A Bitget confirmou que atacantes roubaram US$ 387,5 milhões das carteiras de sua exchange em 24 de setembro. Saques ainda permanecem suspensos, enquanto a empresa afirma que seu fundo de proteção cobre a perda.
A Mandiant e a SlowMist estão investigando. A CEO Gracy Chen suspeita de envolvimento norte-coreano, embora o ponto de entrada inicial continue não divulgado.
Então, como o hack possivelmente aconteceu? A BeInCrypto estruturou uma linha do tempo com base em informações publicamente disponíveis.
24 de setembro, 18:31 UTC: Bitget detecta transferências não autorizadas
A Bitget afirma que seus sistemas de segurança detectaram as transferências às 18:31 UTC e ativaram procedimentos de emergência em poucos minutos.
A violação afetou partes de suas carteiras quentes e mornas, que dão suporte às operações da exchange. Suas carteiras frias offline permaneceram seguras, segundo a empresa. O tempo de detecção não estabelece quando os atacantes ganharam acesso pela primeira vez.
Atualização do progresso mais recente: estamos trabalhando com especialistas terceirizados independentes @Mandiant e @SlowMist_Team para realizar uma investigação abrangente sobre este incidente. Outros pontos já foram mencionados; vou reforçar novamente: -Nossa prioridade máxima é proteger os usuários. Os saldos dos usuários permanecem íntegros, e o Fundo de Proteção aos Usuários da Bitget cobrirá os impactos causados por este incidente no nível da plataforma. -A Bitget Wallet é uma carteira de autogestão, operada com… https://t.co/pZM4XzFolp
— Gracy Chen @Bitget (@GracyBitget) 25 de setembro de 2026
19:57–21:06 UTC: Operações incomuns levantam o alerta
Às 19:57, o analista DCF GOD sinalizou um gasto recém-feito em uma carteira de USDT0 para comprar 7.111 ETH em seis minutos. Segundo relatos, pagou até 5% acima dos preços de mercado.
O comportamento sugeriu que alguém priorizou movimentar fundos rapidamente. O motivo ainda não estava claro.
Às 21:06, a Bubblemaps informou que cerca de US$ 180 milhões estavam sendo movidos das carteiras da Bitget para um endereço comum de recebimento e, em seguida, divididos em várias carteiras.
21:30 UTC: Chen confirma a violação
O aviso de segurança de Chen colocou a perda inicial em US$ 351,6 milhões e confirmou que as retiradas foram pausadas.
O aviso chegou quase três horas depois do horário de detecção declarado pela Bitget. Essa diferença levanta questões sobre sua resposta, mas não prova que os fundos continuaram saindo durante todo esse período.
25 de setembro, 00:43 UTC: Método suspeito surge
Chen disse que os atacantes comprometeram um sistema crítico de backend, ou seja, o software que gerencia as operações da carteira nos bastidores.
Eles forneceram dados de transação falsos e acionaram o processo de autorização da Bitget. Em termos simples, o próprio sistema aprovou transferências fraudulentas.
Chen disse que o roubo de chave privada havia sido descartado. Como os atacantes entraram no backend e quais verificações falharam ainda exige uma explicação pública detalhada.
Dia difícil para a Bitget. Eu espero e sei que @Binance, o ecossistema @BNBCHAIN e a comunidade farão tudo o que pudermos para ajudar. Fiquem SEGUR0s! 🙏 pic.twitter.com/cyAEHdSi1S
— CZ 🔶 BNB (@cz_binance) 25 de setembro de 2026
14:03 UTC: A perda chega a US$ 387,5 milhões
A Bitget revisou sua estimativa após incluir os ativos de Zcash e TRON afetados. Ela disse que o aumento refletiu uma contabilização mais completa do roubo original.
A empresa afirma que a vulnerabilidade foi corrigida. Ela prometeu um anúncio do plano de retiradas até 26 de setembro às 04:00 UTC, sem se comprometer a retomar as retiradas naquele momento.
Por que os investigadores suspeitam de envolvimento da Coreia do Norte
Chen citou comportamento de IP e atividade na blockchain compatíveis com grupos da Coreia do Norte. Várias características lembram o roubo da Bybit em fevereiro de 2025, que o FBI atribuiu à Coreia do Norte.
Aprovações manipuladas: a Bitget descreve instruções falsas chegando ao seu sistema de autorização. Na Bybit, uma interface comprometida enganou os signatários a aprovarem uma transação maliciosa. Os mecanismos são diferentes, mas ambos exploraram o processo de aprovação.
Conversão rápida de ativos: fundos ligados à Bitget compraram ETH rapidamente. O FBI documentou a conversão rápida dos ativos roubados da Bybit em outras criptomoedas.
Divisão de fundos entre carteiras: a Bubblemaps identificou várias carteiras de recebimento. De acordo com o FBI, os resultados da Bybit se espalharam por milhares de endereços.
Usando THORChain: o MistTrack informou que os proventos da Bitget entraram no protocolo e identificou seu uso anterior para movimentar fundos roubados da Bybit.
Essas semelhanças dão suporte para uma investigação mais aprofundada. Elas não identificam, por si só, os atacantes da Bitget.