A autópsia cega: Bitget e a defesa que virou porta de entrada

Houve um número que resumiu o fim do verão da cripto: setembro de 2026 foi o mês mais caro de sempre em dinheiro roubado. E o recorde não se deveu a um truque novo de engenharia financeira, nem a uma linha de Solidity mal escrita. Deveu-se, na maior parte, a uma corretora que foi assaltada precisamente pela camada que tinha comprado para não ser assaltada.

A cripto transformou o fracasso catastrófico num género literário próprio: a autópsia pública, o post-mortem on-chain, o obituário com estética de thriller. É, provavelmente, a coisa mais honesta que a indústria faz. Mas essa honestidade tem um ponto cego, e setembro mostrou-o em letras garrafais. O post-mortem cripto sabe dissecar código aberto. É quase cego a tudo o resto, e foi no resto que o dinheiro desapareceu.

Setembro de 2026: o mês mais caro, pela pior razão

Os números são claros, mesmo quando as fontes discordam nas casas decimais. A PeckShield contabilizou 55 incidentes em setembro e cerca de 766 milhões de dólares (perto de 685 M€) em perdas, uma subida de 462% face a agosto. A CertiK, com outra metodologia, colocou o total acumulado de 2026 acima dos 2,68 mil milhões de dólares em 656 incidentes. Qualquer que seja a régua, setembro foi o pior mês do ano, e por larga margem.

Dois casos explicam quase todo o buraco. A corretora Bitget perdeu cerca de 387,5 milhões de dólares (aproximadamente 346 M€), o maior roubo cripto de 2026. A Liquid Network, a sidechain de Bitcoin da Blockstream, perdeu cerca de 320 milhões de dólares (perto de 285 M€), dos quais mais de 270 milhões viriam a ser devolvidos. O resto do mês foi uma longa cauda de incidentes menores: Safe Wallet, DCENT, Duelbits, cada um na ordem dos milhões, nenhum capaz de mover a agulha sozinho.

O detalhe que interessa não é o tamanho. É a natureza. Nenhum dos dois gigantes de setembro foi um exploit clássico de contrato inteligente, do tipo que a cultura de post-mortem passou uma década a aprender a dissecar. A Bitget caiu por uma intrusão na sua infraestrutura de segurança. A Liquid caiu por um erro no seu código aberto. São dois tipos de falha radicalmente diferentes, e só um deles é verdadeiramente autopsiável. Com o Bitcoin a negociar perto dos 82.600 dólares (cerca de 73.800 euros) segundo a CoinGecko, muito abaixo do máximo de outubro de 2025, e com o painel de derivados a sangrar durante a turbulência do início de outubro, a conta da segurança passou a pesar mais do que a conta do mercado.

A autópsia cripto aprendeu a ler código, e só código

Vale a pena recordar porque é que o post-mortem cripto funciona tão bem quando funciona. O género herdou a estrutura da cultura de fiabilidade do Silicon Valley (o post-mortem sem culpados, o blameless da Google e da Etsy) e juntou-lhe uma matéria-prima única: o livro-razão público. Quando um contrato inteligente é explorado, o rasto fica gravado na blockchain para sempre. Qualquer investigador, da rekt.news ao ZachXBT, pode reconstruir o ataque transação a transação, reproduzir o exploit num fork de teste e verificar a correção. A autópsia é possível porque o corpo está em cima da mesa, à vista de todos.

E essa autópsia repetida curou doenças reais. A reentrância, o bug que afundou The DAO em 2016, caiu da segunda para a oitava posição do OWASP Smart Contract Top 10 de 2026, precisamente porque uma década de post-mortems produziu bibliotecas, linters e padrões que a neutralizam. O controlo de acessos ocupa agora o primeiro lugar. A cultura de dissecação tornou o código público, aquele que toda a gente pode ler, mensuravelmente mais seguro do que era.

