Ataque à Bybit: US$ 1,5 bilhão em ETH roubados e o que o maior roubo cripto da história ensina
Em 21 de fevereiro, atacantes desviaram cerca de 401 mil ETH de uma carteira fria da Bybit. Quatro dias depois, o que se sabe é que os assinantes viram uma tela falsa, que a Coreia do Norte é a principal suspeita e que a causa técnica ainda está em apuração.
Referência histórica: 25 de fevereiro de 2025. Publicado neste site em 2 de novembro de 2026. As datas no texto identificam o período retratado.
Neste artigo
Em resumo
- Em 21/02/2025, cerca de 401 mil ETH, mais de US$ 1,4 bilhão, saíram de uma carteira fria da Bybit em uma única transferência: o maior roubo de criptoativos já registrado.
- O CEO Ben Zhou disse que os assinantes viram uma interface adulterada, com o endereço correto e uma URL que parecia da Safe, enquanto a mensagem assinada mudava a lógica do contrato da carteira.
- TRM Labs, Elliptic e o investigador ZachXBT apontam a Coreia do Norte; o FBI ainda não havia se pronunciado até esta data.
- A lição central é de processo: assinar às cegas uma transação que a tela não mostra por inteiro derrota até carteira fria com várias assinaturas.
São Paulo, 25 de fevereiro de 2025 — Na sexta-feira, 21 de fevereiro, a exchange Bybit, sediada em Dubai, perdeu cerca de 401 mil ETH, mais de US$ 1,4 bilhão, em uma única transferência. Segundo a Elliptic, empresa de análise de blockchain, foram aproximadamente US$ 1,46 bilhão. É o maior roubo de criptoativos já registrado. A exchange afirma que os fundos de clientes seguem cobertos, mas o caso expõe uma falha que não se resolve só com tecnologia: o momento em que pessoas aprovam uma transação.
- ETH desviados em uma só transferência (The Record, 24/02)
- ~401 mil
- Valor roubado, segundo a Elliptic (23/02)
- US$ 1,46 bi
- Carteiras que receberam cerca de 10 mil ETH cada em até duas horas, segundo a Elliptic
- 50
- Saques de clientes processados pela Bybit desde sexta, segundo a exchange (The Record, 24/02)
- US$ 4 bi
O que aconteceu
A Bybit guardava a maior parte do ETH em uma carteira fria multiassinada: um endereço que exige a aprovação de vários responsáveis, fora do alcance direto da internet. Em uma rotina comum, a exchange move parte do saldo para uma carteira quente, a que fica conectada e abastece os saques. Foi nessa transferência que o ataque aconteceu.
Ben Zhou, CEO da Bybit, confirmou o roubo na própria sexta-feira. Segundo ele, os assinantes viram na tela o endereço correto e uma URL que parecia da Safe, a plataforma de carteiras multiassinadas que a Bybit usa. A exchange disse que a interface de assinatura foi falsificada: a mensagem assinada alterava a lógica do contrato da carteira fria e deu aos atacantes o controle dela. Zhou afirmou que as outras carteiras da exchange não foram afetadas.
Quando o dispositivo de assinatura ou o aplicativo mostra só uma sequência de caracteres, quem assina não consegue confirmar o que está autorizando. Se a tela do computador mente, a assinatura de vários responsáveis passa a validar o ataque em vez de impedi-lo.
Quem está por trás
A atribuição ainda é feita por empresas privadas e investigadores, não por autoridades. O investigador ZachXBT apresentou provas que ligam o ataque ao grupo Lazarus, associado ao governo da Coreia do Norte, e a Arkham Intelligence divulgou a conclusão em 21 de fevereiro. A TRM Labs disse, com “alta confiança”, que hackers norte-coreanos foram os responsáveis, por sobreposição de endereços com roubos anteriores. A Elliptic também atribuiu a ação à Coreia do Norte, citando o padrão de trocar os tokens roubados por ETH nativo.
A troca em minutos tem uma razão técnica: emissores de tokens podem congelar saldos, enquanto ninguém consegue congelar ETH nativo. Foi o que aconteceu com a parte que demorou a ser trocada: o protocolo mETH bloqueou 15 mil cmETH (cerca de US$ 43,5 milhões) e a Tether congelou US$ 181 mil em USDT, segundo a ForkLog. Para entender esse poder no caso do dólar digital, veja o que é o USDT e quem o emite.
