Em 2 de novembro, criminosos retiraram ativos das hot wallets do Mercado Bitcoin, a mais antiga e maior exchange de criptomoedas do Brasil, em dez redes blockchain ao mesmo tempo. As estimativas do prejuízo vão de US$ 30 milhões a US$ 49 milhões. A exchange suspendeu depósitos e saques e não informa quando vai retomá-los. Na manhã de 3 de novembro, a plataforma ainda estava em manutenção.
O Mercado Bitcoin funciona desde 2013 e se apresenta como a primeira corretora de criptomoedas do país. Conforme a fonte, tem de 4,5 milhões a 4,8 milhões de clientes. Em 27 de outubro, a exchange pediu autorização ao Banco Central. Em julho, a Tether tornou-se sócia minoritária de sua holding, a 2TM.
Como aconteceu
Segundo a AuditKey, a preparação começou ainda em 1º de novembro, por volta das 21h20 no horário de Moscou. A primeira transferência saiu às 4h36, na rede Arbitrum. Depois, como descreve o analista da CertiK Dixon Wu, o invasor passou cerca de quatro horas testando valores pequenos em redes menores. O saque principal levou cerca de meia hora, das 9h19 às 9h53: as hot wallets foram esvaziadas em dez redes, entre elas Bitcoin, Ethereum, Solana, Stellar, Tron e Avalanche.
Não houve falhas em contratos inteligentes. Foram transferências comuns, assinadas com chaves válidas da exchange. Como o invasor obteve o direito de assinatura, não se sabe. A AuditKey ressalta: pela blockchain não dá para distinguir um ataque externo da ação de alguém de dentro ou de uma falha em um fornecedor.
“Ataque contido”, e os saques continuavam
Às 15h56 no horário de Moscou, o Mercado Bitcoin informou que um incidente em “um dos sistemas” fora identificado e rapidamente contido, que os clientes não perderiam nada e que não houve vazamento de dados. Na blockchain, acontecia outra coisa. Pela contagem da Bitquery, das 15h27 às 19h56 o invasor esvaziou 36.042 endereços de depósito de clientes na Ethereum e varreu mais 143 endereços na BNB Chain até as 21h08. Ou seja, continuou sacando por cerca de quatro horas depois do comunicado da exchange.
O valor aqui é pequeno, cerca de US$ 266 mil: 91% desses endereços tinham menos de US$ 10. O que importa é outra coisa. O invasor tinha as chaves não só das hot wallets, mas também dos endereços que os clientes usam para depositar. “Quem fez isso também consegue sacar dos endereços de depósito dos clientes”, diz Wu. Pesquisadores ouvidos pelo The Record contestam a afirmação da exchange de que os recursos dos clientes não foram afetados. Formalmente, a exchange tem razão: as moedas nos endereços de depósito ficam sob a guarda dela, e o cliente tem apenas um registro de saldo. Mas é justamente por isso que tudo depende de ela cumprir a promessa.
Quanto foi levado: de US$ 30 milhões a US$ 49 milhões
- AuditKey: US$ 30,3 milhões, contando só tokens com preço confiável.
- Hypernative: mais de US$ 40 milhões em pelo menos dez redes.
- Bitquery: US$ 48,6 milhões; sem o token EVA, US$ 47,4 milhões.
- Chainalysis, a quem a exchange pediu ajuda: cerca de US$ 49 milhões em 17 redes. Segundo a Bitquery, essas 17 incluem redes por onde passou dinheiro de carteiras de terceiros, enquanto as perdas da própria exchange ocorreram em dez.
Na atualização da noite, o próprio Mercado Bitcoin deu dois números: cerca de US$ 11 milhões bloqueados e cerca de US$ 38 milhões “ainda não bloqueados”. Juntos, cerca de US$ 49 milhões. Parte da imprensa apresentou os US$ 38 milhões como o prejuízo total. Na verdade, é só a parte não congelada. Segundo a Hypernative, entre os ativos levados há 106 BTC, 2.852 ETH, 10,7 mil SOL, 6,7 milhões de XLM, 1,7 milhão de TRX e mais de duzentos outros tokens. Os bitcoins, segundo a Bitquery, ainda não se moveram.
Congelamento: desta vez ajudou
A Tether fez o primeiro bloqueio às 13h21 no horário de Moscou; a Circle entrou cerca de seis horas depois. A Bitquery contou US$ 11,4 milhões congelados: US$ 5,9 milhões na Tether, US$ 3,9 milhões na Circle, US$ 1,5 milhão na Paxos e cerca de US$ 145 mil na Agora e na Ripple. Outros 358 mil EURC seguiam sem congelamento. A Chainalysis apresenta outros números: quase US$ 10 milhões, dos quais mais de US$ 9 milhões na Tether. Por enquanto, os dados não batem.
Aqui o congelamento funcionou a favor das vítimas. Mas é o mesmo botão: o emissor pode travar USDT ou USDC em qualquer endereço, inclusive no seu, e a decisão é dele. Ninguém consegue congelar BTC, ETH, SOL ou XLM, e por isso o invasor trocou com tranquilidade a maior parte do saque pelos serviços de troca Mayan e Bridgers.
Uma promessa sem lastro
A exchange repete que os clientes não vão perder nada. De onde virá o dinheiro e em que prazo, ela não diz: nada sobre reservas, seguro ou acionistas. Os saques voltarão “quando for seguro”. Até a manhã de 3 de novembro, o Banco Central, a CVM e a Polícia Federal não tinham se manifestado publicamente. A exchange alerta ainda para golpistas que oferecem “ajuda para recuperar fundos”. Se você é cliente do Mercado Bitcoin, não responda a essas ofertas e não envie nada para os endereços de depósito antigos até que a exchange anuncie que eles são seguros.
Perguntas em aberto
- Como o invasor obteve o direito de assinatura: pelas chaves, pelo sistema de assinatura, por um funcionário ou por um fornecedor?
- Por que a exchange chamou o ataque de contido se os saques de endereços de clientes duraram mais quatro horas?
- As chaves dos endereços de depósito foram trocadas, e é possível voltar a depositar com os dados antigos?
- Com que dinheiro a exchange vai cobrir os US$ 38 milhões não congelados?
- Quando e em que ordem os saques serão retomados?
- Qual é o valor final e quantas redes foram afetadas: dez ou dezessete?
O que fica disso
Saldo em exchange é uma promessa da exchange. Enquanto os saques estão fechados, suas moedas existem apenas como uma linha no banco de dados dela, e o acesso volta quando ela decidir. Mantenha na exchange o que usa para negociar e o resto em uma carteira cujas chaves só você tenha. Lembre-se, porém, de que o emissor pode congelar stablecoins até na sua própria carteira.
Para contexto: três dias antes, a Chainalysis informou uma invasão dos próprios sistemas — a mesma empresa que agora ajuda o Mercado Bitcoin a rastrear o que foi levado.