O problema é que o dinheiro fugiu para onde a autópsia não chega. Segundo a TRM Labs, no primeiro semestre de 2026 os exploits de contratos representaram 125 dos 207 incidentes, mas uma fatia pequena do valor; as falhas de infraestrutura, chaves e operações foram apenas cerca de 15% dos incidentes, mas quase 76% do dinheiro. A própria Chainalysis, na sua análise ao caso Drift, resumiu a mudança numa frase: «à medida que a infraestrutura DeFi fica mais complexa em camadas, incidentes como este mostram que os maiores riscos já não estão apenas nos contratos inteligentes, mas nos sistemas, e nas pessoas, à volta deles». A citação é de abril. Setembro foi a sua confirmação, em dobro.

Bitget: o assalto entrou pela porta da segurança

A reconstituição do ataque à Bitget, feita em paralelo pela SlowMist e pela Mandiant (o braço de ciberdefesa da Google), lê-se como um manual de intrusão empresarial, não como um exploit DeFi. A atividade maliciosa mais antiga remonta a 31 de agosto. O atacante não tocou nos contratos da corretora nem lhe roubou as chaves privadas. Comprometeu dois aparelhos de segurança de terceiros (os investigadores chamam-lhes apenas «A» e «B») através de vulnerabilidades zero-day, instalou uma web shell num deles, estabeleceu um canal de comando e controlo e moveu-se lateralmente até ao servidor de produção que processa os levantamentos.

A partir daí, o resto foi mecânico. Com credenciais internas de alto nível obtidas através desses aparelhos, o atacante instalou malware e uma ferramenta de levantamento feita à medida e, já depois da meia-noite de 25 de setembro, emitiu comandos de levantamento forjados que, nas palavras da investigação, geraram transferências anómalas que contornaram os controlos de risco existentes. O saque atingiu 11 blockchains, de Ethereum a XRP Ledger, TRON, Base e Celestia. A estimativa inicial rondava os 352 milhões de dólares; a contagem final fixou-se perto dos 387,5 milhões.

Há um pormenor que merece ser sublinhado: o tempo de permanência. Entre o primeiro acesso a 31 de agosto e o esvaziamento das carteiras a 25 de setembro passaram cerca de 25 dias em que o atacante viveu dentro da rede da Bitget sem ser detetado, a mapear sistemas, a recolher credenciais e a preparar a ferramenta de levantamento. Não foi um golpe relâmpago; foi uma ocupação. E a camada que devia ter dado o alarme durante esse quase mês era precisamente a que já estava comprometida, o que explica porque é que os controlos de risco deixaram passar transferências que, em qualquer outro dia, teriam disparado todos os sinais.

O ponto não é que a Bitget tenha sido negligente com o seu próprio código. É o contrário. O código dela, pelos vistos, aguentou. O que cedeu foram os produtos que ela tinha comprado, de outra empresa, para vigiar exatamente este tipo de movimento. O guarda era a porta. E essa é a frase que a autópsia tradicional da cripto não sabe escrever, porque não consegue abrir o que falhou nem mostrá-lo a ninguém.

O que a autópsia da Bitget não diz, e não pode dizer

Compare-se o que sabemos do ataque à Bitget com o que sabemos de um exploit típico de DeFi. De um exploit on-chain, sabemos o bloco exato, o contrato, a função, o parâmetro manipulado, e podemos reexecutar tudo numa sandbox até percebermos a última vírgula. Do ataque à Bitget, sabemos a forma do percurso (os aparelhos de terceiros, a web shell, o movimento lateral) mas não sabemos qual era o produto, de que fornecedor, qual a vulnerabilidade concreta, nem se outras empresas que usam o mesmo aparelho continuam expostas hoje.

Nada disto é acidental. A camada de defesa de uma corretora é proprietária por natureza. É feita de appliances fechadas, motores de política de assinatura, sistemas de gestão de chaves, orquestração de HSM e consolas de deteção, quase sempre de fornecedores externos, quase sempre sob acordos de confidencialidade. Não há repositório público para clonar, não há bytecode para desmontar, não há forma de um investigador independente verificar a correção. A autópsia depende da honestidade da vítima e do fornecedor, e de quando (ou se) ela chega.

