No maior roubo de criptomoedas até hoje, a exchange sediada em Seicheles Bybit perdeu aproximadamente $1,5 bilhão em Ethereum (ETH) em 21 de fevereiro de 2025, devido a um hack sofisticado por hackers ligados à Coreia do Norte.

A violação, confirmada pelo CEO da Bybit, Ben Zhou, marca uma escalada significativa no cibercrime visando a indústria cripto e levanta questões críticas sobre a segurança de ativos digitais.

Vamos tentar fazer uma análise aprofundada do hack, os métodos técnicos utilizados, o papel da análise de blockchain, o envolvimento do Grupo Lazarus e as implicações mais amplas para o ecossistema de criptomoedas.

Bybit: Um Grande Jogador no Mercado de Cripto

Fundada em 2018 e sediada em Seicheles, a Bybit se estabeleceu como uma exchange de criptomoedas líder, conhecida por seus altos volumes de negociação e ofertas diversificadas, incluindo a compra e venda de criptomoedas aos preços atuais de mercado, especulação sobre os movimentos de preços futuros com alavancagem e ganho de recompensas ao bloquear fundos para apoiar operações de blockchain.

A interface amigável da exchange e a reputação por medidas de segurança robustas, como cold wallets multi-assinatura (multi-sig) e auditorias de segurança regulares, atraíram uma base de usuários global. Esta reputação tornou o hack particularmente alarmante, pois expôs vulnerabilidades mesmo nas plataformas mais confiáveis.

Descoberta do Hack

O hack foi detectado pela primeira vez pelo analista on- chain ZachXBT, que sinalizou saídas suspeitas totalizando $1,46 bilhão das carteiras da Bybit às 10h20 ET em 21 de fevereiro de 2025.

Essas saídas, envolvendo 401.347 ETH, levantaram preocupações imediatas sobre uma possível violação de segurança. Em menos de 30 minutos, o CEO da Bybit, Ben Zhou, confirmou a violação em uma postagem no X (anteriormente conhecido como Twitter), atribuindo o ataque a uma técnica de transação "mascarada" que explorou a carteira fria multi- assinatura da exchange durante uma transferência de rotina para uma carteira quente.

Entendendo Cold Wallets Multi-Assinatura e Sua Segurança

O que é uma Cold Wallet Multi-Assinatura?

Uma wallet fria multi-assinatura (multi-sig) é um tipo de armazenamento de criptomoedas projetado para melhorar a segurança exigindo várias chaves privadas para autorizar uma transação.

Ao contrário das carteiras de chave única, que dependem de uma chave e são mais vulneráveis ao roubo, as carteiras multi-sig distribuem o controle entre várias partes ou dispositivos. Por exemplo, uma carteira multi-sig 2 de 3 requer a aprovação de dois dos três assinantes designados para aprovar uma transação.

Carteiras frias, por outro lado, são soluções de armazenamento offline, o que significa que não estão conectadas à internet, reduzindo o risco de ataques online, como hacking ou phishing.

A configuração de carteira fria multi-assinatura da Bybit exigia aprovações de vários assinantes, uma prática padrão para proteger grandes quantidades de criptomoedas.

O uso de carteiras frias multi-assinatura pela Bybit tinha a intenção de proteger suas substanciais posses de ETH, tornando a violação particularmente surpreendente e destacando a sofisticação do ataque.

Como o Hack foi Executado: Detalhes Técnicos

Os atacantes contornaram a segurança multi-assinatura da Bybit por meio de uma combinação de engenharia social e manipulação técnica avançada.

Aqui está uma análise detalhada do ataque:

1. Acesso Inicial via Engenharia Social

Os hackers, acreditados serem parte do Grupo Lazarus norte-coreano, provavelmente conseguiram o acesso inicial através de técnicas avançadas de phishing, como:

• E-mails de spear-phishing: E-mails direcionados projetados para enganar funcionários ou assinantes a revelarem credenciais ou clicarem em links maliciosos.
• Sites falsos: Sites de phishing que imitam interfaces legítimas da Bybit para capturar chaves privadas ou frases-semente.
• Infecção por malware: Implantação de malware para comprometer os sistemas ou dispositivos usados pelos assinantes.

Essas táticas de engenharia social exploraram o erro humano, uma vulnerabilidade crítica mesmo nos sistemas mais seguros.

2. Manipulação de Transação via Interface Mascarada

Durante uma transferência de rotina da carteira fria multi-assinatura de ETH da Bybit para uma carteira quente (uma carteira online para transações mais rápidas), os atacantes executaram seu ataque.

Os hackers alteraram a interface de assinatura, o componente voltado para o usuário onde os assinantes aprovam transações. Esta interface foi manipulada para exibir um endereço de transação legítimo enquanto incorporava código malicioso na lógica subjacente do contrato inteligente.

Os assinantes, sem saber da manipulação, aprovaram o que parecia ser uma transferência de rotina. No entanto, a transação aprovada continha código malicioso que alterava os mecanismos de controle da carteira.

