Arquivo do caso
Three Arrows Capital
O que aconteceu
A Three Arrows Capital era um fundo de cobertura sediado em Singapura que se tornara um dos maiores devedores do setor, financiando posições alavancadas com empréstimos de mesas de crédito centralizadas. Detinha uma posição substancial no ecossistema da Terra, que perdeu praticamente todo o seu valor em maio de 2022, e estava exposta a outras operações que se voltaram contra si à medida que os preços caíam. Quando os credores emitiram chamadas de margem em junho de 2022, o fundo não conseguiu cumpri-las. Um tribunal das Ilhas Virgens Britânicas ordenou a sua liquidação no final desse mês e os liquidatários pediram reconhecimento nos Estados Unidos pouco depois. O incumprimento não ficou pelo fundo: várias das plataformas de crédito que lhe tinham concedido financiamento revelaram perdas e algumas entraram depois em falência. O regulador de Singapura viria a emitir ordens de proibição contra os seus fundadores.
O que aprender com isso
O contágio em cripto não tem nada de místico: é uma cadeia de crédito. Uma plataforma que lhe oferece rendimento está a emprestar o seu depósito a alguém, e a concentração dessa carteira de crédito é o risco que está de facto a correr. Essa carteira raramente é publicada, pelo que a pergunta a fazer perante qualquer produto de rendimento é quem é o devedor e o que acontece ao seu dinheiro se esse devedor não pagar.
Onde se encaixa no histórico
Os colapsos de exchanges documentados que acompanhamos, na ordem em que aconteceram.
- 2014
Mt. Gox
February 2014Once the exchange handling the large majority of the world's Bitcoin trades, Mt. Gox abruptly halted withdrawals and filed for bankruptcy in Japan after disclosing that hundreds of thousands of customer and company bitcoins were gone — later attributed to theft that went undetected for years.
- 2015
Bitstamp
January 2015Em janeiro de 2015, cerca de 19.000 BTC foram retirados das carteiras quentes da Bitstamp após um ataque dirigido a funcionários da exchange. A Bitstamp suspendeu as negociações, reconstruiu a infraestrutura e passou a usar custódia institucional terceirizada, com a maior parte dos ativos dos clientes fora da internet.
- 2016
Bitfinex
August 2016A security breach in Bitfinex's multi-signature wallet setup let attackers drain a large share of customer bitcoin in a single incident. The exchange spread the loss across all users' balances and later repaid affected customers over several years.
- 2016
The DAO
June 2016A The DAO era um fundo dirigido pelos investidores e escrito inteiramente como contratos inteligentes da Ethereum: os detentores de tokens votavam nas propostas a financiar, sem gestor pelo meio. A sua venda de tokens em 2016 reuniu uma fração considerável de todo o ether em circulação. Em junho de 2016 um atacante explorou uma falha de reentrância no código que permitia a um participante retirar a sua parte: o contrato enviava o ether antes de atualizar o saldo de quem pedia, pelo que um contrato malicioso podia voltar a chamar a retirada repetidamente e ser pago de novo sobre um saldo que ainda não tinha sido reduzido. Cerca de 3,6 milhões de ETH foram movidos para um contrato-filho sujeito a um período de espera previsto nas próprias regras da The DAO, o que deu semanas à comunidade para discutir a resposta. Os participantes da Ethereum acabaram por adotar um hard fork que transferiu os fundos para um contrato de recuperação. Uma minoria rejeitou o fork, por entender que o registo não deve ser reescrito, e manteve a cadeia original como Ethereum Classic.
- 2017
Parity Multisig Wallet Freeze
November 2017As carteiras multiassinatura da Parity não traziam cada uma a sua própria lógica. Para poupar no custo de implantação, cada carteira era um contrato leve que delegava o seu comportamento num único contrato-biblioteca partilhado na rede. Essa biblioteca tinha sido implantada sem ser inicializada, pelo que a sua propriedade continuava por reclamar. Em novembro de 2017 um utilizador reclamou-a e invocou depois a sua função de autodestruição, que retirou o código da biblioteca da cadeia. Todas as carteiras que dependiam dela ficaram a apontar para o vazio: os saldos continuam a existir no registo, mas o código capaz de autorizar uma transferência já não. As estimativas públicas apontam para cerca de 513.000 ETH imobilizados. Ninguém levou os fundos e nenhum exploit os moveu; simplesmente deixaram de estar ao alcance. As propostas para os recuperar por alteração do protocolo foram debatidas e não adotadas. Meses antes, uma falha distinta no mesmo software de carteira permitira um roubo real de cerca de 150.000 ETH, segundo estimativas públicas.
