Bitget atribui o roubo a falha em ferramenta externa de proteção

Um investigador de segurança afirma ter identificado contas supostamente ligadas à lavagem dos recursos da Bitget pedindo ajuda em chats públicos de Discord e Telegram de serviços de swap, e uma delas também aparecia no exploit da KelpDAO.

A Bitget confirmou na sexta-feira, 25 de setembro, que US$ 387,5 milhões acabaram em carteiras sob domínio do invasor. O número é uma revisão do montante inicial de US$ 351,6 milhões e veio acompanhado da inclusão de Zcash e TRON entre os recursos desviados. A exchange trata o valor como fechamento provisório do caso, e não como balanço definitivo do prejuízo.

A exchange aponta a falha em ferramenta externa de proteção, e o fornecedor segue sem identificação.

O defeito expôs credenciais internas e permitiu ordens de saque fraudulentas que burlaram as salvaguardas de risco da operação. A exchange sustenta que o problema ficou restrito a esse fluxo.

As primeiras transferências ocorreram na quinta-feira, 24 de setembro, quando a plataforma desligou as assinaturas automaticamente. Na sexta-feira, 25, a direção informou a causa raiz do incidente e registrou o caso junto a uma autoridade competente do país.

Em resposta, a Bitget informou que a chave privada descartada foi isolada, que as carteiras frias permaneceram intactas e que a Bitget Wallet não foi atingida. Os saldos dos usuários foram preservados e a exchange prometeu reembolso. É esse isolamento que a exchange usa para explicar por que o prejuízo caiu sobre o tesouro da plataforma, e não sobre a carteira dos clientes.

A falha de terceiro e a defesa da exchange

O alcance do incidente aparece na lista divulgada pela exchange, que aponta 12 carteiras atingidas em 11 blockchains e 13 ativos afetados. A dispersão por redes distintas dificulta o rastreamento em tempo real.

Pela AMLBot, cerca de 4 BTC de uma rodada CoinJoin do Wasabi acabaram ligados à carteira TRON da Bitget, via USDT0 e THORChain. A atribuição é da AMLBot.

A TRM Labs descreve um quadro mais amplo. Oito carteiras com cerca de 10 mil ETH cada e quatro com 20 milhões de XRP permaneceram dormentes até 25 de setembro, quando foram associadas à movimentação. A inércia anterior ajuda a explicar por que parte dos recursos ainda não apareceu em rotas conhecidas, e por que o acompanhamento continua incompleto.

Como rotas de saída, a TRM Labs aponta THORChain, Across, Bridgers, Chainflip e FixedFloat, além de SunSwap para o USDT0 na TRON. Nenhuma é tratada como destino final do dinheiro.

A AMLBot também registrou 13 carteiras dormentes com cerca de 68,3 mil ETH, 83 milhões de XRP e 18,9 mil ZEC. Os montantes são da própria AMLBot e não foram confirmados por outras equipes independentes de análise, o que deixa o quadro em aberto.

Vínculos on-chain ligam essas carteiras a carteiras antes ligadas à lavagem na Bybit e à AFX Bridge, o que alimenta a hipótese do TraderTraitor. A Bitget não confirma a atribuição.

Rastreamento dos recursos e plano de devolução

O calendário de devolução apresentado em 26 de setembro prevê liberações em etapas. O BTC foi liberado na segunda-feira, 28 de setembro, o ETH na terça-feira, 29, o USDT na quarta-feira, 30, e o restante a partir de 02 de outubro. O escalonamento existe para conter o impacto da devolução sobre a operação e para testar se os endereços publicados não voltam a ser explorados.

A exchange publicou os endereços de XRPL e Zcash usados no caso, sem validação independente. Servem como ponto de partida para conferir fluxos na blockchain, mas continuam sendo declaração da empresa.

No dia 28 de setembro, o BGB era negociado a US$ 1,99, em queda de 3,32% em 24 horas. A máxima da janela veio antes do incidente, em 22 de setembro.

O programa de recuperação paga 5% do valor congelado e 5% do que for recuperado, por meio do mecanismo de recompensa da Bybit, com exclusão de ordens judiciais. As trilhas de rastreamento se sustentam, mas ainda não foram auditadas por terceiros.