É esse o ponto cego. A cultura de post-mortem nasceu para um mundo em que o artefacto que falha é legível por qualquer pessoa. A infraestrutura de segurança é o oposto: opaca, vendável, invisível. Quando o dinheiro passa a sair por aí, a autópsia perde a sua matéria-prima e reduz-se a um comunicado de relações públicas. É a mesma lição que já tínhamos aprendido com as pontes, onde o elo que a auditoria não vê costuma ser a chave off-chain, nunca o contrato.

Bybit, 2025: o molde que a indústria não quis reconhecer

Nada disto devia ser surpresa. Dezanove meses antes da Bitget, a Bybit perdeu cerca de 1,5 mil milhões de dólares (perto de 1,34 mil milhões de euros) no maior roubo cripto de sempre, e a causa raiz tinha exatamente a mesma forma. As investigações forenses da Sygnia e da Verichains concluíram que o código JavaScript benigno de app.safe.global tinha sido substituído por código malicioso a 19 de fevereiro de 2025, à espera da transação seguinte da Bybit, que aconteceu a 21 de fevereiro. Não houve qualquer vulnerabilidade na infraestrutura da própria Bybit.

O vetor era um componente de terceiros no caminho da assinatura: a interface do Safe Wallet, comprometida através da máquina de um programador. Os signatários da Bybit aprovaram uma transação que a interface lhes mostrou como legítima. Confiar na interface foi suficiente para esvaziar uma carteira multisig supostamente inviolável, atribuída depois ao grupo Lazarus pelo FBI.

A resposta de Ben Zhou, CEO da Bybit, fixou a fasquia da transparência: publicou os relatórios preliminares da Sygnia e da Verichains poucos dias depois e, segundo descreveu, a prioridade foi usar a comunicação e a transparência para dissipar as dúvidas dos clientes. Foi um post-mortem exemplar sobre um vetor que o post-mortem tradicional não consegue dissecar. A Bitget, dezanove meses depois, é a prova de que a lição ficou por aprender: mudou o fornecedor comprometido (de uma interface de carteira para appliances de segurança), manteve-se a geometria do ataque.

A cadeia de abastecimento da defesa

Junte-se Bybit e Bitget e aparece uma categoria inteira que a cripto raramente nomeia: a cadeia de abastecimento da defesa. Uma corretora moderna não guarda fundos com um contrato; guarda-os com uma pilha de software e hardware off-chain que quase nunca é dela. Carteiras multisig e a sua interface, motores de política que decidem que levantamento é normal, sistemas de triagem de transações, custódia por MPC, orquestração de HSM, fornecedores de RPC, consolas de monitorização. Cada um é uma dependência de confiança. Nenhum aparece numa auditoria de contrato inteligente.

E aqui mora o risco sistémico que ninguém quer olhar de frente: a monocultura. Se uma appliance de segurança é usada por dezenas de plataformas e tem um zero-day, não é uma plataforma que está exposta, são todas. O problema deixa de ser «a Bitget tinha código inseguro» e passa a ser «quantas outras corretoras compraram a mesma caixa preta». É a pergunta que a autópsia da Bitget, ao não nomear o fornecedor, deixa deliberadamente sem resposta. A questão de fundo é a mesma que atravessa a governação on-chain, onde já perguntámos quem guarda os guardiões; na custódia, o guardião é uma caixa que não podemos abrir.

A tabela abaixo resume a diferença essencial entre as duas naturezas de falha que setembro juntou no mesmo mês, e porque é que só metade delas se consegue, de facto, dissecar.

Liquid: o contraexemplo que confirma a regra

O outro gigante de setembro mostra o reverso exato da moeda. A 6 de setembro, alguém cunhou cerca de 3.998 L-BTC sem qualquer Bitcoin a cobri-los e drenou perto de 4.000 BTC (cerca de 320 milhões de dólares) das reservas da federação Liquid. A causa raiz estava no código aberto: uma colisão de chave de cache no Elements, a fork do Bitcoin Core que a Liquid usa. Pior, foi um caso de manual de «a correção tornou-se o exploit»: uma simplificação de 2018 (o primeiro bug) foi corrigida a 1 de setembro acrescentando campos ao hash sem prefixos de comprimento (o segundo bug), o que abriu a colisão. O ataque chegou cinco dias depois da divulgação pública da correção.

