Um investidor de criptomoedas teria perdido 783 Bitcoin, no valor de mais de US$91 milhões, em um dos maiores golpes de engenharia social da história recente. O incidente de 19 de agosto, descoberto pelo investigador on-chain ZachXBT, destaca as persistentes vulnerabilidades humanas na segurança de criptomoedas - mesmo entre usuários experientes.
Enquanto a maioria das manchetes de criptografia se concentram em exploração de contratos inteligentes e violação de bolsas, esse último ataque é um exemplo clássico de como golpistas contornam sistemas complexos manipulando a confiança.
Neste caso, o atacante supostamente se passou por suporte ao cliente de uma exchange de criptomoedas e de um fornecedor de carteiras de hardware, convencendo a vítima a entregar informações sensíveis sob o pretexto de assistência técnica.
A magnitude do ataque - um dos maiores roubos de criptografia de engenharia social conhecidos até hoje - serve como um lembrete constante de que o elo mais fraco na cadeia de segurança muitas vezes não é o código, mas o comportamento humano.
Roubo de US$91 milhões: O que sabemos até agora
O incidente veio à tona quando o detetive blockchain pseudônimo ZachXBT relatou o movimento repentino de uma grande quantidade de BTC. De acordo com dados on-chain e tweet de ZachXBT em 21 de agosto, os 783 BTC roubados foram transferidos logo após a violação, com muitos dos fundos canalizados para a Wasabi Wallet, um serviço de mistura de Bitcoin conhecido por suas características de aprimoramento de privacidade.
"Uma vítima recentemente perdeu 783 BTC (~US$91M) em um golpe de engenharia social. Os fundos têm se movimentado nesta semana via Wasabi," ZachXBT escreveu no X (antigo Twitter).
Embora a identidade da vítima não tenha sido divulgada, o tamanho do roubo sugere que o alvo provavelmente era um indivíduo de alto patrimônio ou um investidor institucional. A abordagem do atacante - personificando tanto um representante de exchange quanto um técnico de carteiras de hardware - parece ter sido cuidadosamente elaborada para explorar a confiança e a confusão.
O golpe supostamente envolvia táticas de personificação em múltiplas camadas e phishing, onde o atacante iniciava o contato e gradualmente convencia a vítima a divulgar credenciais críticas, potencialmente incluindo chaves privadas ou frases-semente.
O que é Engenharia Social - E Por Que É Tão Perigosa?
Ataques de engenharia social não dependem de invasões em sistemas, mas sim em manipular as pessoas para entregar o acesso por conta própria. No mundo cripto, isso geralmente assume a forma de:
- Falso suporte técnico contatando usuários para ajudar com “problemas de conta”
- Impostores em Discord, Telegram ou e-mail fingindo ser membros da equipe ou provedores de carteira
- Links maliciosos ou downloads enviados por entidades aparentemente confiáveis
- Phishing de voz (vishing) ou deepfake para imitar funcionários reais
Diferente dos hacks de força bruta ou exploits de contratos inteligentes, a engenharia social não requer violação técnica, tornando extremamente difícil de detectar até que seja tarde demais.
E nas transações irreversíveis de criptografia, uma vez que os fundos são transferidos, eles são quase impossíveis de recuperar - especialmente quando lavados através de ferramentas de privacidade como Wasabi ou misturadores como ChipMixer e Tornado Cash.
História se repete: Ecos do Hack da Genesis de 2024
O roubo de US$91 milhões desta semana também ocorre quase exatamente um ano após um golpe igualmente massivo, em que um atacante roubou US$243 milhões de credores da Genesis usando métodos de engenharia social. Naquele caso, os atacantes personificaram administradores confiáveis e convenceram os usuários a assinar transações maliciosas ou entregar frases-semente.
O momento levantou suspeitas entre alguns analistas de segurança, que sugerem que golpes em larga escala podem ser estrategicamente temporizados para coincidir com datas importantes - aniversários de ataques passados, eventos de mercado importantes ou atualizações de protocolos - quando distrações e sobrecarga cognitiva podem reduzir a vigilância.
