• Hackers implantaram código no Safe{Wallet} para roubar quase US$ 1,5 bilhão da Bybit em fevereiro de 2025.

• O FBI atribuiu o roubo da Bybit à Coreia do Norte.

• A Binance perdeu cerca de US$ 6,3 bilhões em 29 de outubro, em um ataque rastreado até o laptop comprometido de um engenheiro.

Um único aplicativo de assinatura, US$ 1,5 bilhão

Quase US$ 1,5 bilhão saiu da corretora de criptomoedas Bybit em fevereiro de 2025, e a porta usada pelos invasores não pertencia à Bybit. Eles implantaram código no Safe{Wallet}, um aplicativo externo de assinatura que a corretora havia integrado ao seu fluxo de transferências, uma configuração comum entre equipes que assinam transações multisig por meio de uma interface dedicada. Ao analisar uma transação, os funcionários viam um destinatário na tela, enquanto a assinatura que produziam autorizava outro. O FBI atribuiu a operação à Coreia do Norte. Os clientes da Bybit foram expostos por meio de uma infraestrutura com a qual nunca tiveram contato. Nenhuma chave privada foi roubada. Os ladrões nunca obtiveram as credenciais mestras que controlavam as carteiras; eles enganaram os próprios sistemas de aprovação da corretora para liberar os fundos, e a violação ocorreu na camada do aplicativo, um nível acima da própria criptografia. A assinatura multisig existe para exigir mais de uma aprovação antes que o dinheiro seja movimentado, e o código implantado contornou essa verificação ao controlar o que os responsáveis pela aprovação viam. Os US$ 1,5 bilhão que deixaram a plataforma passaram por esse único fluxo comprometido. Registros on-chain e declarações das empresas apontam prejuízos totais superiores a US$ 8 bilhões na Binance, Bybit e Bitget em 20 meses, e todos esses roubos passaram pela etapa de aprovação, não pelas chaves. O Safe{Wallet} é a interface de assinatura do protocolo Safe, cujas carteiras são um padrão amplamente utilizado no setor, e é por isso que o incidente volta à tona sempre que ocorre uma nova violação. O preço do Safe cai 3,3% nas últimas 24 horas, à medida que o padrão se repete. Para um protocolo cujo produto é a confiança no processo de assinatura, um episódio em que signatários aprovaram transferências que nunca escolheram representa exatamente a falha que a marca existe para evitar.

Três ataques, nenhuma chave roubada

Chegou a vez da Binance na quinta-feira, 29 de outubro, quando a corretora perdeu cerca de US$ 6,3 bilhões. O co-CEO Richard Teng disse que o ataque começou com o laptop comprometido de um engenheiro e que a análise da empresa não encontrou evidências de vazamento de chaves. “O invasor não usou simplesmente as permissões de um engenheiro, e não foi uma única ação de um clique”, disse Teng em seu relato oficial da violação. A Bitget perdeu cerca de US$ 387,5 milhões em setembro, após invasores explorarem falhas em produtos de segurança de terceiros. Em seguida, ordens falsas de saque passaram pelo processo normal de assinatura da plataforma. A Coinbase, que não divulgou nenhum roubo comparável, é o contraponto que o mercado agora estuda. Seu modelo de custódia usa computação multipartidária (MPC), que divide cada chave em partes mantidas em máquinas separadas, e a empresa afirma desenvolver internamente todo o software crítico para a segurança; tanto a violação da Bitget quanto a da Bybit tiveram origem em terceiros. Greg Tusar, co-CEO da Coinbase Institutional, descreveu o projeto em uma publicação no blog da empresa: “A MPC garante que as chaves privadas completas nunca sejam armazenadas em repouso nem em uma única máquina durante a assinatura ou o uso.” Dados on-chain mostram que as carteiras da Coinbase guardam cerca de 959.000 BTC em 69,8 milhões de endereços, uma posição avaliada em US$ 74,7 bilhões, e o pesquisador Zeeme argumenta em uma publicação no X que essa configuração bloqueia as três vias de ataque, já que um laptop roubado forneceria apenas uma parte inútil da chave. O diretor de tecnologia Rob Witoff disse que a corretora está “monitorando a volatilidade dos preços e rastreando fundos roubados on-chain”, enquanto o diretor de segurança Jeff Lunglhofer disse que a Coinbase está bloqueando transferências para carteiras comprometidas da Binance e ajustou seu armazenamento a frio por precaução. Os clientes que preferirem retirar fundos da plataforma podem seguir nosso passo a passo sobre como sacar na Coinbase. A empresa não está livre de violações: em 2025, criminosos subornaram funcionários de atendimento no exterior para vazar dados de clientes coletados pelo processo de KYC da empresa. A Coinbase avaliou o incidente entre US$ 180 milhões e US$ 400 milhões, embora tenha afirmado que os fundos nunca ficaram acessíveis. Em abril, o pesquisador Marc Baumann estimou que a Coinbase detém 84% dos ativos dos ETFs de Bitcoin à vista dos EUA, cerca de US$ 77 bilhões sob custódia de uma única entidade.

Risco de assinatura além das corretoras

Os três ataques compartilham uma falha de projeto, e não é de criptografia: todos miraram a etapa de aprovação em que uma pessoa assina, justamente aquela que a divisão de chaves e o desenvolvimento interno da Coinbase foram projetados para proteger. No caso da SAFE, a interpretação é mais difícil: a interface de assinatura do protocolo foi o vetor do roubo da Bybit, e o mercado está reavaliando o token tanto por essa associação quanto pela tokenomics do próprio ativo. Nossa página de análise técnica da SAFE acompanha como o token absorve cada nova notícia sobre segurança. As carteiras de hardware também levantam questões semelhantes sobre a cadeia de suprimentos, como mostrou, desde março de 2026, o relatório sobre o implante nos dispositivos CryptoBilis da Safe 5. Com 84% dos ativos dos ETFs de Bitcoin à vista dos EUA sob custódia de uma única entidade, a mesma etapa de aprovação agora protege os fundos de Wall Street. As perdas recaem sobre as corretoras e seus usuários; a Coinbase afirma estar rastreando os fundos roubados on-chain, e o histórico não aponta nenhum caminho para recuperar o que foi drenado.