlar toda a cerimônia de assinatura.

Efeitos do ataque para usuários de DeFi

O ataque representa, sobretudo, uma falha de custódia centralizada. Ainda assim, seus efeitos poderiam alcançar o ecossistema de finanças descentralizadas. Clientes com recursos na Bybit enfrentaram risco de contraparte, embora a exchange tenha prometido cobrir a perda. Para isso, a empresa recorreu a reservas próprias e financiamento emergencial.

Essa resposta evitou prejuízos imediatos aos clientes e permitiu a continuidade dos saques. Em contrapartida, usuários que mantinham Ethereum em carteiras sem custódia não tiveram exposição direta ao roubo. A autocustódia, porém, não elimina riscos ligados a contratos inteligentes, aprovações permanentes e pontes entre redes. Cada modelo exige controles de segurança diferentes.

O principal canal de contágio envolvia a liquidez do mercado. Uma venda forçada de ETH poderia pressionar o preço à vista e afetar posições alavancadas. Consequentemente, contratos perpétuos, taxas de financiamento e garantias em protocolos de empréstimo também poderiam sofrer impactos. A Bybit buscou reduzir esse risco ao usar linhas emergenciais de crédito, em vez de liquidar reservas de forma concentrada.

Stablecoins, ativos embrulhados e oráculos

Outro risco envolvia stablecoins e ativos embrulhados com garantias mantidas por exchanges. Caso uma plataforma afetada concentrasse reservas relevantes, a confiança nesses produtos poderia diminuir rapidamente. Apesar disso, nenhuma grande stablecoin perdeu sua paridade logo após o incidente. O Ethereum também não sofreu um colapso persistente relacionado ao ataque.

Nas horas seguintes à divulgação, a liquidez de alguns pools descentralizados pareados com ETH diminuiu. Além do mais, uma queda prolongada no preço poderia afetar oráculos e garantias usadas em protocolos de empréstimo. Esse cenário aumentaria o risco de liquidações automáticas. Embora não tenha ocorrido de forma duradoura, o mecanismo permanece possível em crises semelhantes.

Cuidados de segurança após o ataque

O FBI alertou que o TraderTraitor costuma movimentar recursos roubados rapidamente. Desse modo, exchanges e instituições podem ter apenas algumas horas para identificar e bloquear os endereços envolvidos. Para usuários individuais, a prioridade deve ser reduzir exposições permanentes de custódia e aprovação. Também é importante acompanhar apenas os canais oficiais das plataformas.

Campanhas de phishing costumam surgir pouco depois de incidentes de grande repercussão. Frequentemente, os criminosos oferecem falsos reembolsos, saques emergenciais ou ferramentas de proteção. Por esse motivo, usuários não devem abrir links recebidos por mensagens diretas, anúncios ou e-mails suspeitos. Transferências apressadas podem levar recursos a endereços fraudulentos e irreversíveis.

Também convém revisar chaves de API, sessões ativas e endereços de saque autorizados. Aprovações ERC-20 podem ser verificadas em exploradores e ferramentas especializadas. Embora a revogação exija uma pequena taxa de rede, ela remove permissões permanentes sem uso. Operações de alto valor devem passar por duas interfaces ou fontes independentes.

Perguntas frequentes sobre o roubo

A Bybit perdeu realmente US$ 1,5 bilhão?

Dados on-chain registraram a saída equivalente a aproximadamente 401 mil ETH da carteira fria. O valor superou US$ 1,4 bilhão no momento da transferência. Conforme a cotação usada, algumas estimativas arredondaram a perda para US$ 1,5 bilhão.

Os recursos dos clientes foram afetados?

A exchange declarou que possuía reservas e financiamento suficientes para honrar os saldos dos clientes. Além do mais, a empresa manteve os saques em funcionamento após divulgar o incidente. A cobertura, contudo, dependeu da capacidade financeira e das medidas adotadas pela própria Bybit.

Usuários de DeFi devem retirar seus recursos?

O episódio não representa uma orientação universal para abandonar o DeFi. Em vez disso, reforça a necessidade de revisar custódia, permissões e práticas de verificação. Decisões impulsivas podem expor usuários a páginas falsas, pontes desconhecidas e endereços maliciosos.

O que ocorre ao interagir com carteiras sinalizadas?

Quem enviou ou recebeu recursos de endereços listados pelo FBI deve consultar as regras de sua jurisdição. Mesmo interações involuntárias podem levar exchanges a revisar contas e solicitar informações adicionais. O caso reforça a importância de verificar a transação assinada, não apenas os dados exibidos pela interface.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.