O pior mês de roubos de 2026 e os US$ 271 milhões que voltaram

Dois roubos explicam quase todo o prejuízo de setembro no mercado de ativos digitais. Somados, os ataques à corretora Bitget e à rede Liquid concentraram mais de 92% do total levado no mês.

O mês fechou acima dos US$ 766 milhões, o pior de 2026 e quase 3,5 vezes o total de agosto. Dois levantamentos independentes chegaram ao mesmo patamar. A PeckShield somou 55 casos e US$ 766,5 milhões, enquanto a CertiK listou 97 incidentes e US$ 768,4 milhões.

E boa parte do que saiu voltou.

Na outra ponta, a CertiK calcula que US$ 270,6 milhões já foram devolvidos ou bloqueados. O saldo que ninguém reavê fica perto de US$ 496 milhões, ainda acima de tudo o que foi roubado em agosto inteiro.

O maior roubo do ano

Em 24 de setembro, a Bitget percebeu saques não autorizados em carteiras quentes e mornas, ligadas à operação do dia a dia, e suspendeu todas as retiradas. Ao todo, US$ 387,5 milhões saíram para endereços controlados pelos invasores, o maior roubo do ano.

A corretora informou que os atacantes aproveitaram uma falha de dia zero, desconhecida até pelo fabricante, em um programa de segurança de terceiros. Com o acesso, obtiveram credenciais internas de alto nível e forjaram ordens de saque que o sistema aceitou como legítimas.

A investigação da SlowMist, contratada pela empresa, mostrou que os invasores circulavam pelo ambiente havia quase um mês. O primeiro registro de atividade maliciosa é de 31 de agosto, 25 dias antes do roubo.

A retirada do dinheiro foi rápida. Cerca de US$ 228 milhões saíram em 18 minutos, distribuídos por sete redes diferentes. O XRP foi a maior fatia, perto de US$ 153 milhões.

As chaves privadas e as carteiras frias, que guardam a maior parte dos fundos, passaram ilesas. O prejuízo ficou com o fundo de proteção da corretora, que mantém 5.500 BTC, mais de US$ 464 milhões, e cobriu o valor sem cortar o saldo dos clientes. O fundo foi recomposto para mais de US$ 300 milhões em 30 de setembro, e as retiradas voltaram em etapas, do bitcoin em 28 de setembro ao restante das moedas em 2 de outubro.

O roubo que terminou com o dinheiro de volta

Em 6 de setembro, uma falha no software Elements permitiu criar cerca de 4.000 LBTC sem lastro em bitcoin e trocá-los por BTC real na Liquid, rede paralela ao bitcoin mantida pela Blockstream.

A operação levou US$ 318,7 milhões. A reserva da rede caiu de 4.205 para 197 BTC antes de as movimentações serem suspensas.

Horas depois, o autor se apresentou em mensagens na própria rede como hacker do bem e passou a negociar. Em 7 de setembro, devolveu 3.400 BTC, perto de US$ 272 milhões e 85% do total, depois que a falha foi corrigida. Cerca de 602 BTC, por volta de US$ 47 milhões, seguem com ele.

Os casos menores e o placar do ano

Fora dos dois gigantes, o mês teve perdas bem mais modestas. Usuários da Safe Wallet responderam por US$ 7,8 milhões, a carteira D'CENT, por US$ 6,03 milhões, e a plataforma Duelbits, por US$ 5,97 milhões. Somados, os três não chegam a 3% do total de setembro.

O quadro de 2026 segue pesado. Segundo o painel da CertiK, o ano já registra 656 incidentes de segurança e US$ 2,68 bilhões em perdas, com US$ 1,315 bilhão em 344 casos só no primeiro semestre.

Passado o mês, a Bitget ainda tenta reaver parte do que saiu e oferece recompensa de 5% a quem ajudar a congelar ou devolver os fundos. Para a presidente-executiva da corretora, Gracy Chen, a recuperação dos US$ 388 milhões roubados deve ficar longe do total, e o parâmetro que ela usa é o pouco que a Bybit conseguiu reaver depois do ataque de 2025.