Da Mt. Gox à Bitfinex, da Bybit à Bitget, os vetores de ataque às exchanges evoluíram continuamente; após ser comprometida em 2019, a Binance voltou a enfrentar a mesma pergunta: quem arca com as perdas?
Se colocarmos os ataques a exchanges ocorridos ao longo de mais de uma década em uma única linha do tempo, veremos uma mudança evidente:
As perdas são cada vez maiores, mas os atacantes cada vez menos tentam invadir diretamente as carteiras frias. O que costuma estar na mira são as carteiras quentes, as chaves privadas, os processos de assinatura, os dispositivos internos e as conexões entre as exchanges e serviços de terceiros.
——
Das carteiras quentes às chaves privadas: os primeiros vetores de ataque
Em fevereiro de 2014, foi dado como desaparecido um total de cerca de 850 mil bitcoins da Mt. Gox, no valor aproximado de 450 milhões de dólares à época. Os ativos não foram transferidos de uma só vez, mas foram desaparecendo gradualmente ao longo de um período prolongado. A gestão descontrolada das carteiras quentes e a proteção insuficiente das chaves privadas acabaram por levar à falência da maior corretora de bitcoin da época.
Em agosto de 2016, foram roubados 119 756 bitcoins da Bitfinex, no valor aproximado de 72 milhões de dólares à época. Os atacantes contornaram os processos de custódia e autorização com múltiplas assinaturas da corretora e iniciaram transferências não autorizadas. Parte dos ativos foi recuperada mais tarde, mas os utilizadores continuaram a enfrentar a repartição das perdas e um longo processo de indemnização.
Em janeiro de 2018, foram roubados cerca de 523 milhões de dólares em NEM da corretora japonesa Coincheck. Uma grande quantidade de ativos estava guardada em carteiras quentes ligadas à internet, sem recurso a assinaturas múltiplas. Após a divulgação das chaves privadas, os ativos foram transferidos de uma só vez. No final, a Coincheck indemnizou os utilizadores com fundos da empresa.
O ponto em comum nesta fase é evidente:
Os ativos continuavam na corretora, mas as chaves, as carteiras e os processos de autorização não estavam verdadeiramente separados.
Em maio de 2019, a própria Binance sofreu um ataque em grande escala. Os hackers transferiram 7 000 bitcoins da carteira quente da Binance, no valor aproximado de 40 milhões de dólares à época. Segundo a Binance, os atacantes obtiveram dados como chaves de API dos utilizadores e informações de autenticação de dois fatores por meio de phishing, vírus e outros métodos e, depois, iniciaram levantamentos em massa.
As perdas daquele incidente foram cobertas pelo fundo SAFU, sem perdas diretas para os utilizadores. Depois de realizar verificações de segurança, a Binance retomou as operações, estabelecendo assim um modelo de resposta a incidentes de segurança em que “a plataforma paga e os utilizadores não sofrem perdas”.
—
Do roubo de chaves ao ataque aos processos
A partir daí, os atacantes começaram a contornar as carteiras individuais e passaram a atacar os processos operacionais e os sistemas de permissões das corretoras.
Em setembro de 2020, as chaves privadas das carteiras quentes da KuCoin foram divulgadas, causando perdas de cerca de 280 milhões de dólares. As equipas dos projetos, as corretoras e as empresas de segurança acompanharam conjuntamente os fundos. Cerca de 84% dos ativos foram recuperados; o restante foi coberto por seguros e fundos da empresa.
Em dezembro de 2021, a BitMart sofreu um ataque às carteiras quentes, com perdas estimadas entre 150 e 196 milhões de dólares. As informações públicas indicam que o incidente esteve relacionado com a divulgação das chaves privadas de carteiras quentes. A BitMart comprometeu-se depois a indemnizar os utilizadores afetados com fundos da empresa e do seguro.
Em 2023, cerca de 70 milhões de dólares em ativos foram transferidos da CoinEx, num incidente que se acredita estar relacionado com a divulgação das chaves privadas das carteiras quentes. Nesse mesmo ano, foram roubados cerca de 125 milhões de dólares em ativos da Poloniex. Os atacantes transferiram ativos de várias redes, mas a plataforma não divulgou por completo o ponto de entrada definitivo do ataque.
Os métodos de ataque estão a mudar:
De “obter a chave privada” → “contornar as permissões” → “falsificar transações”.
—
O software de terceiros também se tornou um ponto de entrada para ataques
Dois incidentes ocorridos em 2024 já se aproximam mais dos métodos de ataque atuais.
Em maio, foram roubados cerca de 4 502,9 bitcoins da corretora japonesa DMM Bitcoin, no valor aproximado de 305 milhões de dólares à época. A empresa não divulgou por completo o método inicial de intrusão. Mais tarde, o FBI atribuiu o ataque ao grupo TraderTraitor, associado à Coreia do Norte.
Em julho, foram roubados cerca de 235 milhões de dólares em ativos da WazirX. Suspeita-se que os atacantes tenham explorado diferenças entre a interface de transações de carteiras com múltiplas assinaturas e os dados de assinatura, levando as pessoas envolvidas a aprovar transações maliciosas. Posteriormente, a WazirX e a prestadora de serviços de custódia Liminal entraram em disputa sobre a atribuição de responsabilidades.
Em fevereiro de 2025, foram roubados entre 1,46 e 1,5 mil milhões de dólares em ativos da Bybit, tornando-se o maior roubo de uma corretora até então.
A Bybit demonstrou uma coisa:
As múltiplas assinaturas não garantem segurança absoluta.
