A Chainalysis diz que usou inteligência artificial interna para reduzir uma tarefa de reconciliação de bridge que normalmente levaria investigadores mais de 20 horas para menos de 10 minutos ao rastrear os US$ 387 milhões drenados da exchange de criptomoedas Bitget.
A análise detalhada vem de um relatório da Chainalysis datado de 1º de outubro, conforme noticiado pela crypto.news. A empresa de análise de blockchain disse que seus investigadores criaram uma automação personalizada especificamente para o caso depois que a Bitget detectou transferências não autorizadas em 24 de setembro, e a ferramenta ajudou a conectar trilhas de transações fragmentadas que, de outra forma, pareceriam não relacionadas quando vistas em redes separadas.
Principais pontos
- A Chainalysis diz que sua IA reduziu uma tarefa de correspondência de bridges de 20 horas para menos de 10 minutos durante a investigação da Bitget.
- Cerca de US$ 387 milhões saíram da Bitget pelas redes Ethereum, XRP, Zcash e Tron em 23 transferências.
- A Chainalysis vincula o roubo a agentes norte-coreanos, cujos furtos de cripto em 2026 agora ultrapassam US$ 1 bilhão.
- A Circle e a Tether congelaram cerca de US$ 318.000 em USDC e USDT vinculados até 26 de setembro.
Como o rastreamento com IA acelerou a investigação do hack da Bitget
Os investigadores da Chainalysis definiram eles mesmos a lógica de correspondência e, em seguida, deixaram a IA lidar com o trabalho repetitivo entre cadeias de parear depósitos em uma rede com saques em outra. “Nossos investigadores ainda definiram a lógica, revisaram os resultados e direcionaram a investigação”, disse a empresa em seu relatório. Endereços recém-sinalizados vinculados aos fundos roubados receberam rótulos em poucos minutos, alimentando diretamente a plataforma de dados de compliance usada por exchanges e parceiros da aplicação da lei.
Por dentro do roubo de US$ 387 milhões em quatro blockchains
Nas primeiras três horas do ataque, a Chainalysis rastreou 23 transferências separadas que drenaram cerca de US$ 387 milhões da Bitget. De acordo com sua análise, 49,7% foram para Ethereum, 40,8% para XRP, 7,6% para Zcash e 1,8% para Tron.
Os investigadores rastrearam o XRP roubado por meio de um protocolo de liquidez cross-chain que pagava em Bitcoin em vez de encaminhar os tokens diretamente para uma exchange, com dezenas de milhões de dólares passando por essa rota ao longo de aproximadamente um dia e meio. A partir daí, os fundos passaram por vários outros protocolos até endereços de Bitcoin controlados pelos atacantes que, segundo a Chainalysis, continuam sendo monitorados.
A própria investigação da Bitget rastreou a violação até uma vulnerabilidade em um produto de segurança de terceiros que permitiu aos atacantes obter credenciais e forjar comandos de saque. A Mandiant e a SlowMist auxiliaram no trabalho forense. Segundo a Chainalysis, agentes norte-coreanos estavam por trás do ataque, elevando o total acumulado de furtos de cripto do grupo em 2026 para mais de US$ 1 bilhão, enquanto a CEO da Bitget, Gracy Chen, inicialmente apontou apenas para padrões de IP e infraestrutura de VPN que se assemelhavam a táticas norte-coreanas conhecidas, sem chegar a uma atribuição definitiva.
Resposta da Bitget: detecção, recompensas e restauração de saques
De acordo com a Bitget, seus sistemas detectaram transferências não autorizadas às 18h31 UTC de 24 de setembro, originadas de segmentos de sua infraestrutura de carteiras quentes e mornas. A exchange posteriormente revisou para cima sua estimativa de perdas, passando de US$ 351,6 milhões para US$ 387,5 milhões depois que outras transferências em Zcash e Tron foram contabilizadas.
Para recuperar fundos, a Bitget ofereceu recompensas de 5% separadas por informações que levassem ao congelamento de ativos e por recuperação bem-sucedida. A Circle e a Tether congelaram cerca de US$ 318.000 em USDC e USDT vinculados até 26 de setembro. Em sua atualização de 30 de setembro, a Bitget confirmou que as funções de saque haviam voltado a ficar online em fases — Bitcoin em 28 de setembro, seguido por Ether em 29 de setembro e USDT em 30 de setembro — ao mesmo tempo em que reiterou que os fundos dos usuários permaneceram intocados e que mais de US$ 300 milhões já haviam retornado ao seu Fundo de Proteção.
Resposta da THORChain e um caso separado envolvendo a Coreia do Norte
Chen tentou fazer com que a THORChain bloqueasse os endereços dos atacantes assim que os fundos roubados começaram a passar pelo protocolo, mas a THORChain recusou. A rede argumentou que seus controles de emergência existem para proteger a segurança geral da rede, e não para congelar carteiras individuais, uma distinção que, segundo ela, difere fundamentalmente do bloqueio seletivo de endereços. A GoPlus, uma empresa de segurança, contestou a comparação da THORChain com o Bitcoin e o Ethereum, observando que seus cofres dependem do controle de validadores e de um mecanismo de assinatura distinto que concede aos operadores capacidades além daquelas que os validadores da camada base possuem.
Separadamente, um caso em um tribunal federal dos EUA, noticiado em 8 de setembro, ordenou o confisco de cerca de US$ 212.700 em stablecoins vinculadas a trabalhadores de TI norte-coreanos. De acordo com a queixa do Departamento de Justiça de junho de 2025, os promotores alegaram que os trabalhadores ocultaram suas verdadeiras identidades para conseguir empregos no exterior — alguns em empresas de blockchain — recebendo normalmente pagamento em USDC ou USDT antes de lavá-lo por meio de trocas de tokens, transferências cross-chain e contas abertas com identidades falsas. Embora o juiz Rudolph Contreras tenha aprovado o confisco da única carteira identificada, ele rejeitou o pedido mais amplo sem prejuízo, concluindo que o aviso público não havia especificado adequadamente os demais ativos.
Artigo produzido com a assistência de inteligência artificial e revisado pela equipe editorial.