Roubo de US$ 387 milhões da Bitget: falha de dia zero em equipamento de segurança, rastreamento automatizado e atribuição à Coreia do Norte

O roubo de cerca de US$ 387,5 milhões da corretora de criptomoedas Bitget, em 24 de setembro de 2026, virou um caso de estudo de perícia digital nas duas pontas, porque as investigações das empresas SlowMist e Mandiant reconstruíram pelos registros dos sistemas como os invasores entraram, e a empresa de análise de blockchain Chainalysis publicou em 1º de outubro de 2026 como seguiu o dinheiro por quatro redes com ferramentas automatizadas por inteligência artificial e atribuiu o ataque a agentes da Coreia do Norte.

A detecção e o tamanho da perda

Os sistemas de segurança da Bitget detectaram transferências não autorizadas das carteiras quentes e mornas às 18h31 em UTC (15h31 em Brasília), a corretora suspendeu os saques e informou inicialmente uma perda de US$ 351,6 milhões, número que subiu para US$ 387,5 milhões no dia seguinte, depois do rastreamento e da classificação das transações, segundo o BleepingComputer.

A diretora-executiva da Bitget, Gracy Chen, afirmou que o invasor comprometeu um sistema interno da infraestrutura de carteiras, falsificou os dados das transações e acionou o próprio processo de autorização da corretora para tirar os fundos, sem roubar chaves privadas e sem atingir as carteiras frias, e a TRM Labs comparou o método ao do roubo da Bybit, em fevereiro de 2025, em que também se manipulou o que os responsáveis pela autorização viam.

Como o invasor entrou

Em 30 de setembro de 2026, a Bitget divulgou que duas investigações separadas, uma da empresa de segurança em blockchain SlowMist e outra da Mandiant, braço de defesa cibernética do Google Cloud, concluíram que os invasores chegaram ao ambiente de carteiras depois de comprometer dois equipamentos de segurança de terceiros com falhas de dia zero, ainda desconhecidas do fabricante, segundo o BleepingComputer.

A SlowMist registrou que a atividade maliciosa mais antiga nos registros disponíveis é de 31 de agosto de 2026, quando um serviço num dos nós do equipamento chamado de produto A foi afetado pela falha, e o invasor rodou um script oculto sob o processo desse serviço, leu a variável de ambiente que guardava a senha do banco de dados e se conectou ao banco, com atividade parecida em outros dois nós em 23 e 25 de setembro.

A Mandiant descreveu que, em 24 de setembro de 2026, o invasor obteve acesso privilegiado aos equipamentos A e B, instalou uma web shell no equipamento B, abriu uma conexão de comando e controle e, a partir dali, passou ao servidor de produção que executa as tarefas das carteiras, onde instalou pacotes maliciosos e uma ferramenta própria de saque usada no roubo.

Pela linha do tempo da SlowMist, a primeira transferência saiu às 2h31 de 25 de setembro no fuso UTC+8 e a última às 5h23, quase três horas de ataque em várias redes, o que corresponde ao intervalo das 15h31 às 18h23 de 24 de setembro em Brasília.

O rastreamento do dinheiro

Nas três primeiras horas, os US$ 387 milhões saíram da Bitget em 23 transferências para quatro redes, com 49,7% em Ethereum, 40,8% em XRP, 7,6% em Zcash e 1,8% em Tron, e a partir daí os invasores usaram protocolos de liquidez e de mensagens entre blockchains, trocas instantâneas e serviços de lavagem, segundo a Chainalysis.

O caso do XRP foi o que mais exigiu dos peritos, porque os invasores não mandaram a moeda para uma corretora, e sim para um protocolo de liquidez entre redes que recebe um ativo numa blockchain e entrega outro em outra, de onde saiu bitcoin, sem conta nem intermediário ligando os dois lados, mas com registro público de cada troca, e os investigadores casaram cada depósito com o pagamento correspondente para estender a trilha.

Dezenas de milhões de dólares passaram por esse caminho em cerca de um dia e meio até chegar a endereços de bitcoin controlados pelos invasores, que agora estão sob monitoramento, e a Chainalysis estima que a automação reduziu de mais de 20 horas para menos de 10 minutos esse trabalho manual de conciliação entre redes.

A empresa ressalta que a inteligência artificial acelerou e não substituiu os investigadores, que definiram a lógica, revisaram os resultados e conduziram a apuração, e que os rótulos que marcam os endereços com dinheiro roubado entraram na plataforma minutos depois de identificados, para que corretoras e polícias pudessem agir.

A TRM Labs observou que parte do ether e do XRP foi dividida em carteiras novas com valores redondos, de cerca de 10.000 ETH ou 20 milhões de XRP, que ficaram paradas, e que outra parte passou pela THORChain rumo ao bitcoin em cadeias de descasque (peel chains), e, segundo o site Decrypt, a Circle e a Tether congelaram cerca de US$ 318.000 em stablecoins ligados ao ataque.

A atribuição

A Bitget citou endereços IP ligados a serviços de VPN associados a um grupo hacker norte-coreano, a TRM encontrou sobreposição com carteiras usadas para lavar os roubos da Bybit e da AFX Bridge, atribuídos ao grupo TraderTraitor, mas ressalvou que não tinha atribuição definitiva e que outro autor ainda era tecnicamente possível, e a Chainalysis atribuiu o ataque a agentes ligados à Coreia do Norte, o que leva o total roubado por eles em 2026 a mais de US$ 1 bilhão.

O caso voltou ao centro das investigações em 30 de outubro de 2026, quando a Chainalysis afirmou que a prova mais forte para atribuir ao TraderTraitor o ataque à Binance foi ver, em tempo real, fundos roubados da Binance se misturando aos fundos do roubo da Bitget.