Hack da Bitget rouba US$ 387,5 milhões em maior ataque de 2026
O hack da Bitget em 24 de setembro de 2026 às 18h31 UTC resultou no roubo de US$ 387,5 milhões em criptomoedas, tornando-se o maior ataque cibernético do ano contra uma corretora. A Bitget confirmou que hackers comprometeram carteiras quentes e mornas contendo XRP, Ethereum e stablecoins.
O hack expõe vulnerabilidades críticas nos sistemas de autorização de transações das exchanges centralizadas. Segundo a CEO Gracy Chen, os atacantes comprometeram a infraestrutura de backend das carteiras da plataforma. O grupo falsificou dados de transações para enganar o sistema de autorização da Bitget, que aprovou saques fraudulentos sem que chaves privadas fossem roubadas.
Chen explicou que "eles não forjaram solicitações de saque de usuários, nem obtiveram nossas chaves privadas", mas conseguiram "falsificar dados de transações, enganando o próprio processo de autorização da exchange para aprovar pagamentos".
Prejuízo concentrado em XRP e stablecoins
O hack da Bitget atingiu carteiras quentes e mornas contendo XRP, Ethereum e stablecoins. Aproximadamente 103 milhões de tokens XRP foram levados, equivalentes a cerca de US$ 157 milhões. O restante, US$ 230,5 milhões, incluía Ethereum, stablecoins e outros ativos em blockchains como Zcash e TRON.
A Bitget inicialmente reportou US$ 351,6 milhões em perdas em 24 de setembro. A revisão para US$ 387,5 milhões veio após uma contabilização mais completa das transferências ocorridas durante o hack, incluindo ativos afetados em múltiplas redes.
Coreia do Norte sob suspeita
Chen indicou endereços IP associados a VPNs previamente usadas por grupos norte-coreanos. "O padrão se parece muito com o que a equipe norte-coreana fez antes", afirmou a executiva. Assinaturas on-chain alinharam-se com técnicas atribuídas a grupos ligados ao estado norte-coreano, embora a identificação ainda não seja confirmada.
A Bitget trabalha com as firmas de segurança Mandiant e SlowMist na análise forense. Saques permaneceram suspensos até nova ordem enquanto a exchange remediava os sistemas comprometidos. Um relatório completo do incidente deve ser divulgado após a conclusão das investigações.
Fundo de proteção cobre perdas integralmente
A corretora anunciou que seu Fundo de Proteção ao Usuário, com mais de US$ 464 milhões, cobrirá a totalidade das perdas. Contas de clientes permaneceram intactas e a empresa confirmou que nenhum usuário teve fundos comprometidos.
Antes do ataque à Bitget, US$ 1,73 bilhão haviam sido roubados em 333 incidentes visando grupos cripto ao longo de 2026, segundo dados da TRM Labs. O hack eleva o total de perdas do ano para mais de US$ 2,1 bilhões.
Lição para investidores brasileiros
O hack da Bitget reforça a importância da autocustódia para investidores brasileiros que mantêm criptoativos em corretoras. O Banco Central do Brasil, na regulamentação que entrou em vigor em fevereiro de 2026, exige que prestadoras de serviços de ativos virtuais implementem políticas robustas de segurança cibernética.
Mesmo com fundos de garantia, ataques dessa magnitude expõem o risco sistêmico de centralização. Enquanto a Bitget cobriu as perdas do hack, outros incidentes ao longo de 2026 deixaram usuários sem recuperação integral de fundos. A autocustódia em cold wallets continua sendo a prática mais segura para quem não opera ativamente.
Corretoras brasileiras autorizadas pelo Banco Central também enfrentam riscos similares. O prazo para autorização definitiva das prestadoras de serviços de ativos virtuais termina em 29 de outubro de 2026. Empresas que não obtiverem autorização serão impedidas de operar no país.