A Bitget confirmou que invasores roubaram US$ 387,5 milhões das carteiras da sua exchange em 24 de setembro. Os saques continuam suspensos, enquanto a empresa afirma que seu fundo de proteção cobre a perda.
A Mandiant e a SlowMist estão investigando. A CEO Gracy Chen suspeita de envolvimento norte-coreano, embora o ponto de entrada inicial ainda não tenha sido divulgado.
Então, como o ataque pode ter acontecido? A BeInCrypto organizou uma cronologia com base em informações disponíveis publicamente.
24 de setembro, 18:31 UTC: Bitget detecta transferências não autorizadas
A Bitget afirma que seus sistemas de segurança detectaram as transferências às 18:31 UTC e ativaram procedimentos de emergência em poucos minutos.
A violação afetou partes de suas carteiras quentes e mornas, que dão suporte às operações da exchange. Segundo a empresa, suas carteiras frias, mantidas offline, permaneceram seguras. O horário da detecção não determina quando os invasores obtiveram acesso pela primeira vez.
19:57–21:06 UTC: negociações incomuns soam o alerta
Às 19:57, o analista DCF GOD sinalizou uma carteira recém-criada que gastou US$ 19,67 milhões em USDT0 para comprar 7.111 ETH em seis minutos. Segundo relatos, ela pagou até 5% acima dos preços de mercado.
Esse comportamento sugeria que alguém priorizava movimentar os fundos rapidamente. A motivação ainda não estava clara.
Às 21:06, a Bubblemaps informou que cerca de US$ 180 milhões haviam sido transferidos de carteiras da Bitget para um endereço receptor comum e, em seguida, divididos entre várias carteiras.
21:30 UTC: Chen confirma a violação
O comunicado de segurança de Chen estimou inicialmente a perda em US$ 351,6 milhões e confirmou que os saques haviam sido suspensos.
O comunicado foi publicado quase três horas após o horário de detecção informado pela Bitget. Esse intervalo levanta dúvidas sobre a resposta da empresa, mas não prova que os fundos continuaram saindo durante todo esse período.
25 de setembro, 00:43 UTC: surge o método suspeito
Chen afirmou que os invasores comprometeram um sistema crítico de back-end, ou seja, um software que gerencia as operações das carteiras nos bastidores.
Eles forneceram dados de transação falsos e acionaram o processo de autorização da Bitget. Em termos simples, o próprio sistema da empresa aprovou transferências fraudulentas.
Chen afirmou que o roubo de chaves privadas foi descartado. Ainda é necessária uma explicação pública detalhada sobre como os invasores acessaram o back-end e quais verificações falharam.
14:03 UTC: a perda chega a US$ 387,5 milhões
A Bitget revisou sua estimativa após incluir os ativos afetados de Zcash e TRON. A empresa afirmou que o aumento refletia uma contabilização mais completa do roubo original.
A empresa afirma que a vulnerabilidade foi corrigida. Prometeu anunciar um plano para os saques até 26 de setembro, às 04:00 UTC, sem se comprometer a reabri-los nessa data.
Por que os investigadores suspeitam de envolvimento norte-coreano
Chen citou o comportamento dos IPs e a atividade na blockchain, compatíveis com grupos norte-coreanos. Vários aspectos se assemelham ao roubo da Bybit em fevereiro de 2025, que o FBI atribuiu à Coreia do Norte.
- Aprovações manipuladas: A Bitget descreve instruções falsas que chegaram ao seu sistema de autorização. Na Bybit, uma interface comprometida enganou os signatários para que aprovassem uma transação maliciosa. Os mecanismos são diferentes, mas ambos exploraram o processo de aprovação.
- Conversão rápida de ativos: Os fundos vinculados à Bitget foram rapidamente usados para comprar ETH. O FBI documentou a rápida conversão dos ativos roubados da Bybit em outras criptomoedas.
- Divisão dos fundos entre carteiras: A Bubblemaps identificou várias carteiras receptoras. Segundo o FBI, os valores obtidos com o roubo da Bybit foram distribuídos por milhares de endereços.
- Uso da THORChain: A MistTrack informou que os valores obtidos com o roubo da Bitget entraram no protocolo e identificou seu uso anterior para movimentar fundos roubados da Bybit.
Essas semelhanças justificam uma investigação mais aprofundada. Por si só, não identificam os invasores da Bitget.
Fonte: BeInCrypto
