Bitget após o ataque de US$ 387,5 milhões: o que a perícia mostra antes de 2 de outubro

A Bitget afirma que todos os saldos de clientes estão intactos após o maior roubo cripto de 2026 e planeja reativar os últimos canais de saque nesta quinta-feira, 2 de outubro. Para quem tem dinheiro na corretora, ou acompanha o setor, a pergunta é direta: o que as primeiras perícias independentes realmente mostram sobre o ataque de US$ 387,5 milhões, e o que ainda está em aberto antes da volta total dos saques?

A resposta curta

As evidências iniciais apontam para uma invasão lenta da infraestrutura, e não para um ataque relâmpago. A SlowMist, uma das duas empresas contratadas pela Bitget, rastreou a primeira atividade maliciosa até 31 de agosto, cerca de três semanas e meia antes de os fundos saírem das hot wallets. O invasor não precisou das chaves privadas da Bitget: uma ferramenta feita sob medida para a lógica de saque da própria corretora fez o trabalho. Até agora, o balanço da Bitget absorveu a perda por meio do seu Protection Fund, mas a causa raiz (dois produtos de segurança de terceiros não identificados), a atribuição final e a recuperação dos fundos continuam em aberto.

O que aconteceu, em sequência

Segundo declarações da Bitget relatadas pelo Decrypt e uma reconstrução do BleepingComputer, transferências não autorizadas a partir de hot e warm wallets foram detectadas às 18h31 UTC de 24 de setembro. A CEO Gracy Chen estimou a perda inicialmente em US$ 351,6 milhões e depois a revisou para US$ 387,5 milhões em 25 de setembro, após contabilizar outros ativos. A Bitget disse que as cold wallets não foram afetadas e que os invasores "não forjaram pedidos de saque de usuários nem obtiveram nossas chaves privadas da cold wallet nem de qualquer hot ou warm wallet", segundo o Decrypt.

O levantamento mensal da CertiK, divulgado em 30 de setembro, lista a Bitget com US$ 387,5 milhões, o maior item de um setembro que a empresa classifica como o pior mês de 2026, com US$ 766,5 milhões perdidos no total.

A linha do tempo da perícia

O documento primário mais detalhado até agora é o relatório de progresso da investigação da SlowMist, atualizado até 29 de setembro (todos os horários do relatório estão em UTC+8; as conversões abaixo são nossas):

• 31 de agosto: um serviço em um nó do "Produto A", um produto de segurança de terceiros, foi atingido por uma vulnerabilidade zero-day. O invasor executou um script oculto, leu uma variável de ambiente com a senha de um banco de dados e se conectou a ele.
• 23 e 25 de setembro: atividade semelhante de script oculto surgiu em outros dois nós do Produto A.
• Madrugada de 25 de setembro (UTC+8): o invasor usou a identidade de um funcionário interno para acessar a plataforma de gestão do "Produto B" e tentou injetar comandos e enviar arquivos maliciosos.
• 01h49 UTC+8 de 25 de setembro (17h49 UTC de 24 de setembro): um programa malicioso começou a executar o roubo.
• De 02h31min00s a 05h23min11s UTC+8 (18h31 a 21h23 UTC de 24 de setembro): transferências on-chain para endereços do invasor, ao longo de cerca de 2 horas e 52 minutos em várias blockchains.

A primeira transferência on-chain verificada pela SlowMist coincide, no minuto, com o horário de detecção de 18h31 UTC anunciado pela Bitget, o que dá certa consistência mútua aos dois relatos.

A descoberta central: uma ferramenta de saque sob medida

A SlowMist diz ter recuperado, entre arquivos que o invasor havia apagado, "uma ferramenta de saque altamente customizada", "adaptada à lógica de saque do sistema de carteiras". Ela "forjava parâmetros de controle de risco", montava pedidos de saque e acionava o processo de retirada. Depois que as transferências começaram, o invasor também tentou editar registros de saque diretamente no banco de dados da carteira; duas ordens de saque de BTC fabricadas entraram em processamento e retornaram erro.

Isso importa porque muda a leitura do incidente. A gestão de chaves resistiu, segundo a Bitget e os investigadores, mas o sistema que decide se um saque é legítimo foi subvertido. A descrição de Chen à Bloomberg, via Claims Journal, vai na mesma linha: os invasores usaram uma falha em produto de terceiros para obter credenciais internas e enviar comandos de saque fraudulentos que contornaram os controles de risco.

A segunda empresa, a Mandiant, do Google Cloud, publicou uma atualização hospedada pela Bitget. Conforme citado pelo The Hacker News, a Mandiant constatou que "o agente da ameaça implantou um web shell no appliance de segurança B e estabeleceu uma conexão de comando e controle (C2)". Nenhum dos relatórios nomeia os dois fornecedores.

