Desta vez, este ataque cibernético não expôs uma falha — expôs o "sistema imunológico" da indústria.
Algumas mudanças novas no caso Bitget até hoje: o valor roubado foi reajustado de US$ 351,6 milhões para US$ 387,5 milhões (incluindo ativos de Zcash e TRON que antes não haviam sido contabilizados de forma completa); a confirmação oficial de que a vulnerabilidade já foi identificada e corrigida; os saques serão retomados em fases a partir de 28 de setembro; o $BGB caiu cerca de 3,3% após a divulgação da notícia e, atualmente, está estabilizado.
Mas o que realmente me fez mudar de opinião foi a sequência de ações que veio depois. A Bitget lançou o "Recovery Bounty Program", oferecendo uma recompensa de 5% para quem ajudar a congelar ou recuperar os fundos; a Tether já congelou 218.000 tokens de $USDT no endereço do hacker, e a Circle congelou US$ 100.000 em USDC; até o CEO da Bybit, concorrente, declarou publicamente que ajudará no rastreamento dos fundos a qualquer momento; as empresas de cibersegurança Mandiant e SlowMist também foram acionadas e atuaram em todo o processo de investigação.
Há alguns anos, isso seria impensável. No roubo do Mt.Gox em 2014 e no caso do The DAO em 2016, a reação do setor foi, em grande parte, de guerra particular entre partes, falta de transparência e recuperação dependendo muito da sorte. Hoje, quando uma corretora enfrenta um problema, a emissora de stablecoins congela ativos proativamente, exchanges concorrentes se posicionam publicamente para dar suporte e instituições de segurança especializadas fazem a investigação em conjunto — todo o fluxo parece mais um tipo de resposta emergencial em nível de indústria do que uma empresa suportando tudo isoladamente.
Por trás disso, na verdade, há uma mudança fácil de ignorar: a rastreabilidade on-chain de ativos mainstream como $ETH e $XRP, somada ao "interruptor de congelamento" que as emissoras de stablecoins controlam, está tornando a etapa de "monetização" dos hackers cada vez mais difícil. Antes, conseguir roubar dinheiro basicamente equivalia a ter dinheiro. Agora, roubar dinheiro significa obter apenas um conjunto de endereços que podem ser congelados a qualquer momento, marcados e vigiados por toda a rede. O custo do ataque não muda, mas o custo de efetivar o saque disparou.
Minha avaliação sobre este episódio é: desde que o fundo de proteção de US$ 464 milhões possa ser honrado conforme prometido e que os saques sejam retomados conforme o cronograma, ainda se trata de um "incidente de segurança de uma única plataforma", e não de um risco sistêmico para a indústria. Pelo que se vê, o ritmo de tratamento da Bitget (pausa dos riscos, cronograma claro e cooperação entre múltiplas partes para rastrear e recuperar) está basicamente alinhado com essa expectativa. O que realmente vai determinar se a confiança dos usuários comuns foi ou não restaurada é se, em 28 de setembro, os saques poderão ser retomados na data, de forma tranquila e sem obstáculos.
Algumas mudanças novas no caso Bitget até hoje: o valor roubado foi reajustado de US$ 351,6 milhões para US$ 387,5 milhões (incluindo ativos de Zcash e TRON que antes não haviam sido contabilizados de forma completa); a confirmação oficial de que a vulnerabilidade já foi identificada e corrigida; os saques serão retomados em fases a partir de 28 de setembro; o $BGB caiu cerca de 3,3% após a divulgação da notícia e, atualmente, está estabilizado.
Mas o que realmente me fez mudar de opinião foi a sequência de ações que veio depois. A Bitget lançou o "Recovery Bounty Program", oferecendo uma recompensa de 5% para quem ajudar a congelar ou recuperar os fundos; a Tether já congelou 218.000 tokens de $USDT no endereço do hacker, e a Circle congelou US$ 100.000 em USDC; até o CEO da Bybit, concorrente, declarou publicamente que ajudará no rastreamento dos fundos a qualquer momento; as empresas de cibersegurança Mandiant e SlowMist também foram acionadas e atuaram em todo o processo de investigação.
Há alguns anos, isso seria impensável. No roubo do Mt.Gox em 2014 e no caso do The DAO em 2016, a reação do setor foi, em grande parte, de guerra particular entre partes, falta de transparência e recuperação dependendo muito da sorte. Hoje, quando uma corretora enfrenta um problema, a emissora de stablecoins congela ativos proativamente, exchanges concorrentes se posicionam publicamente para dar suporte e instituições de segurança especializadas fazem a investigação em conjunto — todo o fluxo parece mais um tipo de resposta emergencial em nível de indústria do que uma empresa suportando tudo isoladamente.
Por trás disso, na verdade, há uma mudança fácil de ignorar: a rastreabilidade on-chain de ativos mainstream como $ETH e $XRP, somada ao "interruptor de congelamento" que as emissoras de stablecoins controlam, está tornando a etapa de "monetização" dos hackers cada vez mais difícil. Antes, conseguir roubar dinheiro basicamente equivalia a ter dinheiro. Agora, roubar dinheiro significa obter apenas um conjunto de endereços que podem ser congelados a qualquer momento, marcados e vigiados por toda a rede. O custo do ataque não muda, mas o custo de efetivar o saque disparou.
Minha avaliação sobre este episódio é: desde que o fundo de proteção de US$ 464 milhões possa ser honrado conforme prometido e que os saques sejam retomados conforme o cronograma, ainda se trata de um "incidente de segurança de uma única plataforma", e não de um risco sistêmico para a indústria. Pelo que se vê, o ritmo de tratamento da Bitget (pausa dos riscos, cronograma claro e cooperação entre múltiplas partes para rastrear e recuperar) está basicamente alinhado com essa expectativa. O que realmente vai determinar se a confiança dos usuários comuns foi ou não restaurada é se, em 28 de setembro, os saques poderão ser retomados na data, de forma tranquila e sem obstáculos.