3. Alteração da Lógica do Contrato Inteligente

O código malicioso incorporado na transação explorou vulnerabilidades no processo de aprovação da transação.

A transação aprovada alterou a lógica do contrato inteligente, concedendo aos atacantes controle sobre a carteira. Isso permitiu que transferissem 401.347 ETH para um endereço não identificado sob seu controle.

O ataque não comprometeu a blockchain Ethereum ou seus contratos inteligentes, mas sim explorou o processo interno da Bybit para validar e aprovar transações.

4. Lavagem de Fundos e Dispersão

Após ganhar controle dos fundos, os atacantes rapidamente dispersaram o ETH roubado em várias carteiras para obscurecer seu rastro.

O ETH foi dividido em incrementos de 1.000 ETH e enviado para mais de 40 carteiras diferentes.

Os atacantes converteram o ETH em outras criptomoedas ou moeda fiduciária através de exchanges descentralizadas (DEXs), que não possuem os requisitos de conhecer seu cliente (KYC) das exchanges centralizadas, tornando mais difícil congelar ou recuperar os fundos.

Análise de Blockchain e Rastreamento de Fundos

Firmas de análise de blockchain desempenharam um papel crucial em rastrear os fundos roubados, apesar dos esforços dos atacantes para obscurecer seus movimentos.

Firmas e ferramentas chave envolvidas incluem:

• Elliptic: Uma firma de análise de blockchain que rastreou o ETH roubado enquanto era disperso e liquidado. O software da Elliptic analisa padrões de transação e endereços de carteira para identificar atividades suspeitas.
• Arkham Intelligence: Outra firma de análise que forneceu rastreamento em tempo real dos fundos, identificando carteiras associadas e fluxos de transação.
• MistTrack do Slow Mist: Uma ferramenta de forense de blockchain usada para mapear o movimento do ETH roubado na rede Ethereum. MistTrack sinalizou transações de teste e padrões de carteira indicativos de técnicas do Grupo Lazarus.

Apesar desses esforços, a velocidade e a escala da liquidação tornaram a recuperação desafiadora.

O uso de DEXs e mixers (ferramentas que embaralham a criptomoeda para esconder sua origem) pelos atacantes complicou ainda mais o processo.

Grupo Lazarus: Os Culpados por Trás do Hack

Quem é o Grupo Lazarus?

O Grupo Lazarus é um coletivo de hackers patrocinado pelo estado norte-coreano conhecido por orquestrar crimes cibernéticos de alto perfil, incluindo roubos de criptomoedas, ataques de ransomware e espionagem.

Acredita-se que o grupo opere sob a direção do Bureau Geral de Reconhecimento da Coreia do Norte, com o objetivo principal de gerar receita para o regime.

Evidências Ligando o Lazarus ao Hack da Bybit

Analistas de blockchain, incluindo ZachXBT, conectaram o hack da Bybit a explorações anteriores do Grupo Lazarus com base em vários indicadores.

• Transações de teste: Pequenos transferências enviadas antes do ataque principal para testar a funcionalidade da carteira, um marco das táticas do Lazarus.
• Carteiras associadas: Carteiras usadas no hack da Bybit foram vinculadas àquelas envolvidas em hacks anteriores, como no caso da exploração do Phemex.
• Gráficos forenses e análise de tempo: Padrões no horário das transações e atividade de carteira corresponderam aos comportamentos conhecidos do Lazarus.

Histórico do Grupo Lazarus

O Grupo Lazarus tem um longo histórico de roubos de criptomoedas, com exemplos notáveis incluindo:

• Hack da Rede Ronin (2022): Roubou $600 milhões em ETH e USDC da plataforma de jogos Axie Infinity.
• Hack do Phemex (2024): Ligado ao hack da Bybit através de técnicas e padrões de carteira semelhantes.
• Totais de 2024: Estima-se que tenham roubado $1,34 bilhão em 47 hacks, correspondendo a 61% de toda a atividade ilícita de criptomoedas naquele ano.

As técnicas avançadas do grupo, como explorações de zero-day (vulnerabilidades previamente desconhecidas) e engenharia social sofisticada, fazem deles uma ameaça formidável para a indústria de criptomoedas.

Implicações Para o Ethereum e o Ecossistema Cripto

Segurança do Ethereum

Apesar da escala do hack, o Ethereum em si não foi comprometido.

A vulnerabilidade residia nos processos internos da Bybit, não na blockchain do Ethereum ou em seus contratos inteligentes.

Aqui está o porquê.

A blockchain Ethereum, um livro razão descentralizado de transações, manteve-se segura. O ataque não explorou falhas no mecanismo de consenso da blockchain (prova de participação) ou em seu sistema de contratos inteligentes.

A brecha surgiu da manipulação das aprovações de transações, destacando os riscos dos processos centrados no humano na gestão de criptomoedas.

Embora o próprio código do contrato inteligente não tenha sido invadido, a manipulação do processo de aprovação através de uma interface mascarada levanta preocupações sobre a segurança das interfaces de usuário e mecanismos de assinatura de transações em carteiras multi-assinatura.