Porque o artefacto que falhou era código aberto, a autópsia foi possível, e aconteceu. A Chainalysis e a Halborn reconstruíram o mecanismo byte a byte; a Blockstream acabou por publicar a sua avaliação; houve até uma disputa pública sobre se um aviso tinha sido ignorado. Foi uma autópsia confusa, atrasada e contestada, mas foi uma autópsia a sério, com o corpo em cima da mesa e toda a gente a apontar para a ferida.

E teve o desfecho que só o código aberto permite: o atacante devolveu mais de 85% dos fundos em dois dias, exigiu cerca de 50 milhões de dólares pelo resto, a Blockstream recusou, e Adam Back garantiu pessoalmente a paridade do L-BTC. Compare-se com a Bitget. Numa, podemos ler a falha e discutir a culpa à vontade. Na outra, só nos resta acreditar no comunicado. A diferença não está na competência das equipas nem na gravidade do ataque; está na natureza daquilo que falhou.

Quando o atacante é um Estado

Há uma segunda razão para a autópsia da Bitget ser curta, e é geopolítica. A 1 de outubro, a Chainalysis atribuiu o roubo à Coreia do Norte, empurrando o total roubado por grupos ligados a Pyongyang em 2026 para lá dos mil milhões de dólares (cerca de 890 M€). A própria CEO da Bitget, Gracy Chen, já tinha apontado nessa direção: «identificámos alguns endereços IP que correspondem às escolhas de VPN de um certo grupo da RPDC», disse, e o padrão «parece-se muito com o que a equipa norte-coreana fez antes».

Quando o réu é um Estado, o post-mortem muda de género. Não há negociação on-chain, como com o atacante do Euler ou com os white hats da Liquid. Não há acordo de recompensa, não há devolução, não há tribunal alcançável. A autópsia deixa de ser um documento de engenharia e passa a ser um relatório de informações: atribuição por padrões de IP, carteiras rastreadas, fundos que desaparecem em misturadores e emergem meses depois noutra jurisdição. O corpo não só é opaco; o assassino está fora de alcance, protegido por uma fronteira.

O padrão é agora quase uma assinatura. Segundo a TRM Labs, os grupos ligados a Pyongyang responderam por cerca de 643 milhões de dólares, perto de dois terços de todo o valor roubado no primeiro semestre de 2026, e quase sempre através do comprometimento de chaves, infraestrutura ou pessoas, não de bugs em contratos. Quando essa é a ameaça dominante, a autópsia de código torna-se um exercício sobre a arma errada: o problema não está na fechadura que se consegue inspecionar, mas no operário que a instalou e no fornecedor que a vendeu.

Isto agrava o ponto cego de forma dupla. A falha na camada de defesa já era difícil de dissecar; sendo obra de um ator estatal com paciência de meses (a Bitget foi penetrada a 31 de agosto e só esvaziada a 25 de setembro), torna-se também irrecuperável. É a combinação mais escura possível: uma falha que não se consegue autopsiar, cometida por quem não se consegue perseguir. A transparência, que no mundo DeFi é uma escolha, aqui esbarra num limite real de segurança nacional.

O cofre em vez da verdade

Há ainda um terceiro motivo para as autópsias das corretoras serem magras, e é puramente financeiro. Gracy Chen garantiu que a perda está totalmente coberta pelo Fundo de Proteção do Utilizador da Bitget, que detém mais de 464 milhões de dólares, e resumiu a promessa numa linha: os fundos dos utilizadores estão cobertos numa base de 1 para 1. Houve ainda um programa de recompensa de 5% para quem ajudasse a recuperar ou congelar o dinheiro.

