No maior roubo de criptomoedas até hoje, a exchange sediada em Seychelles Bybit perdeu aproximadamente $1,5 bilhão em Ethereum (ETH) em 21 de fevereiro de 2025, devido a um hack sofisticado por hackers ligados à Coreia do Norte.

A violação, confirmada pelo CEO da Bybit, Ben Zhou, marca uma escalada significativa no cibercrime direcionado à indústria cripto e levanta questões críticas sobre a segurança dos ativos digitais.

Vamos tentar fazer uma análise aprofundada do hack, os métodos técnicos utilizados, o papel da análise de blockchain, o envolvimento do Lazarus Group e as implicações mais amplas para o ecossistema de criptomoedas.

Bybit: Um Jogador Importante no Mercado Cripto

A Bybit, fundada em 2018 e sediada em Seychelles, se estabeleceu como uma exchange líder de criptomoedas, conhecida por seus altos volumes de negociação e ofertas diversificadas, incluindo comprar e vender criptomoedas a preços de mercado corrente, especular sobre movimentos futuros de preços com alavancagem, ganhar recompensas bloqueando fundos para apoiar operações de blockchain.

A interface amigável da exchange e a reputação por medidas de segurança robustas, como carteiras frias multiassinatura (multi-sig) e auditorias de segurança regulares, atraíram uma base de usuários global. Esta reputação tornou o hack particularmente alarmante, pois expôs vulnerabilidades até mesmo nas plataformas mais confiáveis.

Descoberta do Hack

O hack foi detectado pela primeira vez pelo analista de blockchain ZachXBT, que sinalizou saídas suspeitas totalizando $1,46 bilhão das carteiras da Bybit às 10h20 ET em 21 de fevereiro de 2025.

Essas saídas, envolvendo 401.347 ETH, levantaram preocupações imediatas sobre uma possível violação de segurança. Em 30 minutos, o CEO da Bybit, Ben Zhou, confirmou a violação em um post no X (anteriormente Twitter), atribuindo o ataque a uma técnica de transação "mascarada" que explorou a carteira fria multiassinatura da exchange durante uma transferência de rotina para uma carteira quente.

Compreendendo Carteiras Frias Multiassinatura e sua Segurança

O que é uma Carteira Fria Multiassinatura?

Uma carteira fria multiassinatura (multi-sig) é um tipo de armazenamento de criptomoedas projetado para melhorar a segurança exigindo múltiplas chaves privadas para autorizar uma transação.

Diferente das carteiras de chave única, que dependem de uma chave e são mais vulneráveis a roubos, as carteiras multi-sig distribuem o controle entre várias partes ou dispositivos. Por exemplo, uma carteira multi-sig 2 de 3 requer duas de três assinaturas designadas para aprovar uma transação.

Carteiras frias, por outro lado, são soluções de armazenamento offline, o que significa que não estão conectadas à internet, reduzindo o risco de ataques online, como hacking ou phishing.

A configuração da carteira fria multi-sig da Bybit exigia aprovações de múltiplos assinantes, uma prática padrão para proteger grandes quantidades de criptomoedas.

O uso de carteiras frias multi-sig pela Bybit tinha a intenção de proteger suas substanciais reservas de ETH, tornando a violação particularmente surpreendente e destacando a sofisticação do ataque.

Como o Hack foi Executado: Detalhes Técnicos

Os atacantes burlaram a segurança multi-sig da Bybit através de uma combinação de engenharia social e manipulação técnica avançada.

Aqui está uma descrição detalhada do ataque:

1. Acesso Inicial via Engenharia Social

Os hackers, acreditados serem parte do Lazarus Group norte-coreano, provavelmente ganharam acesso inicial por meio de técnicas avançadas de phishing, como:

• E-mails de spear-phishing: E-mails direcionados projetados para enganar funcionários ou assinantes para revelar credenciais ou clicar em links maliciosos.
• Sites falsos: Sites de phishing que imitam interfaces legítimas da Bybit para capturar chaves privadas ou frases-sementes.
• Infecção por malware: Implantação de malware para comprometer os sistemas ou dispositivos usados pelos assinantes.

Essas táticas de engenharia social exploraram o erro humano, uma vulnerabilidade crítica mesmo nos sistemas mais seguros.

2. Manipulação de Transações via Interface Mascarada

Durante uma transferência de rotina da carteira fria multi-sig de ETH da Bybit para uma carteira quente (uma carteira online para transações mais rápidas), os atacantes executaram seu exploit.

Os hackers alteraram a interface de assinatura, o componente voltado para o usuário onde os assinantes aprovam transações. Esta interface foi manipulada para exibir um endereço de transação legítimo, enquanto inseria código malicioso na lógica subjacente do contrato inteligente.

Os assinantes, sem saber da manipulação, aprovaram o que parecia ser uma transferência de rotina. No entanto, a transação aprovada continha código malicioso que alterou os mecanismos de controle da carteira.

3. Alteração da Lógica do Contrato Inteligente

O código malicioso inserido na transição explorou vulnerabilidades no processo de aprovação de transação.