- 2018
BitConnect
January 2018A BitConnect convidava os utilizadores a trocar bitcoin pelo seu próprio token e a bloqueá-lo num programa de empréstimo que prometia retornos estáveis, supostamente gerados por um robô de negociação proprietário que ninguém fora da empresa podia inspecionar. Uma estrutura de referências em vários níveis pagava aos participantes para recrutarem novos. Depois de reguladores estaduais de valores mobiliários nos Estados Unidos emitirem ordens de cessação, a plataforma de empréstimo fechou em janeiro de 2018 e o valor do token ruiu. As autoridades norte-americanas viriam a acusar a operação de fraude: um promotor declarou-se culpado e o fundador foi indiciado e dado como foragido.
- 2018
Coincheck
January 2018The Japanese exchange kept a large pool of a single token in an internet-connected hot wallet without a multi-signature setup. Attackers stole hundreds of millions of dollars' worth in one of the largest exchange hacks by value at the time.
- 2019
Binance
May 2019Em 7 de maio de 2019, atacantes retiraram cerca de 7.000 BTC — aproximadamente US$ 40 milhões à época — de uma carteira quente da Binance numa única transação, usando chaves de API roubadas e credenciais obtidas por phishing. A Binance cobriu toda a perda com o seu Secure Asset Fund for Users e os saldos dos clientes ficaram intactos.
- 2019
Bitfinex / Crypto Capital
2018–2019Entre 2018 e 2019, a Bitfinex mantinha cerca de US$ 850 milhões de dinheiro misturado de clientes e da empresa no seu processador de pagamentos, a Crypto Capital Corp, cujas contas foram apreendidas por autoridades de vários países. As reservas da emissora de stablecoin coligada Tether cobriram o rombo, e ambas fecharam acordo de US$ 18,5 milhões com a Procuradoria de Nova York em fevereiro de 2021, sem admitir irregularidades.
- 2019
QuadrigaCX
Early 2019Canada's largest exchange at the time told customers it could no longer access roughly CA$190M in funds after its founder died while allegedly holding sole control of the cold-wallet keys. A later court-appointed investigation found many of the wallets had been empty long before his death, pointing to mismanagement and likely fraud rather than a pure accident.
- 2020
KuCoin
September 2020Em 25 de setembro de 2020, atacantes drenaram cerca de US$ 281 milhões das carteiras quentes da KuCoin. Aproximadamente 84% foi recuperado nas semanas seguintes por rastreamento on-chain, congelamento e reemissão de tokens pelos emissores e listas de bloqueio em outras exchanges. O fundo de seguro da KuCoin cobriu o restante e os usuários foram ressarcidos.
- 2022
Celsius Network
June 2022The crypto lending platform froze all customer withdrawals during a market downturn and filed for bankruptcy weeks later. Its founder was subsequently charged with, and later pleaded guilty to, fraud for misrepresenting the platform's risk to depositors.
- 2022
Crypto.com
January 2022Em 20 de janeiro de 2022, cerca de US$ 34 milhões em bitcoin, ether e outros ativos foram sacados de 483 contas de clientes da Crypto.com. Os saques foram aprovados sem que a autenticação de dois fatores fosse devidamente exigida. A empresa pausou os saques, refez o fluxo de autenticação e ressarciu todos os usuários atingidos.
- 2022
FTX
November 2022One of the largest exchanges globally collapsed within days after reporting revealed customer deposits had been comingled with, and lent to, a sister trading firm. Its founder was later convicted on multiple counts of fraud.
- 2022
Ronin Bridge
March 2022A ponte Ronin, que ligava a sidechain do jogo Axie Infinity ao Ethereum, foi esvaziada em março de 2022 depois de os atacantes obterem controlo sobre a maioria do pequeno conjunto de validadores cujas assinaturas autorizavam levantamentos. Nada foi quebrado no contrato: os levantamentos estavam validamente assinados pelas chaves em que o sistema confiava. A perda só foi descoberta dias mais tarde, quando um utilizador comunicou não conseguir levantar. As autoridades norte-americanas viriam a atribuir o roubo ao grupo Lazarus, ligado à Coreia do Norte.