Impacto no Mercado Mais Amplo

O hack teve efeitos imediatos e em cadeia no mercado de criptomoedas.

Os preços do ETH caíram mais de 3% após a confirmação do hack, refletindo a volatilidade elevada.

A violação coincidiu com o ETHDenver, uma das maiores conferências do ecossistema Ethereum, lançando uma sombra baixista sobre um evento tipicamente otimista para o ETH.

O incidente erodiu a confiança nas exchanges centralizadas, levando os usuários a questionarem a segurança de seus ativos e aumentando o interesse em soluções de finanças descentralizadas (DeFi).

E claro, o simples fato do maior hack já ter ocorrido durante o mercado de alta não deve ser negligenciado.

Resposta da Bybit e Esforços de Recuperação

A resposta rápida da Bybit ajudou a mitigar o pânico e demonstrou resiliência operacional. A exchange processou mais de 580.000 pedidos de retirada após o hack, garantindo que os usuários pudessem acessar seus fundos.

Bybit também garantiu empréstimos ponte para cobrir perdas, tranquilizando os usuários quanto à sua solvência. A exchange lançou um programa que oferece até 10% dos fundos recuperados a hackers éticos que ajudam a recuperar o ETH roubado.

Essas medidas, embora proativas, destacam os desafios de recuperar fundos em hacks de grande escala, especialmente considerando as técnicas de lavagem usadas pelos atacantes.

Medidas Preventivas para o Futuro

Para evitar hacks semelhantes, especialistas recomendam um conjunto abrangente de medidas de segurança com base nas melhores práticas do setor e nas informações do incidente da Bybit.

1. Autenticação Multifatorial (MFA)

Exigir múltiplas camadas de verificação para aprovações de transações, tais como:

• Autenticação biométrica: Reconhecimento de impressão digital ou facial.
• Tokens de hardware: Dispositivos físicos que geram códigos de uso único.
• Senhas descartáveis baseadas em tempo (TOTP): Aplicativos como o Google Authenticator para códigos temporários.

2. Canais de Comunicação Seguros

Utilizar canais criptografados e verificados para todas as comunicações relacionadas a transações, tais como:

• Email criptografado de ponta a ponta: Ferramentas como ProtonMail ou Signal para mensagens seguras.
• Portais seguros dedicados: Sistemas internos para aprovações de transações, isolados de ameaças externas.

3. Auditorias de Segurança Regulares

Conduzir avaliações frequentes e testes de penetração para identificar vulnerabilidades:

• Auditorias de terceiros: Contratar empresas renomadas para revisar protocolos de segurança.
• Ataques simulados: Testar sistemas contra cenários de phishing, malware e engenharia social.

4. Treinamento de Funcionários

Educar a equipe sobre o reconhecimento de ameaças de engenharia social, tais como:

• Conscientização sobre spear-phishing: Treinar funcionários para identificar emails ou links suspeitos.
• Higiene de credenciais: Evitar o reuso de senhas ou o armazenamento inseguro de chaves.

5. Gestão Diversificada de Ativos

Distribuir fundos em várias carteiras para limitar a exposição:

• Balanço de carteiras fria e quente: Manter a maioria dos fundos em armazenamento a frio, com valores mínimos em carteiras quentes para operações diárias.
• Distribuição multi-sig: Usar diferentes configurações de multi-sig para diferentes pools de ativos.

6. Sistemas de Detecção de Anomalias

Implementar ferramentas para detectar e alertar sobre padrões de transação incomuns, tais como:

• Modelos de aprendizado de máquina: Identificar desvios da atividade normal, como grandes transferências em horários incomuns.
• Alertas em tempo real: Notificar equipes de segurança sobre saídas suspeitas.

7. Manter-se Atualizado sobre Ameaças

Atualizar continuamente as medidas de segurança para combater as ameaças cibernéticas emergentes:

• Feeds de inteligência de ameaças: Inscrever-se em serviços que rastreiam novos vetores de ataque.
• Defesas contra exploits de dia zero: Implantar patches e atualizações prontamente para lidar com vulnerabilidades recentemente descobertas.

Essas medidas são cruciais, especialmente considerando as técnicas avançadas do Grupo Lazarus, que incluem exploits de dia zero, engenharia social sofisticada e rápida lavagem de fundos.

Conclusão: Lições para a Indústria Cripto

O hack da Bybit, o maior roubo de criptomoeda da história, ressalta os persistentes desafios de segurança enfrentados pela indústria, particularmente de atores patrocinados por estados como o Grupo Lazarus.

Embora o Ethereum continue seguro, o incidente destaca a necessidade de processos internos robustos, medidas avançadas de cibersegurança e vigilância contínua para proteger os ativos digitais.

À medida que o ecossistema das criptomoedas evolui, as exchanges devem priorizar a confiança dos usuários e a resiliência operacional para navegar em tais crises de forma eficaz.

A violação da Bybit serve como um lembrete claro de que mesmo as plataformas mais seguras são vulneráveis a erros humanos e ataques sofisticados, enfatizando a importância de uma segurança em camadas e a colaboração em toda a indústria para combater o cibercrime.