A transação aprovada alterou a lógica do contrato inteligente, concedendo aos atacantes controle sobre a carteira. Isso permitiu que eles transferissem 401.347 ETH para um endereço não identificado sob seu controle.

O ataque não comprometeu o blockchain Ethereum ou seus contratos inteligentes, mas explorou o processo interno da Bybit para validar e aprovar transações.

4. Lavagem e Dispersão de Fundos

Após ganhar controle dos fundos, os atacantes rapidamente dispersaram o ETH roubado por várias carteiras para obscurecer seu rastro.

O ETH foi dividido em incrementos de 1.000 ETH e enviado para mais de 40 carteiras diferentes.

Os atacantes converteram o ETH em outras criptomoedas ou fiat através de exchanges descentralizadas (DEXs), que carecem dos requisitos de conhecimento de cliente (KYC) das exchanges centralizadas, dificultando o congelamento ou recuperação dos fundos.

Análise de Blockchain e Rastreamento de Fundos

Empresas de análise de blockchain desempenharam um papel crucial no rastreamento dos fundos roubados, apesar dos esforços dos atacantes para obscurecer seus movimentos.

Empresas e ferramentas chaves envolvidas incluem:

• Elliptic: Uma empresa de análise de blockchain que rastreou o ETH roubado à medida que foi disperso e liquidado. O software da Elliptic analisa padrões de transação e endereços de carteiras para identificar atividades suspeitas.
• Arkham Intelligence: Outra empresa de análise que forneceu rastreamento em tempo real dos fundos, identificando carteiras associadas e fluxos de transações.
• MistTrack by Slow Mist: Uma ferramenta de forense de blockchain usada para mapear o movimento do ETH roubado na rede Ethereum. MistTrack sinalizou transações de teste e padrões de carteiras indicativos de técnicas do Lazarus Group.

Apesar desses esforços, a velocidade e escala da liquidação dificultaram a recuperação.

O uso de DEXs e mixers (ferramentas que misturam criptomoedas para esconder sua origem) pelos atacantes complicou ainda mais o processo.

Lazarus Group: Os Culpados por Trás do Hack

Quem é o Lazarus Group?

O Lazarus Group é um coletivo de hacking patrocinado pelo Estado da Coreia do Norte, conhecido por orquestrar cibercrimes de alto perfil, incluindo roubos de criptomoedas, ataques de ransomware e espionagem.

Acredita-se que o grupo opere sob a direção do Bureau Geral de Reconhecimento da Coreia do Norte, com o objetivo principal de gerar receita para o regime.

Evidências Ligando o Lazarus ao Hack da Bybit

Analistas de blockchain, incluindo ZachXBT, conectaram o hack da Bybit a explorações anteriores do Lazarus Group com base em vários indicadores.

• Transações de teste: Pequenas transferências enviadas antes do ataque principal para testar a funcionalidade da carteira, uma característica das táticas do Lazarus.
• Carteiras associadas: Carteiras usadas no hack da Bybit foram ligadas àquelas envolvidas em hacks anteriores, como o exploit da Phemex.
• Gráficos forenses e análise de tempo: Padrões no tempo das transações e atividade de carteiras corresponderam aos comportamentos conhecidos do Lazarus.

Histórico do Lazarus Group

O Lazurus Group tem um longo histórico de roubos de criptomoedas, com exemplos notáveis, incluindo:

• Hack da Ronin Network (2022): Roubou $600 milhões em ETH e USDC da plataforma de jogos Axie Infinity.
• Hack da Phemex (2024): Ligado ao hack da Bybit através de técnicas e padrões de carteiras semelhantes.
• Totais de 2024: Estimado ter roubado $1,34 bilhão em 47 hacks, representando 61% de toda a atividade ilícita de cripto daquele ano.

As técnicas avançadas do grupo, como exploits de zero-day (vulnerabilidades desconhecidas anteriormente) e engenharia social sofisticada, os tornam uma ameaça formidável para a indústria de criptomoedas.

Implicações para o Ethereum e o Ecossistema Cripto

Segurança do Ethereum

Apesar da escala do hack, o Ethereum em si não foi comprometido.

A vulnerabilidade estava nos processos internos da Bybit, não na blockchain do Ethereum ou em seus contratos inteligentes.

Aqui está o porquê.

A blockchain Ethereum, um registro descentralizado de transações, manteve-se segura. O ataque não explorou falhas no mecanismo de consenso da blockchain (prova de participação) ou em seu sistema de contratos inteligentes.

A violação decorreu de aprovações de transações manipuladas, destacando os riscos dos processos centrados em humanos na gestão de criptomoedas.

Embora o código do contrato inteligente em si não tenha sido hackeado, a manipulação do processo de aprovação através de uma interface mascarada levanta preocupações sobre a segurança das interfaces de usuário e dos mecanismos de assinatura de transações em carteiras multi-sig.

Impacto mais Amplo no Mercado

O hack teve efeitos imediatos e de longo alcance no mercado de criptomoedas.