O dinheiro: perdas, saídas e reservas

A Bitget disse que seu User Protection Fund, que estava acima de US$ 464 milhões antes do incidente, cobriria toda a perda (Decrypt, 25 de setembro). A Bloomberg informou em 29 de setembro que o fundo havia caído para menos de US$ 200 milhões e que a Bitget registrou US$ 463 milhões em saídas líquidas nas 24 horas seguintes à reabertura dos saques, a maior saída diária desde que a DefiLlama começou a monitorar a corretora, há cerca de quatro anos. A mesma reportagem estimou as reservas da Bitget em aproximadamente US$ 5,7 bilhões.

Chen havia prometido recompor o fundo para mais de US$ 300 milhões em uma semana. Em 30 de setembro, ela publicou que o fundo estava "de volta a mais de US$ 300 milhões, como prometemos", segundo o crypto.news e o Incrypted. A Bitget afirma que os endereços das carteiras do fundo são públicos, o que permite conferir o saldo on-chain.

O crypto.news também citou o snapshot de prova de reservas da Bitget de 29 de setembro, 09h00 UTC: índice geral de 131% em 19 ativos, incluindo BTC a 142%, ETH a 110% e USDT a 107%. Um índice de reservas é um retrato autodeclarado. Mostra os ativos mantidos contra os saldos de clientes em um momento; não é uma auditoria completa de passivos.

A reabertura em fases

Segundo o The Block, os saques voltaram em etapas, sempre às 08h00 UTC: BTC em 28 de setembro, ETH em 29 de setembro (Ethereum, BSC, Arbitrum, Base, Optimism) e USDT em 30 de setembro (Ethereum, BSC, Solana, Tron). Todos os demais ativos, saques em moeda fiduciária e P2P estão previstos para 2 de outubro. A Bitget disse à Bloomberg que o escalonamento "não tem relação com a suficiência ou a disponibilidade dos ativos dos usuários".

Atribuição: suspeita, não veredito

Chen disse que alguns endereços IP coincidiam com escolhas de VPN usadas por "um certo grupo da RPDC" e que o padrão lembrava operações norte-coreanas anteriores, mas ressaltou que a identidade "não foi confirmada" (Decrypt). A empresa de análise de blockchain Elliptic considerou um vínculo com a Coreia do Norte "altamente provável", segundo o Gizmodo. Nem o relatório de progresso da SlowMist nem o trecho da Mandiant citado acima nomeiam um autor. Trate a atribuição como hipótese de trabalho plausível, não como conclusão.

O que sabemos vs. o que estamos inferindo

• Sabido (fonte primária ou amplamente noticiado): perda de US$ 387,5 milhões; detecção às 18h31 UTC de 24 de setembro; primeira atividade maliciosa em 31 de agosto, segundo a SlowMist; uma ferramenta customizada que forjava parâmetros de controle de risco; chaves privadas e cold wallets relatadas como não afetadas; Protection Fund relatado de volta acima de US$ 300 milhões em 30 de setembro; 2 de outubro marcado para a fase final de reabertura.
• Noticiado, mas não verificado de forma independente por nós: a saída de US$ 463 milhões (Bloomberg, dados da DefiLlama), o índice de reservas de 131% (snapshot da própria Bitget) e a frase da Mandiant, que lemos apenas na citação.
• Inferido: o intervalo de cerca de 25 dias entre a primeira intrusão e o roubo sugere falhas de detecção nas próprias ferramentas de segurança. Essa é a nossa leitura da linha do tempo, não uma conclusão declarada por nenhuma das empresas.
• Desconhecido: a identidade dos Produtos A e B, se outras empresas usam o mesmo software vulnerável, quanto das criptomoedas roubadas pode ser congelado ou recuperado e a atribuição final.

O que observar a seguir

• 2 de outubro, 08h00 UTC (04h00 ET / 05h00 UTC-3): reabertura prevista de todos os ativos restantes, moeda fiduciária e P2P. Fique atento a atrasos ou novos limites.
• Fluxos líquidos nos dias após 2 de outubro: se o pico de saídas de 29 de setembro se repete quando todos os canais estiverem abertos.
• Os relatórios periciais finais: se SlowMist ou Mandiant nomeiam os fornecedores terceirizados e se esses fornecedores emitem alertas que outras empresas precisem seguir.
• O próximo snapshot de prova de reservas da Bitget: compare os índices com os de 29 de setembro.
• Esforços de recuperação: eventuais congelamentos por emissores de stablecoins ou resultados do programa de recompensa de 5% da Bitget.

Informação educacional apenas — não é recomendação financeira.