- 2022
Terra / LUNA
May 2022A TerraUSD era uma stablecoin algorítmica que mantinha a paridade com o dólar não com reservas, mas através de uma ligação de cunhagem e queima ao LUNA, o token volátil da própria rede: um UST abaixo de um dólar podia sempre ser trocado por um dólar de LUNA recém-criado. Em maio de 2022 a paridade cedeu e o mecanismo funcionou ao contrário — restaurá-la exigia cunhar cada vez mais LUNA, o que esmagou o seu preço e destruiu justamente o valor de que a paridade dependia. Ambos os ativos ruíram em poucos dias, e a Terraform Labs e o seu fundador viriam a enfrentar processos criminais e civis nos Estados Unidos e na Coreia do Sul.
- 2022
Three Arrows Capital
Você está aquiJune 2022A Three Arrows Capital era um fundo de cobertura sediado em Singapura que se tornara um dos maiores devedores do setor, financiando posições alavancadas com empréstimos de mesas de crédito centralizadas. Detinha uma posição substancial no ecossistema da Terra, que perdeu praticamente todo o seu valor em maio de 2022, e estava exposta a outras operações que se voltaram contra si à medida que os preços caíam. Quando os credores emitiram chamadas de margem em junho de 2022, o fundo não conseguiu cumpri-las. Um tribunal das Ilhas Virgens Britânicas ordenou a sua liquidação no final desse mês e os liquidatários pediram reconhecimento nos Estados Unidos pouco depois. O incumprimento não ficou pelo fundo: várias das plataformas de crédito que lhe tinham concedido financiamento revelaram perdas e algumas entraram depois em falência. O regulador de Singapura viria a emitir ordens de proibição contra os seus fundadores.
- 2022
Wormhole
February 2022A Wormhole, uma ponte que emite ativos embrulhados em várias cadeias, perdeu cerca de 120 000 ether embrulhados em fevereiro de 2022, quando um atacante explorou uma falha na forma como o contrato do lado da Solana verificava as assinaturas dos guardiões que autorizam uma cunhagem. O atacante conseguiu produzir uma cunhagem que o contrato aceitou sem um depósito correspondente no Ethereum, deixando os tokens embrulhados sem colateral suficiente. A Jump Crypto, que apoiava o projeto, repôs o ether em falta, de modo que os detentores do ativo embrulhado não perderam.
- 2023
HTX (formerly Huobi)
September 2023Em 24 de setembro de 2023, cerca de 5.000 ETH — aproximadamente US$ 8 milhões — foram retirados de uma única carteira quente da HTX. A exchange identificou o atacante, negociou a devolução de 95% dos fundos e pagou os 5% restantes como prêmio white-hat. Os saldos dos clientes foram integralmente cobertos.
- 2024
DMM Bitcoin
May 2024A 31 de maio de 2024 a DMM Bitcoin, uma exchange japonesa registada junto da Agência de Serviços Financeiros, comunicou uma saída não autorizada de 4502,9 BTC — cerca de 300 milhões de dólares à data e um dos maiores roubos da história do país. A empresa declarou que iria adquirir o bitcoin equivalente com apoio do grupo DMM, de modo a cobrir integralmente as posições dos clientes, e a FSA japonesa emitiu uma ordem de melhoria da atividade. Em dezembro de 2024 agências norte-americanas e japonesas atribuíram publicamente o roubo a agentes ligados à Coreia do Norte, e a DMM anunciou o encerramento do seu negócio de cripto, com transferência das contas dos clientes para a SBI VC Trade.
- 2025
Bybit
February 2025Em 21 de fevereiro de 2025, atacantes moveram cerca de US$ 1,46 bilhão em ether e ether em staking de uma carteira fria da Bybit ao manipular o que os signatários viam numa interface multisig da Safe, de modo que detentores legítimos de chaves aprovaram uma transferência que não era o que aparentava. O FBI atribuiu o ataque ao Lazarus Group, da Coreia do Norte.
A seguir
As notasO registro de notasAs cinco verificações que este histórico gerou, aplicadas a cada exchange que avaliamos.Abrir