Os atacantes não quebraram simplesmente as chaves privadas das carteiras frias. Exploraram diferenças entre a forma como as transações eram apresentadas e os dados no processo de assinatura, levando os signatários a aprovar transações maliciosas. Mais tarde, o FBI atribuiu o ataque ao grupo TraderTraitor, associado à Coreia do Norte.
As carteiras frias não foram diretamente comprometidas, mas as transações foram aprovadas na mesma. Por isso, a questão da segurança passou de “onde estão guardados os ativos?” para “quem aprova as transações e o que vê essa pessoa?”.
—
Bitget: o alerta antes do incidente da Binance
Às 18:31 UTC de 24 de setembro de 2026, os atacantes iniciaram transferências não autorizadas a partir de algumas carteiras quentes e mornas da Bitget. Às 19:05 UTC, o sistema de reconciliação de fundos da Bitget detetou anomalias e suspendeu imediatamente todos os levantamentos na plataforma.
A Bitget estimou inicialmente as perdas em cerca de 351,6 milhões de dólares. Após reclassificar transações on-chain envolvendo Zcash, TRON e outras redes, o valor foi posteriormente corrigido para cerca de 387,5 milhões de dólares. Por fim, a página oficial indicou um montante verificado de aproximadamente 388 milhões de dólares.
Segundo a Bitget, o ataque explorou uma vulnerabilidade de dia zero num produto de segurança de terceiros para roubar credenciais de acesso à rede interna. Em seguida, os atacantes falsificaram instruções de levantamento, contornaram os sistemas de controlo de risco e escreveram comandos de transferência diretamente no sistema de carteiras.
O incidente não envolveu carteiras frias, e a empresa afirmou que as chaves privadas não foram comprometidas. Os saldos dos utilizadores da Bitget não foram afetados; as perdas foram cobertas pelo fundo de proteção dos utilizadores. O serviço de levantamentos foi restabelecido por fases até 2 de outubro.
A Bitget deixou um sinal claro:
O verdadeiro perigo talvez não esteja na própria carteira, mas no software, nos dispositivos e nas permissões que estão por trás dela.
—
Binance: os limites de segurança são novamente ultrapassados
Na madrugada de 30 de outubro de 2026, segundo uma reconstrução baseada em informações públicas on-chain, a carteira quente da Binance identificada como “Binance 14” apresentou uma autorização anómala. Minutos depois, vários ativos foram transferidos em massa para fora da carteira, seguindo-se transferências sucessivas em várias carteiras quentes e diferentes redes.
Naquela manhã, a Binance suspendeu os depósitos e os levantamentos e afirmou que os fundos dos utilizadores estavam seguros e que a empresa cobriria todas as perdas.
A investigação preliminar divulgada pela Binance indicou que o incidente poderá estar relacionado com o comprometimento do portátil de um engenheiro de DevOps. O atacante usou-o para aceder a um contentor de serviços e iniciar transações de levantamento não autorizadas.
A Binance afirmou que, até ao momento, não encontrou provas de que as chaves privadas das carteiras tenham sido divulgadas. No entanto, a investigação posterior identificou outros pontos de entrada. Por isso, o computador do funcionário é apenas uma pista inicial, não a causa definitiva.
Quanto ao montante, a Chainalysis estima que tenham sido roubados cerca de 5,9 mil milhões de dólares em ativos, enquanto a TRM Labs estima mais de 6 mil milhões. A estimativa oficial atual da Binance é:
O impacto total deste incidente foi de cerca de 6,3 mil milhões de dólares.
A Binance afirmou que cerca de 3 mil milhões de dólares em ativos já foram congelados ou protegidos. A empresa também reservou mais de 6,34 mil milhões de dólares dos seus próprios fundos para cobrir o incidente, dos quais cerca de 5 mil milhões já foram alocados aos tokens correspondentes afetados.
Este montante é uma reserva para indemnizações, não um novo valor roubado, e não deve ser somado diretamente aos 3 mil milhões de dólares congelados.
As declarações de CZ centraram-se sobretudo em três pontos:
Os fundos dos utilizadores estão seguros e, ao que tudo indica, o incidente foi de facto um ataque informático;
A Binance não sofreu um colapso ao estilo da FTX, porque este parece ter sido um incidente de segurança isolado, absorvível pelo balanço da empresa;
O processo de recuperação dos ativos já começou, e a Binance pode repor gradualmente os tokens afetados através das comissões de negociação e das operações de mercado.
Até ao final da noite de 30 de outubro de 2026: cerca de 6,3 mil milhões de dólares em ativos foram afetados; cerca de 3 mil milhões foram congelados ou protegidos; e a Binance preparou mais de 6,34 mil milhões de dólares em fundos próprios para cobrir as perdas. No entanto, as perdas líquidas finais, o montante efetivamente recuperado e o percurso completo do ataque ainda não foram confirmados.
Por isso, este incidente não deve ser interpretado simplesmente como “a Binance acabou por perder 6,3 mil milhões de dólares”.
Em 2019, a Binance recorreu ao fundo SAFU para cobrir perdas de cerca de 40 milhões de dólares. Desta vez, a dimensão do incidente chegou aos 6,3 mil milhões, e o ponto de entrada do ataque alargou-se: dos utilizadores da API e das carteiras quentes passou também aos dispositivos internos, ao software de terceiros e às permissões de sistemas de back-end.
Da Mt. Gox à Bitget e agora à Binance, a segurança das corretoras já não se resume à distinção entre carteiras frias e quentes.
A verdadeira questão levantada por este incidente não é apenas se a Binance tem dinheiro para indemnizar os afetados.
Quando os limites de segurança de uma corretora são ultrapassados repetidamente, quem acaba por suportar as perdas: a plataforma ou os utilizadores?