• Uma entidade não identificada da UE perdeu mais de US$ 106 milhões de várias contas de exchanges em 1º de novembro.

• Os fundos roubados foram retirados em USDC e USDT antes do início da lavagem.

• Os ladrões trocaram USDC por ETH e, depois, usaram os serviços instantâneos WellWallet e Kyrrex.

Stablecoins saem de contas de exchanges

Mais de US$ 106 milhões saíram das contas de uma entidade não identificada em uma exchange centralizada na União Europeia em 1º de novembro, e o registro on-chain da saída agora é público. O investigador on-chain ZachXBT publicou o rastro do dinheiro em uma postagem de investigação no Telegram na noite de 2 de novembro, afirmando que os fundos suspeitos de terem sido roubados foram retirados de várias contas de exchanges centralizadas nas stablecoins USDC e USDT. Nem a vítima nem qualquer terceiro confirmou publicamente o valor ou o método, e a identidade da entidade europeia continua não revelada. O que o rastreamento mostra é uma eliminação deliberada da rastreabilidade em etapas. Primeiro, os responsáveis converteram USDC em Ether, o par mais profundo e líquido disponível para eles nas plataformas de swap. Em seguida, passaram o Ether por serviços de câmbio instantâneo com requisitos de identificação pouco rigorosos, incluindo WellWallet e Kyrrex, serviços concebidos para converter um ativo em outro em minutos e sem um dossiê completo de conformidade. Na etapa seguinte, os valores foram convertidos em Monero (XMR), uma blockchain de camada 1 voltada para a privacidade, na qual os valores das transferências e as contrapartes são ocultados por definição. Na etapa final, o valor foi transferido entre várias blockchains públicas, em um padrão omnichain que interrompe o rastro a cada salto e obriga qualquer investigador a recomeçar do zero. ZachXBT situou a maior movimentação em um período de aproximadamente 24 horas e descreveu os responsáveis como agindo com rapidez. A retirada em stablecoins também fixa o valor do roubo no momento da retirada, por isso é possível afirmar com precisão o valor de US$ 106 milhões enquanto a vítima permanece em silêncio. O fato de os fundos terem sido retirados de várias contas, em vez de uma única carteira, aponta para um comprometimento coordenado de credenciais, e não para o vazamento de uma única chave, embora o vetor de entrada ainda não tenha sido documentado. Ele também publicou vários endereços ligados ao roubo para que as exchanges e observadores da comunidade possam comparar os depósitos recebidos com seus próprios registros.

A janela de congelamento após a conversão

ZachXBT acrescentou uma segunda conclusão: com base em várias características de lavagem de dinheiro, ele tem muita confiança de que o responsável pelo suposto roubo não é o Grupo Lazarus, o grupo norte-coreano por trás de uma longa série de ataques a corretoras, e a verdadeira identidade do autor continua desconhecida. A questão ainda não resolvida no caso é operacional. Se os fundos realmente saíram de várias contas em corretoras centralizadas, a violação ocorreu no nível das contas: logins, chaves de API, listas de permissões para saques e interceptação de saques anormais falharam antes que as stablecoins pudessem ser sinalizadas. Essa sequência é importante porque os dois ativos em questão ainda estão sujeitos ao controle de seus emissores. USDC e USDT contam com mecanismos de congelamento por parte dos emissores, e um emissor ou uma plataforma só pode intervir enquanto o valor permanecer em uma forma que essas partes possam controlar. O congelamento funciona no nível do token, o que significa que um emissor pode colocar na lista negra um endereço que detenha o ativo; esse mesmo poder não acompanha os fundos quando eles se convertem em Ether ou Monero. Cada conversão elimina essa possibilidade: quando o dinheiro passa a ser Ether, quando conclui uma troca instantânea ou quando chega a Monero, a janela se fecha. Para as corretoras, o episódio reforça a necessidade de compartilhar listas de endereços bloqueados com mais rapidez e de tornar mais rigoroso o monitoramento KYT entre plataformas — a triagem em tempo real que sinaliza depósitos associados a endereços na lista negra. Para as instituições que mantêm grandes saldos em plataformas centralizadas, ele renova os argumentos a favor da autenticação multifator, de períodos de espera para saques e da custódia distribuída entre provedores. A proporção exata entre as duas stablecoins no total roubado não foi divulgada. O episódio também ocorre enquanto o próprio emissor do USDC passa por uma reformulação: a Circle programou para 1º de dezembro uma pausa no CCTP V1, sua ponte legada de USDC; a prévia da COINOTAG dos resultados do terceiro trimestre da Circle (CRCL) estima um LPA de US$ 0,40, junto com o crescimento do USDC; e uma leitura recente de sete dias apontou uma queda de 800 milhões na circulação do USDC. As ferramentas do emissor estão sendo reconstruídas justamente no momento em que os ladrões demonstram a rapidez com que podem contorná-las.

Uma perda não confirmada, um responsável não identificado

A base probatória aqui é a própria blockchain: endereços publicados, padrão de movimentação documentado, valor total informado e, ainda assim, nenhuma confirmação por parte da entidade que supostamente perdeu o dinheiro. Nossa avaliação é que o ponto de entrada foi, muito provavelmente, o nível da conta, e não uma falha de protocolo. As medidas corretivas que se seguem são pouco glamorosas: troca de credenciais, auditorias das listas de permissões e congelamento acionado por sinalização prévia, executado em minutos, pois a conversão para Ether e Monero faz o alcance do emissor desaparecer rapidamente. O roubo de contas em plataformas centralizadas também fica fora da cobertura da maioria dos seguros DeFi, que são concebidos para cobrir explorações de protocolos on-chain, e não credenciais comprometidas. Por enquanto, o caso continua em aberto: o responsável não foi identificado, o rastro passa por Monero e por diversas pontes, e nem a vítima nem o valor da perda foram confirmados de forma independente.