A Bitget foi invadida em agosto, e o roubo só veio em setembro

O roubo de US$ 387,5 milhões sofrido pela Bitget na noite de 24 de setembro não começou naquele dia. A investigação da SlowMist, contratada pela corretora logo depois do ataque, encontrou o primeiro registro de atividade maliciosa em 31 de agosto, 25 dias antes de o dinheiro sair das carteiras quentes e mornas da plataforma.

O relatório foi divulgado na quarta-feira, 30 de setembro, e é parcial, com a apuração fechada até o dia 29.

A noite do roubo

O que a investigação reconstruiu daquela noite está registrado em UTC. Às 16h07, o invasor usou o acesso de um funcionário para chegar à área administrativa de um segundo programa de segurança e tentou três vezes injetar comandos no sistema.

Às 17h49, começou a rodar a ferramenta que faria o serviço. Ela foi escrita sob medida para conversar com a lógica de saque da corretora, e os investigadores a recuperaram de arquivos apagados pelo invasor. A ferramenta inventou os parâmetros que o controle de risco esperava ver, montou as ordens de retirada e disparou o processo por conta própria.

Às 18h31 saiu a primeira transferência verificada, de 93 TRX, e 11 segundos depois, de 0,84 ETH. Eram dois testes.

O grosso veio em seguida. Segundo a Arkham, US$ 228 milhões deixaram a corretora em 18 minutos, espalhados por sete redes. O XRP respondeu pela maior fatia isolada, perto de US$ 153 milhões, e o total contabilizado pela corretora chegou a US$ 387,5 milhões, com a última transferência montada às 21h23, quase três horas depois do primeiro envio.

Depois de começar, o invasor ainda tentou apagar o próprio rastro. Voltou ao sistema de registro da carteira para reescrever os saques, e duas ordens em bitcoin voltaram com erro. O histórico mostra uma segunda tentativa.

Nenhuma chave privada foi levada e as carteiras frias, com a maior parte dos fundos, ficaram fora do alcance. O que o invasor conseguiu foi outra coisa. Ele convenceu o sistema de aprovação da corretora a assinar transferências que pareciam rotina, com dados forjados dentro da infraestrutura que gerencia as carteiras.

Um mês de acesso antes do roubo

O caminho até esse ponto começou semanas antes, em um programa de segurança que a Bitget usava, de um fornecedor que a investigação chama apenas de Produto A. O fabricante só soube da brecha quando a corretora avisou. Uma falha que nem o fabricante da ferramenta conhecia abriu caminho em um dos servidores. O invasor rodou um script escondido, leu a variável de ambiente que guardava a senha de acesso ao banco e abriu conexão direta com ele.

O mesmo script reapareceu em dois outros servidores da estrutura, nos dias 23 e 25 daquele mês.

Para a SlowMist, esse é o dado que muda a leitura do caso. Os ambientes já estavam comprometidos antes de qualquer transferência sair, o que deu ao invasor quase um mês para estudar como a corretora movimenta dinheiro e onde ficam os limites de cada etapa.

A Mandiant, braço de segurança do Google Cloud, fez uma investigação separada e descreveu o passo seguinte. O invasor manteve um programa de acesso remoto em um segundo equipamento, o Produto B, montou um canal de controle e dali se moveu para o servidor que processa as carteiras da corretora, onde instalou pacotes maliciosos.

O intervalo de 25 dias muda o tipo de ataque. O invasor não tinha pressa e pôde reconhecer o terreno antes de escolher o momento de agir.

O que ficou em aberto

A Bitget afirma ter corrigido a falha, desativado a função afetada, avisado o fornecedor e reforçado a verificação dos saques. As retiradas voltaram em etapas, começando pelo bitcoin em 28 de setembro.

O prejuízo saiu do fundo de proteção da corretora, que a empresa avalia em mais de US$ 464 milhões, lastreado em 5.500 BTC. A Bitget sustenta que nenhum saldo de cliente foi cortado e que o valor reservado cobre a perda. Para tentar reaver parte do dinheiro, a corretora paga recompensa de 5% sobre o que for congelado ou devolvido com ajuda de fora, e mantém um painel público de rastreamento dos ativos desviados.

O dinheiro segue em movimento. Scripts automáticos colocam ordens de troca no CoW Protocol e mandam o resultado para um contrato da Chainflip, que entrega bitcoin no fim do caminho. Um dia antes, a própria Chainflip havia recusado receber um envio desses endereços.

A autoria segue como suspeita. Gracy Chen, que comanda a Bitget, citou padrões de endereços de internet e movimentações que lembram as de grupos associados ao regime norte-coreano. A Elliptic incluiu o caso entre os maiores de 2026 atribuídos a Pyongyang, sem confirmação de nenhum governo, e os rastros públicos se sobrepõem aos de grupos de lavagem usados em outros casos, o que não liga o roubo a autores específicos.

O documento não nomeia os dois programas de segurança comprometidos. Também não explica como o invasor atravessou de um ambiente para o outro. As duas respostas seguem em aberto na apuração.