Até a última sexta-feira (21), o maior roubo de criptomoedas da história havia sido o da Poly Network em 2021. Na ocasião, invasores desviaram US$ 610 milhões (o equivalente a R$ 3,5 bilhões) ao descobrirem vulnerabilidades no sistema, mas devolveram o valor quase integral depois de duas semanas.
Só que esse ranking mudou com um novo caso: o hack da Bybit, uma das maiores corretoras de criptomoedas do mundo em volume de transações. A operação resultou no desvio de US$ 1,5 bilhão (ou R$ 8,6 bilhões em conversão direta de moeda) de uma só vez.
O incidente envolvendo a empresa sediada em Dubai espanta não apenas pelo valor envolvido, mas também pela sofisticação das técnicas usadas para ganhar acesso aos criptoativos. Com o passar dos dias, alguns detalhes do golpe foram revelados e reforçam como esquemas de fraude evoluem a uma velocidade talvez até maior do que os próprios mecanismos de segurança criados para barrá-los.
O que aconteceu com a Bybit
A própria corretora anunciou em 21 de fevereiro que detectou uma “atividade nao autorizada” em uma de suas carteiras de criptomoedas contendo Ethereum. Todo o valor, que foi roubado em uma única operação, envolveu aproximadamente 400 mil unidades de ETH e Staked Ether (stETH), transferidas para um mesmo destinatário.
Os R$ 8,6 bilhões em Ethereum estavam armazenados em uma carteira “fria” — uma conta de armazenamento de criptomoedas sem conexão direta com a internet e que só movimenta valores a partir de uma chave privada sem acesso à blockchain.
Só isso já dificultaria o roubo, mas o saldo da corretora estava ainda mais protegido. A carteira em questão era uma multisig, ou multi-assinatura, o que significa uma camada adicional de segurança que exige duas ou mais chaves privadas, que estão normalmente em posse de pessoas diferentes, para autorizar uma transação.
Um truque de mestre
Com tanto cuidado tomado pela corretora, como esse enorme valor foi roubado? A Bybit alega que tudo aconteceu durante um processo de transferência de rotina de valores da carteira fria e multi-assinatura para as carteiras “quentes”, que são as contas conectadas à rede e que movimentam os criptoativos dos clientes todos os dias
Os criminosos conseguiram manipular o protocolo digital de contrato inteligente e alterar a interface de assinatura da transação, fazendo com que as pessoas responsáveis pela chaves privadas achasse que estavam confirmando uma operação legítima. Na verdade, elas estavam autorizando o envio de todo o Ethereum roubado para a conta dos cibercriminosos.
Em outras palavras, o protocolo de segurança da blockchain não tinha qualquer vulnerabilidade. A fraude envolveu uma possível invasão aos sistemas internos da Bybit ou às máquinas de funcionários, que tiveram a interface manipulada para autorizar as transações criminosas.
Quem foi o responsável pelo roubo?
Análises preliminares realizadas pelo Elliptic apontam que o Lazarus Group é o principal suspeito e provável responsável pelo roubo. A quadrilha de cibercriminosos tem origem na Coreia do Norte, apresenta conexões com o governo local e já é conhecida no meio há anos por roubos de grandes valores em criptomoedas.
Membros do Lazarus são conhecidos por empregar malwares de alteração de interface e por formas elaboradas de engenharia social para enganar funcionários de grandes empresas. Eles muito provavelmente estiveram envolvidos no que agora é o terceiro maior roubo do setor cripto: o desvio de quase US$ 550 milhões (R$ 3,1 bilhões) da rede associada ao jogo Axie Infinity
Três dias depois do roubo, o que é considerado um tempo recorde e bom exemplo de gestão, a Bybit levantou a mesma quantidade em fundos para seguir atendendo os clientes com uma reserva. Porém, o dinheiro roubado segue em posse dos criminosos: ele já está em processo de ser lavado a partir de transferências anônimas para bitcoin, mas a companhioa busca congelar os fundos roubados para ganhar tempo e tentar recuperar ao menos parte do valor.
Como aponta a Check Point, o sucesso na invasão mesmo com tantas camadas de proteção já é considerado uma virada de página no setor de criptomoedas. a operação significa que mesmo os sistemas mais complexos usados atualmente não são totalmente à prova de falhas e que, mesmo que os protocolos digitais seguidos sejam eficientes, o ser humano ainda é o elo mais fraco nos processos e acaba se tornando o alvo.
Quer saber mais sobre privacidade de dados, fraudes digitais e proteção na internet? Continue ligado na seção de Segurança do TecMundo para se manter informado!
