O incidente de segurança da Bitget em 24 de setembro continua a apresentar novas trilhas de lavagem de dinheiro. O pesquisador on-chain ZachXBT apontou recentemente que endereços relacionados ao ataque da Bitget começaram a transferir cerca de 2.700 Zcash (ZEC) para o mais recente pool de privacidade Ironwood da Zcash (shielded pool). Com base no preço atual de cerca de US$ 1.407 por ZEC, os fundos envolvidos somam aproximadamente de US$ 3,8 milhões a US$ 3,9 milhões.
Esta é uma das operações de privacidade em ZEC mais evidentes após o evento. Diferentemente dos endereços transparentes comuns, uma vez que os fundos entram no Ironwood, o remetente, o destinatário e o valor das transferências dentro do pool de privacidade deixam de ser exibidos diretamente. Isso aumenta significativamente a dificuldade para que instituições de análise em cadeia rastreiem o fluxo de fundos.
Cerca de 2.700 ZEC foram transferidos para o Ironwood, o equivalente a aproximadamente um sétimo dos ZEC roubados
Fonte da imagem: ZachXBT
ZachXBT afirmou que esses endereços já transferiram cerca de 2.700 ZEC para o Ironwood. De acordo com as informações divulgadas até o momento, cerca de 18.900 ZEC foram transferidos no incidente da Bitget, valendo aproximadamente US$ 28,3 milhões na época. Em outras palavras, a parcela que já entrou no Ironwood representa cerca de 14% a 15% dos ZEC roubados.
Em 25 de setembro, após revisar as perdas do incidente, a Bitget confirmou que o total de ativos afetados era de cerca de US$ 387,5 milhões, acima dos US$ 351,6 milhões anunciados inicialmente. O valor revisado inclui principalmente ativos como Zcash e Tron, que não haviam sido totalmente contabilizados antes.
A Bitget também divulgou o principal endereço do invasor dos ZEC: «t1WgMdtND8NF7NDUuYmq8MpMj1NTCXkMDVG», que corresponde à origem dos fundos rastreada por ZachXBT.
Por que é mais difícil rastrear os fundos depois que entram no Ironwood?
A Zcash permite tanto transações transparentes quanto privadas. Se os ZEC permanecerem em endereços transparentes, a análise on-chain é semelhante à do Bitcoin: qualquer pessoa pode ver os endereços de origem e destino, o horário da transferência e o valor. Mas, quando os ZEC passam de um endereço transparente para o Ironwood, a validade da transação é verificada por meio de provas de conhecimento zero, sem que os detalhes da transação sejam divulgados.
Ainda é possível identificar quais endereços transparentes enviaram ZEC para o Ironwood, em que quantidade e quando. Mas, depois que os fundos entram no pool, fica muito mais difícil determinar a quem cada quantia foi transferida, em quantas partes foi dividida e de qual endereço foi retirada no fim. O percurso contínuo dos fundos na blockchain pública é interrompido ao entrar no Ironwood.
As autoridades policiais e as empresas de análise ainda podem monitorar se os fundos voltarão a sair do pool privado. Em especial, se forem enviados para uma corretora centralizada ou outro serviço que exija verificação de identidade, ainda será possível reconstruir pistas.
O Ironwood foi lançado oficialmente em julho deste ano
O Ironwood é um pool privado muito recente da Zcash. Em 28 de julho de 2026, no bloco de altura 3.428.143, a Zcash ativou a atualização NU6.3 e introduziu oficialmente o Ironwood, que substituiu o pool privado Orchard, usado principalmente até então.
O lançamento do Ironwood ocorreu depois que, no início deste ano, foi descoberta uma grave vulnerabilidade de soundness no circuito de prova do Orchard, que, em teoria, poderia permitir que um invasor criasse ZEC adicionais sem ser detectado. Por isso, a Zcash desativou o Orchard, permitindo apenas a retirada de fundos, e migrou as novas transações privadas para o Ironwood. Também adicionou um mecanismo de «turnstile» para garantir que o fornecimento total que entra e sai do pool possa ser verificado.
Em 26 de setembro, os dados de rastreamento indicavam que havia cerca de 3,99 milhões de ZEC no pool do Ironwood e que aproximadamente 89,4% dos fundos do Orchard já haviam sido migrados. O invasor da Bitget não escolheu os antigos endereços privados da Zcash, mas sim o shielded pool mais recente e mais utilizado atualmente pela Zcash.
O incidente ocorreu quando o próprio ZEC estava em um patamar muito elevado. Em 1º de outubro, o CoinGecko mostrava o ZEC cotado a cerca de US$ 1.407, com uma faixa de preço de 24 horas entre aproximadamente US$ 1.382 e US$ 1.458; sua capitalização de mercado ocupava a cerca da 10ª posição no mundo. O ZEC subiu cerca de 13,7% nos últimos 7 dias, 20,9% nos últimos 14 dias e 68,3% nos últimos 30 dias. Em 27 de setembro, o ZEC chegou a cerca de US$ 1.587 e, em 26 de setembro, chegou a ultrapassar US$ 1.650. Apesar da recente queda, continua em um patamar não visto há anos.
Por que os hackers só começaram a «blindar» os fundos agora?
O aspecto mais relevante dessa operação não são os 2.700 ZEC em si, mas a mudança na forma como os fundos estão sendo movimentados. No início do incidente, os invasores dividiram vários ativos em quantias menores, fizeram trocas entre blockchains e os converteram em ativos mais líquidos. Algumas transações também tentaram recorrer a sistemas entre blockchains, como THORChain e NEAR Intents. Agora, começaram a transferir ZEC de endereços transparentes para o Ironwood, o que indica que pelo menos parte dos fundos está deixando a fase de «conversão de ativos» e entrando em uma etapa mais explícita de ocultação da origem on-chain.
Segundo ZachXBT, os invasores «começaram» a realizar o shielding; portanto, os 2.700 ZEC podem ser apenas o primeiro lote. O que merece mais atenção agora é se os cerca de 16 mil ZEC restantes continuarão fluindo dos endereços transparentes conhecidos para o pool privado. ZachXBT descreveu os invasores como um grupo possivelmente ligado à Coreia do Norte.
A CEO da Bitget, Gracy Chen, também afirmou que os endereços IP, a infraestrutura de VPN e a forma de movimentação dos fundos usados no ataque apresentavam características semelhantes às de atividades de hackers norte-coreanos anteriores. No entanto, até o momento, nenhuma agência governamental divulgou uma atribuição oficial.
Enquanto isso, os esforços para recuperar a plataforma Bitget continuam. O relatório de prova de reservas mais recente da empresa mostra que, no instantâneo de 29 de setembro, às 17h (UTC+8), a taxa geral de reservas da Bitget era de 131%, abrangendo 19 ativos, todos acima do nível de cobertura de 1:1, ou 100%. A taxa de reservas de BTC era de 142%, a de ETH, 110%, e as de USDT e XRP, ambas de 107%.
A Bitget informou que a vulnerabilidade do incidente foi corrigida e que, neste momento, o foco está no rastreamento e na recuperação dos ativos. A plataforma também lançou um programa de recompensa: quem ajudar a congelar ou recuperar os fundos com sucesso poderá receber uma recompensa equivalente a 5% do valor correspondente.
O artigo «【Atualização do incidente da Bitget】Hackers transferem cerca de 2.700 ZEC para o pool privado Ironwood, dificultando muito o rastreamento» foi publicado originalmente em (BlockBeats).