Os preços de ETH caíram mais de 3% após a confirmação do hack, refletindo a volatilidade aumentada.

A violação coincidiu com o ETHDenver, uma das maiores conferências do ecossistema Ethereum, lançando uma sombra de baixa sobre um evento tipicamente otimista para o ETH.

O incidente erodiu a confiança em exchanges centralizadas, levando os usuários a questionar a segurança de seus ativos e aumentando o interesse em soluções de finanças descentralizadas (DeFi).

E, claro, o simples fato de que o maior hack já ocorrido durante o mercado em alta não deve ser negligenciado.

Resposta da Bybit e Esforços de Recuperação

A resposta rápida da Bybit ajudou a mitigar o pânico e demonstrou resiliência operacional. Sure, here's the content translated into Portuguese (pt-BR) with the markdown links unchanged:

O câmbio processou mais de 580.000 solicitações de retirada após o ataque, garantindo que os usuários pudessem acessar seus fundos.

Bybit também garantiu empréstimos-ponte para cobrir perdas, tranquilizando os usuários sobre sua solvência. A exchange lançou um programa oferecendo até 10% dos fundos recuperados para hackers éticos que ajudarem a recuperar o ETH roubado.

Essas medidas, embora proativas, destacam os desafios de recuperar fundos em hacks de grande escala, especialmente considerando as técnicas de lavagem dos atacantes.

Medidas Preventivas para o Futuro

Para evitar hacks semelhantes, os especialistas recomendam um conjunto abrangente de medidas de segurança com base nas melhores práticas do setor e nos aprendizados do incidente Bybit.

1. Autenticação Multifator (MFA)

Exigir múltiplas camadas de verificação para aprovações de transações, como:

• Autenticação biométrica: Reconhecimento de impressão digital ou facial.
• Tokens de hardware: Dispositivos físicos que geram códigos únicos.
• Senhas únicas baseadas em tempo (TOTP): Aplicativos como Google Authenticator para códigos temporários.

2. Canais de Comunicação Segura

Usar canais criptografados e verificados para todas as comunicações relacionadas a transações, como:

• E-mail criptografado de ponta a ponta: Ferramentas como ProtonMail ou Signal para mensagens seguras.
• Portais seguros dedicados: Sistemas internos para aprovações de transações, isolados de ameaças externas.

3. Auditorias de Segurança Regulares

Conduzir avaliações e testes de penetração frequentes para identificar vulnerabilidades:

• Auditorias de terceiros: Contratar empresas de renome para revisar protocolos de segurança.
• Ataques simulados: Testar sistemas contra cenários de phishing, malware e engenharia social.

4. Treinamento de Funcionários

Educar a equipe sobre o reconhecimento de ameaças de engenharia social, como:

• Consciência de spear-phishing: Treinar funcionários para identificar e-mails ou links suspeitos.
• Higiene de credenciais: Evitar reutilizar senhas ou armazenar chaves de forma insegura.

5. Gestão Diversificada de Ativos

Distribuir fundos em várias carteiras para limitar a exposição:

• Saldo de carteira fria e quente: Manter a maioria dos fundos em armazenamento a frio, com quantias mínimas em carteiras quentes para operações diárias.
• Distribuição multi-sig: Usar diferentes configurações multi-sig para diferentes pools de ativos.

6. Sistemas de Detecção de Anomalias

Implementar ferramentas para detectar e alertar sobre padrões de transações incomuns, como:

• Modelos de aprendizado de máquina: Identificar desvios da atividade normal, como grandes transferências em horários incomuns.
• Alertas em tempo real: Notificar equipes de segurança sobre saídas suspeitas.

7. Manter-se Atualizado sobre Ameaças

Atualizar continuamente medidas de segurança para combater ameaças cibernéticas emergentes:

• Feeds de inteligência de ameaças: Assinar serviços que rastreiam novos vetores de ataque.
• Defesas contra exploits de dia zero: Implantar patches e atualizações prontamente para resolver vulnerabilidades recém-descobertas.

Essas medidas são cruciais, especialmente considerando as técnicas avançadas do Grupo Lazarus, que incluem exploits de dia zero, engenharia social sofisticada e rápida lavagem de fundos.

Conclusão: Lições para a Indústria de Criptomoedas

O hack da Bybit, o maior roubo de criptomoeda da história, ressalta os desafios persistentes de segurança enfrentados pela indústria, particularmente de atores patrocinados pelo estado como o Grupo Lazarus.

Embora o Ethereum permaneça seguro, o incidente destaca a necessidade de processos internos robustos, medidas avançadas de cibersegurança e vigilância contínua para proteger ativos digitais.

À medida que o ecossistema de criptomoedas evolui, as exchanges devem priorizar a confiança do usuário e a resiliência operacional para navegar com eficácia por crises dessa natureza.

A violação na Bybit serve como um lembrete claro de que mesmo as plataformas mais seguras são vulneráveis a erros humanos e ataques sofisticados, enfatizando a importância da segurança em camadas e colaboração em todo o setor para combater o cibercrime.