Embora a indústria de criptografia tenha feito avanços significativos em armazenamento a frio, carteiras multi-sig, dispositivos de hardware e acesso biométrico, nenhuma dessas ferramentas pode proteger completamente contra a camada humana. De acordo com dados da Chainalysis e CertiK, a engenharia social representou mais de 25% das principais perdas de criptografia em 2024, perdendo apenas para bugs em contratos inteligentes.
E as vítimas não são apenas novatos. “Estamos vendo investidores sofisticados caindo nesses golpes,” disse o especialista em cibersegurança Chris Blec. “Os impostores são frequentemente pacientes, informados e habilidosos na manipulação psicológica. Eles não estão adivinhando senhas - eles estão conquistando a confiança.”
Sinais de alerta e lições para investidores
Este último incidente é um estudo de caso assustador na necessidade de vigilância, ceticismo e protocolos de verificação. Especialistas recomendam as seguintes melhores práticas:
- Nunca compartilhe frases-semente ou chaves privadas - nenhum serviço legítimo pedirá por elas.
- Verifique contatos de suporte de forma independente - use sites oficiais, não links enviados via DM ou e-mail.
- Ative listas de permissões de transações e prompts de carteiras de hardware para todas as transações saídas.
- Utilize configurações multisig onde uma parte sozinha não pode mover fundos.
- Eduque membros da equipe e familiares - especialmente aqueles envolvidos na gestão de carteiras compartilhadas ou institucionais.
Provedores de carteiras, exchanges e plataformas DeFi também têm responsabilidade. Muitos agora implementam alertas de suporte à personificação, alertas de golpes em tempo real e campanhas de educação do usuário para evitar esses incidentes. No entanto, como este caso mostra, mais trabalho é necessário.
Por que ferramentas de privacidade complicam os esforços de recuperação
Um dos maiores desafios na recuperação de criptografia roubada é a obfuscação via carteiras de privacidade e misturadores. Neste caso, grande parte do BTC roubado foi enviada para a Wasabi Wallet, uma plataforma que utiliza CoinJoin - um protocolo de mistura que mistura as transações de múltiplos usuários para quebrar a rastreabilidade.
Embora ferramentas de privacidade sirvam a propósitos legítimos, como proteger fundos de ativistas e proteger a identidade do usuário da vigilância, elas também podem ser usadas para lavar fundos ilícitos e complicar a análise forense de blockchain.
Como resultado, as autoridades enfrentam sérias limitações ao rastrear ou congelar criptografia roubada, a menos que o atacante cometa um erro ou tente sacar através de uma exchange regulamentada.
O monitoramento contínuo de ZachXBT pode ajudar a rastrear movimentos subsequentes, mas sem identidades do mundo real ou envolvimento de KYC da exchange, as chances de recuperação permanecem pequenas.
Resposta da indústria: Educação, UX e detecção de fraudes por IA
Na esteira do ataque, especialistas em segurança estão novamente clamando por uma melhor integração de usuários, incluindo simulações de phishing, tutoriais interativos e sistemas de detecção de fraudes movidos por IA que sinalizam comportamentos suspeitos antes que os fundos sejam comprometidos.
Empresas como Ledger, Trezor, Coinbase e MetaMask começaram a incorporar alertas de golpes em tempo real, integrações de listas negras de phishing e verificação de suporte dentro da carteira. No entanto, a maioria desses sistemas permanece opcional - e ainda não infalível.
Alguns propõem a construção de camadas de identidade descentralizadas e reputações de carteiras em futuros protocolos, permitindo que os usuários verifiquem agentes de suporte oficiais ou estabeleçam pontuações de confiança para endereços de carteiras. Mas estes ainda estão nas primeiras fases de desenvolvimento.
Considerações finais
A perda de 783 BTC para um ataque de engenharia social é um dos lembretes mais sóbrios de que a segurança em criptografia não é apenas técnica - é profundamente humana. À medida que a adoção do Web3 cresce, a sofisticação dos golpes evolui em paralelo.
Enquanto auditorias de código, configurações multisig e camadas de privacidade importam, a defesa mais crítica continua sendo a educação e o ceticismo. Num sistema financeiro permissão menos e irreversível, um lapso de julgamento pode apagar uma vida inteira de economias.
Até que a indústria encontre melhores maneiras de proteger os usuários de si mesmos, a engenharia social permanecerá a ameaça mais persistente da criptografia.