CASO DE HACK NA MERCADO BITCOIN. ATAQUE EXTERNO OU INTERNO? 🚨 A maior corretora de cripto do Brasil foi esvaziada em 67 minutos, e o ataque inteiro custou US$ 120 em taxas de rede. Reconstruí o caso transação por transação em Ethereum e Bitcoin, as duas redes que dá pra auditar de fora. Saíram US$ 37,9 milhões na madrugada de 2 de novembro. E a diferença para o caso da Binance, quatro dias antes, é o que mais importa aqui. Na Binance, uma assinatura do tipo EIP-7702 fez a conta passar a executar código de terceiro. Com procuração dada, 64 ativos saíram numa chamada só, em 204 segundos. Na Mercado Bitcoin não houve procuração nenhuma. Consultei o código associado aos endereços envolvidos e todos voltaram vazios, ou seja, nenhum contrato anexado. Sem delegação, não existe levar tudo de uma vez. Por isso foram 194 transações para 191 ativos, em 24 minutos, assinadas em sequência contínua pela própria chave da carteira quente da casa. Perder a procuração e perder a chave NÃO SÃO a mesma coisa. No primeiro caso o dono ainda tem a chave e autorizou algo que não entendeu. No segundo, a chave simplesmente passou a estar também em outras mãos. E uma chave não precisa ser roubada do dono para funcionar. Basta ser copiada, e o dono pode nem perceber. Tem um detalhe de método que diz tudo. Às 03h24 saíram 0,0001 ETH, uma poeira que não paga nem a própria taxa. Vinte e quatro segundos depois saiu o resto, 2.852 ETH de uma vez. Testaram a chave antes de usar. O que ficou foi mais revelador que o que saiu. Os 106 bitcoins estão parados num único endereço, sem um satoshi movido. E a maior parte dos tokens continua onde caiu, porque mover token custa gás e deixa rastro em cada contrato. Horas depois, já com saques suspensos e com a empresa dizendo que o incidente estava contido, os endereços de depósito dos clientes começaram a ser varridos. Contei 19.313 endereços mandando ether para o atacante até as 20h24, dez horas e meia depois do comunicado. Isso mostra que não era a chave de uma carteira. Era a capacidade de assinar por muitas, e ela seguiu de pé depois de desligarem o que dava para desligar. Em nenhum dos dois casos a rede falhou. Ela fez o que sempre faz, que é obedecer a quem assina com a chave certa. O que falhou foi a guarda, e a guarda era da empresa. Esse é um relatório preliminar e foi construído apenas com dados públicos disponíveis via análise on-chain. A autoria e resposta oficial do caso ainda não foram fornecidos pela empresa.