727 FinanceRevisando o caso da Bybit, como os hackers converteram 500.000 ETH em BTC em 10 dias, revelando todo o processo de lavagem de criptomoedas entre blockchains e saque em dinheiro por meio de OTC subterrâneo. A pressão de venda de ETH foi concentrada, o impacto no BTC foi limitado, e os hackers não foram a causa principal da grande queda.
Autor: SoSoValue Research
Na noite de 29 de outubro, a Binance sofreu o que se suspeita ser o maior ataque hacker da história. A Chainalysis estima o valor roubado em aproximadamente US$ 5,9 bilhões, e o detetive on-chain ZachXBT acredita que foi muito provavelmente realizado pelo Lazarus, da Coreia do Norte.
Muitas pessoas estão preocupadas: como os hackers lidarão com essas moedas? Eles vão despejá-las? Para responder a essa pergunta, a melhor referência é o caso Bybit, realizado pelo mesmo grupo em fevereiro de 2025.
I. Revisando o caso Bybit: 500.000 ETH, todos convertidos em BTC em 10 dias
Em 21 de fevereiro de 2025, aproximadamente 500.000 ETH foram roubados da Bybit, valendo cerca de US$ 1,4 bilhão na época, tornando-se o maior roubo de criptomoedas da história até aquele momento.
Os hackers agiram muito rapidamente:
● Dia 1: Primeiro converteram derivativos de staking como stETH e mETH em ETH nativo, depois dividiram entre um grande número de endereços.
● Dia 5: Pelo menos 160.000 ETH já haviam sido transferidos via cross-chain pela THORChain.
● Dia 9: Outros 62.200 ETH foram transferidos em um único dia, elevando o total acumulado para aproximadamente 343.000 ETH movimentados.
● Dias 10–12: A Arkham confirmou que aproximadamente 500.000 ETH haviam sido todos convertidos via bridge do Ethereum para BTC nativo.
Quais canais foram usados?
● THORChain (protocolo cross-chain descentralizado): cerca de 72%, 361.000 ETH
● eXch (plataforma de exchange sem KYC): cerca de 16%, 79.700 ETH
● OKX Web3 Wallet: cerca de 8%, 40.000 ETH
A THORChain, assim, lucrou cerca de US$ 5,5 milhões em taxas, atraindo fortes críticas da comunidade. A eXch anunciou posteriormente seu encerramento em 1º de maio de 2025.
Quanto poderia ser recuperado no final? Dois meses depois, o CEO da Bybit publicou números mostrando que 68,6% permaneciam rastreáveis, 27,6% haviam "desaparecido" e apenas 3,8% haviam sido congelados.
Conclusão: Quase todo o ETH roubado foi convertido em BTC, e menos de 4% foi efetivamente recuperado.
II. Por que os hackers precisam converter para BTC?
1. Ninguém pode congelá-lo
2. USDT e USDC têm emissores que podem colocar endereços na blacklist a qualquer momento. Neste incidente da Binance, a Tether e a Circle congelaram rapidamente cerca de US$ 2,4 bilhões em stablecoins. O ETH em si não pode ser congelado, mas DEXs, protocolos de empréstimo e pontes cross-chain no ecossistema Ethereum podem todos bloqueá-lo. Não existem tais "checkpoints" na cadeia do Bitcoin.
3. Maior liquidez e maior aceitação
4. Qualquer dealer off-exchange em qualquer lugar do mundo aceita BTC. A MIT Technology Review apontou já em 2020 que os hackers tendem, em última análise, a retornar ao Bitcoin porque nenhuma outra moeda é tão amplamente aceita ou tão fácil de converter em dinheiro.
5. Adequado para armazenamento de longo prazo
6. O Lazarus é uma organização hacker de nível estatal e não tem pressa para usar o dinheiro. O BTC pode ser mantido por meses ou até anos, aguardando o esfriamento da situação antes de sacar em lotes.
III. Após converter para BTC, como é feita a retirada?
A resposta é: retirada através de dealers OTC (over-the-counter) subterrâneos.O Departamento do Tesouro dos Estados Unidos aponta que a Coreia do Norte normalmente usa negociantes de balcão para converter ativos cripto roubados em moeda tradicional, e a maioria desses negociantes está na China, evitando a vigilância de instituições financeiras e reguladores.
O caminho geral:
ETH roubado → convertido via bridge em BTC → dividido e misturado → frequentemente convertido em USDT na rede Tron → negociantes subterrâneos → moeda fiduciária ou valor em espécie
Como os negociantes "quebram a cadeia"? Por meio de "operações espelhadas".