Para o cliente, é a melhor notícia possível. Para a cultura de post-mortem, é um anestésico. Quando o balanço absorve a perda, desaparece a pressão para publicar uma autópsia técnica profunda. O utilizador fica inteiro, logo não exige explicações; a corretora protege a reputação e o fornecedor comprometido; e a lição concreta (que appliance, que vulnerabilidade, que configuração) nunca se propaga para a corretora seguinte. O capital compra silêncio, e o silêncio garante que o próximo da fila repetirá o erro com outro nome.

É a inversão perfeita do mundo DeFi. Um protocolo sem balanço é obrigado a publicar a autópsia, porque a transparência é tudo o que tem para reconstruir confiança; uma corretora com quase meio mil milhão de dólares em reserva pode comprar a dispensa da autópsia. A ironia é cruel: quanto mais capitalizado está o alvo, menos a indústria aprende com o ataque que ele sofreu. O dinheiro protege os utilizadores e, ao mesmo tempo, enterra a lição.

DORA, a CMVM e a fronteira que ninguém fiscaliza

Se há um sítio onde a Europa tentou olhar para esta camada, é o DORA, o Regulamento de Resiliência Operacional Digital, em vigor desde 17 de janeiro de 2025. O DORA é notável precisamente porque tem um pilar dedicado ao risco de terceiros em TIC e um regime de supervisão para os «fornecedores terceiros críticos», além de um relógio de notificação de incidentes (comunicação inicial em horas, relatório intermédio e relatório final em prazos fixos). No papel, é a única moldura que aponta para o fornecedor da appliance, e não apenas para a vítima que a comprou.

Mas os limites são evidentes. O DORA abrange as CASP autorizadas na UE, e a Bitget não é uma; exige processos e governação de risco, não certifica a segurança do código de um produto de defesa; e não há, em lado nenhum, um regulador que acredite ou audite fornecedores de segurança como a profissão de auditoria financeira acredita revisores de contas. A MiCA cobre a conduta das CASP centralizadas e dá recurso ao cliente através do regulador nacional, mas exclui o DeFi verdadeiramente descentralizado. Entre a appliance proprietária e o protocolo sem dono, fica uma faixa que nenhuma autoridade fiscaliza.

Para o investidor português, a fronteira é bem concreta. A CMVM supervisiona a conduta de mercado e o Banco de Portugal trata do registo das CASP e das stablecoins, ao abrigo da Lei n.º 69/2025, em vigor desde 27 de dezembro de 2025, depois de o regime transitório de VASP para CASP ter terminado a 1 de julho de 2026. Mas nem a Bitget (não licenciada em Portugal) nem a Liquid (um protocolo) caem sob essa alçada. Um residente em Lisboa atingido por qualquer um dos dois casos de setembro não tem uma reclamação para apresentar à CMVM. Tem, quando muito, a autópsia para ler. E, no caso da Bitget, nem isso.

O que torna uma falha autopsiável

Vale a pena tornar explícito o que separa uma falha que se consegue dissecar de uma que fica para sempre na palavra da vítima. São seis propriedades, e a camada de defesa off-chain falha quase todas elas.

Lida de cima a baixo, a tabela explica porque é que o post-mortem cripto brilha num lado e cega no outro. Não é falta de talento forense; a SlowMist, a Mandiant e a Chainalysis são extraordinárias no que fazem. É falta de matéria. Onde não há fonte visível, rasto completo on-chain nem fornecedor identificado, não há autópsia possível, só um relatório de confiança. E a confiança, como setembro deixou claro, é precisamente aquilo que um ataque à camada de defesa destrói.

O que uma autópsia honesta da camada de defesa exigiria

Nada disto é um destino inevitável. A cripto já provou que consegue domesticar uma classe inteira de falha quando decide dissecá-la em público; fê-lo com a reentrância, que passou de pesadelo recorrente a nota de rodapé em dez anos. A pergunta é se fará o mesmo com a camada que agora sangra. Alguns passos são óbvios e já estão ao alcance de quem quiser dá-los.