Para onde foi o dinheiro
- 21/02, sextaA carteira fria é esvaziada. Em minutos, tokens como stETH e cmETH são trocados por ETH em corretoras descentralizadas. Em até duas horas, 50 carteiras recebem cerca de 10 mil ETH cada.
- 21/02, noiteO CEO diz que a exchange é solvente mesmo sem recuperar os fundos. A Arkham divulga as provas de ZachXBT que ligam o ataque ao grupo Lazarus.
- 22/02, sábadoBinance, Bitget e outras empresas depositam ETH na Bybit, que processa quase todos os saques pendentes e lança um programa de recompensa de 10% do valor recuperado.
- 23/02, domingoA Bybit informa que US$ 42,9 milhões foram recuperados com ajuda de parceiros. A Elliptic publica a atribuição à Coreia do Norte.
- 24/02, segundaAo The Record, a TRM Labs diz ter “alta confiança” na autoria norte-coreana. A Bybit informa cerca de US$ 4 bilhões em saques processados desde sexta.
Para lavar o ETH, os atacantes passaram por corretoras descentralizadas, segundo a Elliptic, e por pontes entre redes para convertê-lo em bitcoin, segundo o CEO da Bybit. Quanto mais cedo um endereço é sinalizado, maior a chance de congelamento, e foi assim que parte dos fundos ficou retida.
O que ainda não se sabe
- Causa técnica exata. A Bybit atribui o ataque a uma interface adulterada ligada à Safe. A Safe e peritos independentes ainda investigavam como a adulteração aconteceu.
- Atribuição oficial. Empresas de análise e investigadores apontam a Coreia do Norte; faltam as autoridades americanas se pronunciarem.
- Quanto será recuperado. Os US$ 42,9 milhões recuperados até domingo, segundo a Bybit, são pouco diante dos US$ 1,46 bilhão.
Lições práticas para empresas e pessoas
O caso é de uma exchange, mas o erro de fundo vale para qualquer empresa que paga com criptoativos: a falha esteve na verificação humana de uma transação, não na criptografia.
Para quem usa USDT em pagamentos, o ponto é o mesmo: não confiar só no que aparece no navegador. A lista de destinos aprovados, a confirmação por um segundo canal e o envio de teste, descritos no guia contra o envenenamento de endereço, valem também aqui.
Perguntas frequentes
Quanto a Bybit perdeu no ataque de fevereiro de 2025?
Cerca de 401 mil ETH foram desviados em 21/02/2025, o equivalente a mais de US$ 1,4 bilhão. A Elliptic estimou US$ 1,46 bilhão. Foi o maior roubo de criptoativos já registrado.
Quem foi o responsável pelo ataque à Bybit?
Em 25/02/2025, investigadores e empresas de análise de blockchain, como ZachXBT, TRM Labs, Arkham e Elliptic, apontavam o grupo Lazarus, ligado à Coreia do Norte. Não havia atribuição oficial de governo até essa data.
O que é assinatura às cegas (blind signing)?
É aprovar uma transação sem conseguir ler, no próprio dispositivo de assinatura, o que ela faz. O assinante vê só dados codificados e depende da tela do computador, que pode ser adulterada. Carteiras de hardware que exibem os detalhes reduzem esse risco.
Os clientes da Bybit perderam dinheiro?
Segundo a Bybit, não. O CEO afirmou que a exchange é solvente mesmo sem recuperar os fundos, e outras empresas depositaram ETH na exchange para repor o saldo. A Bybit informou que processou cerca de US$ 4 bilhões em saques de clientes nos dias seguintes.
Achou útil? Compartilhe com quem paga fornecedor no exterior.
Fontes
- Bybit hack: the largest in history · Elliptic, 23/02/2025
- North Korea's Lazarus hackers behind $1.4 billion crypto theft from Bybit, researchers say · The Record, 24/02/2025
- Lazarus Group behind Bybit hack, says Arkham · ForkLog, 22/02/2025
Conteúdo informativo, sem recomendação de investimento. Marcas de terceiros citadas pertencem aos respectivos titulares; a menção é jornalística e não indica parceria ou vínculo com a Swapo Finance.
Pagamento internacional com a velocidade do Pix e regra do Banco Central.
Converta real em USDT e envie ao fornecedor na rede TRON. Tarifa única exibida antes, política de segregação patrimonial, atendimento humano. Ativo virtual sem cobertura do FGC; pedido de autorização protocolado no BCB.