Os negociantes têm simultaneamente outro grupo de compradores que precisam de criptomoedas mas não se importam com sua origem, como pessoas tentando mover fundos para o exterior, plataformas de apostas online e fraude, e comércio transfronteiriço de mercado cinza. O negociante vende as moedas dos hackers para essas pessoas, e então entrega a moeda fiduciária local paga por essas pessoas às pessoas designadas pelos hackers. O rastreamento on-chain termina no negociante, enquanto o dinheiro off-chain vem de partes completamente não relacionadas.
Para onde a moeda fiduciária acaba indo? Casos públicos incluem:
● Contas bancárias e cartões UnionPay. Um relatório da Equipe de Monitoramento de Sanções Multilaterais (MSMT) apontou que as forças cibernéticas da Coreia do Norte usaram o sistema financeiro da China, incluindo cartões de crédito UnionPay e bancos comerciais, para sacar ativos cripto roubados.
● Cartões-presente. Dois cidadãos chineses indiciados pelo Departamento de Justiça dos EUA em 2020 foram acusados de converter moedas da Coreia do Norte em RMB ou cartões-presente da Apple para saque.
● Plataformas financeiras cinzentas no Sudeste Asiático, como o Grupo Huione do Camboja.
● Regiões envolvidas incluem China, Rússia, Argentina, Camboja, Vietnã, Emirados Árabes Unidos, entre outras.
IV. "BTC sinalizado não pode entrar em exchanges?"
Esta é a pergunta mais comum. A resposta tem três pontos:
1. Moedas sujas não precisam entrar em exchanges regulamentadas. Elas são vendidas para compradores na economia cinzenta, que usam as moedas para circulação e liquidação contínuas e não as depositarão na Binance ou Coinbase.
2. A sinalização não é um rótulo permanente "preto no branco", mas uma pontuação de risco. Após múltiplas camadas de relay, mixing e mistura com outros fundos, o rastreamento passa de "certo" para "probabilístico". É por isso que 27,6% dos fundos no caso Bybit "desapareceram".
3. Os negociantes cobrem o risco com taxas altas. Os negociantes sabem que é dinheiro sujo e cobram taxas muito acima dos níveis normais. Carteiras, cartões bancários e empresas de fachada são substituídos após o uso, e o risco de sanções e congelamento está todo precificado.
É claro que esse caminho também tem custos: taxas de mixing, taxas de cross-chain, descontos de negociantes e porções congeladas podem resultar em perdas consideráveis. Mas para um país sancionado com quase nenhuma outra fonte de divisas, recuperar metade ainda é um ganho enorme. O relatório da MSMT estima que a Coreia do Norte roubou cerca de US$ 2,84 bilhões em ativos cripto entre janeiro de 2024 e setembro de 2025.
V. O que isso significa para o mercado?● A pressão de venda de ETH está concentrada na fase inicial. O processo dos hackers de converter ETH em BTC envolve venda real on-chain. O caso Bybit levou cerca de 10 dias e pode servir como referência.
● A pressão de venda de BTC é pequena e dispersa. Após a conversão em BTC, o saque ocorre principalmente por meio de negociações espelhadas fora das exchanges e pode durar meses ou até anos, na maioria das vezes não passando pelos livros de ordens das exchanges, de modo que o impacto direto sobre o preço é muito pequeno.
● Os hackers não são a principal causa das grandes quedas. No dia do roubo à Bybit, o ETH caiu cerca de 8%, e a queda acentuada subsequente veio principalmente de fatores macroeconômicos, como tarifas e liquidação de alavancagem.
O que há de diferente neste incidente da Binance? A maior parte dos ativos roubados eram stablecoins, que já foram em grande parte congeladas; os valores em ETH diretamente não congeláveis somam cerca de 195.000 moedas, no valor de aproximadamente US$ 440 milhões, uma escala menor do que o caso Bybit. Além disso, os hackers estão usando protocolos como Uniswap e Aave para converter stablecoins em ETH, de modo que suas participações finais em ETH podem aumentar.
O que vale a pena observar a seguir: mudanças no tráfego de protocolos de cross-chain como THORChain e Chainflip, que são sinais diretos da velocidade com que os hackers convertem ETH em BTC.
Este artigo tem fins exclusivamente educacionais e não constitui aconselhamento de investimento. O incidente da Binance ainda está em desenvolvimento, e os dados relevantes podem ser atualizados.