• Nomear o fornecedor e a vulnerabilidade, como a Mandiant e a SlowMist nomearam o percurso do ataque à Bitget, para que os pares que usam o mesmo produto possam reagir antes de serem os próximos da fila.
• Publicar a cadeia de intrusão completa, e não só o valor roubado, porque é a geometria do ataque que se propaga como conhecimento, não o montante em euros.
• Divulgar o inventário de dependências de segurança, uma espécie de lista de materiais da defesa, para que o risco de monocultura seja visível antes do incidente e não só na autópsia.
• Criar um registo central de incidentes ao estilo da aviação, onde cada autópsia alimenta um corpo de conhecimento comum, em vez de viver dispersa em comunicados soltos que ninguém indexa.
• Estender a lógica do DORA, a supervisão do fornecedor terceiro crítico, para lá da fronteira da UE, tratando a infraestrutura de segurança como aquilo que ela é: parte do sistema, não um acessório opcional.

O fio comum é simples: tratar a camada de defesa com o mesmo rigor com que tratamos o código. Enquanto o contrato for público e a appliance for secreta, a autópsia continuará a iluminar o lado que já está seguro e a deixar na sombra o lado por onde o dinheiro sai. Setembro de 2026 foi o recado, escrito a 766 milhões de dólares. Por trás da pressão macro de fim de ano e do ruído dos gráficos, é fácil esquecer que o maior risco do ano não estava num preço a cair. Estava numa caixa preta que ninguém abriu.

Perguntas frequentes

O que foi o ataque à Bitget de setembro de 2026?

Foi o maior roubo cripto de 2026, com cerca de 387,5 milhões de dólares (perto de 346 M€) retirados das carteiras quentes e mornas da corretora. Segundo a SlowMist e a Mandiant, o atacante não explorou contratos nem roubou chaves privadas: comprometeu dois aparelhos de segurança de terceiros através de vulnerabilidades zero-day, moveu-se até ao servidor de levantamentos e emitiu ordens forjadas que contornaram os controlos de risco.

Porque é que setembro de 2026 foi o pior mês do ano para hacks cripto?

Porque dois incidentes gigantes caíram no mesmo mês: a Bitget (cerca de 388 milhões de dólares) e a Liquid Network (cerca de 320 milhões, em grande parte devolvidos). A PeckShield contabilizou 55 incidentes e perto de 766 milhões de dólares em perdas, uma subida de 462% face a agosto, o valor mensal mais alto de 2026.

A Bitget vai devolver o dinheiro aos utilizadores?

Sim. A CEO Gracy Chen garantiu que a perda está totalmente coberta pelo Fundo de Proteção do Utilizador, que detém mais de 464 milhões de dólares, e que os fundos dos clientes estão cobertos numa base de 1 para 1. A corretora lançou ainda um programa de recompensa de 5% para ajudar a recuperar ou congelar os ativos roubados.

Porque é que a autópsia de um hack a uma corretora é menos detalhada do que a de um protocolo DeFi?

Porque a falha de uma corretora costuma viver na sua camada de defesa off-chain, feita de produtos proprietários e fornecedores externos sob confidencialidade, sem código público para reproduzir nem rasto completo on-chain. Um exploit DeFi, pelo contrário, fica gravado na blockchain e pode ser dissecado por qualquer investigador. Além disso, quando o balanço cobre a perda, a pressão para publicar uma autópsia profunda diminui.

A CMVM protege um investidor português atingido pelo hack da Bitget ou da Liquid?

Não nesses casos. A CMVM supervisiona a conduta de mercado e o Banco de Portugal regista as CASP ao abrigo da Lei n.º 69/2025, mas a Bitget não está licenciada em Portugal e a Liquid é um protocolo. O DORA toca no risco de fornecedores terceiros, mas aplica-se a CASP autorizadas na UE. Para o utilizador europeu, a autópsia pública acaba por ser o principal recurso.

Por Marcus Okafor, editor de Cultura e Longas Leituras da HOGE Wire.