O hacker da Bitget converteu USDC roubado em ETH após uma violação que a exchange avaliou em cerca de US$ 351,6 milhões, reacendendo dúvidas sobre quando a Circle congela fundos ligados a um ataque.

A pesquisadora de segurança Taylor Monahan sinalizou a atividade do invasor no X, apontando para USDC se movendo por carteiras enquanto os ativos roubados eram convertidos em ETH. Monahan questionou por que os fundos permaneceram movimentáveis apesar da capacidade da Circle de bloquear transferências de endereços específicos de USDC.

As transações mostram o atacante usando USDC durante o processo de conversão, de acordo com o relato de Monahan. Sua crítica diz respeito à resposta da Circle a fundos identificáveis, embora o registro público das transferências não estabeleça se a Circle recebeu uma ordem judicial referente àqueles endereços nem quando tomou conhecimento de suas identidades.

Atacante da Bitget movimenta USDC após violação de US$ 351,6 milhões

A Bitget disse que seus sistemas de segurança detectaram transferências não autorizadas de algumas hot wallets às 18:31 UTC de 24 de setembro. A exchange ativou uma resposta de emergência, suspendeu os saques dos clientes e estimou os ativos afetados em aproximadamente US$ 351,6 milhões. Depósitos e negociações permaneceram disponíveis, enquanto a Bitget afirmou que os saldos das contas estavam corretos e que suas cold wallets estavam seguras.

Em seu relatório inicial sobre a violação, a crypto.news cobriu o relato da CEO da Bitget, Gracy Chen, sobre a investigação preliminar. Chen disse que os investigadores descartaram um vazamento de chaves privadas das carteiras e acreditavam que os atacantes haviam entrado nos sistemas da exchange para mover fundos diretamente, sem enviar solicitações de saque de clientes. A Bitget ainda investigava o ponto de entrada e não havia divulgado um relato final do ataque.

O roubo envolveu vários ativos, levando os investigadores a acompanhar mais de uma rota para os fundos roubados. O rastreador on-chain Lookonchain estimou o portfólio roubado em cerca de US$ 356,8 milhões usando os preços no momento de sua atualização. Seu detalhamento incluía 102,93 milhões de XRP no valor de cerca de US$ 157,48 milhões, 31.890 ETH no valor de cerca de US$ 85,75 milhões e 21,05 milhões de USDC. A estimativa on-chain variável da Lookonchain e o número interno de perdas da Bitget usam métricas diferentes.

A Bitget disse que havia sinalizado endereços ligados às transferências anormais e notificado as autoridades e empresas de segurança on-chain. Chen afirmou que as medidas para impedir novos fluxos de saída haviam sido concluídas, enquanto engenheiros trabalhavam nos reparos e no retorno dos serviços de saque.

A preocupação de Monahan se concentra na parcela dos ativos roubados mantida em USDC. Os termos do USDC da Circle dizem que a emissora se reserva o direito de bloquear transferências de e para determinados endereços on-chain sob sua política de blocklist. No entanto, uma vez que um atacante faz swap de USDC por ETH, um bloqueio em um endereço de USDC não pode congelar o ETH recebido nessa negociação.

Política de congelamento da Circle gera disputa sobre tempo de resposta

A Circle descreveu um padrão mais restrito para usar seus controles técnicos do que aquele que seus críticos buscam durante um exploit em andamento. Em uma declaração de abril sobre intervenção legal, publicada após o hack do Drift Protocol, a empresa disse que exerce sua capacidade de congelamento quando legalmente compelida por uma autoridade competente. A Circle argumentou que permitir que uma emissora decida por conta própria quais ativos bloquear poderia colocar em risco os direitos de propriedade de detentores legítimos.

Os termos de seu USDC também dizem que a Circle pode ser obrigada a congelar tokens após receber uma ordem judicial de uma autoridade governamental válida. Os termos, separadamente, reservam o direito de bloquear determinados endereços que a Circle determine poderem estar associados a atividade ilegal ou a uma violação de seus termos. Eles afirmam que uma transação on-chain de USDC não pode ser revertida ou cancelada depois de iniciada.

Essas disposições são importantes para os detentores nos EUA porque a Circle emite uma stablecoin lastreada em dólar usada em exchanges e aplicações descentralizadas, enquanto suas decisões de congelamento podem afetar o acesso aos tokens em um endereço específico. A política declarada da Circle coloca o devido processo legal no centro dessa decisão. A crítica de Monahan se concentra no tempo disponível para intervir antes que um suposto atacante termine de mover ou fazer swap do USDC.

A Circle disse em sua declaração de abril que existem ferramentas para uma intervenção mais rápida, mas que os marcos legais para uma ação mais ágil e coordenada, ao mesmo tempo em que protegem os direitos dos usuários, permanecem incompletos. A empresa pediu regras mais claras e medidas de segurança em protocolos, carteiras, exchanges e emissores de stablecoins.

ZachXBT documentou 15 casos anteriores de USDC

O investigador on-chain ZachXBT alegou em abril que a Circle havia tomado ação mínima ou falhado em agir com rapidez suficiente em 15 casos envolvendo mais de US$ 420 milhões em fluxos suspeitos de USDC ilícito desde 2022. Sua lista cobria casos de hacks e fraudes nos quais, segundo ele, os fundos roubados permaneceram movimentáveis apesar de haver tempo para identificar a atividade.

Como já coberto pela crypto.news, ZachXBT citou cerca de US$ 9 milhões em USDC ligados ao hack da GMX em julho de 2025 e disse que carteiras envolvidas no hack da Cetus só foram bloqueadas depois que o USDC roubado já havia sido convertido em ETH. Ele também alegou que os atacantes no caso da Drift moveram cerca de US$ 232 milhões ao longo de aproximadamente seis horas e mais de 100 transações antes de converter os fundos.

As transferências da Drift se tornaram objeto de um caso civil nos EUA. Em abril, um autor processou a Circle por transferências após o exploit, alegando que a emissora falhou em impedir cerca de US$ 230 milhões em USDC roubado roteado por meio de seu Cross-Chain Transfer Protocol. A queixa, apresentada em um tribunal distrital federal em Massachusetts, argumenta que uma intervenção mais cedo poderia ter reduzido as perdas. Essas são alegações do autor, e não uma decisão judicial contra a Circle.

Nesse caso, o autor também apontou para o congelamento, pela Circle, de 16 carteiras ligadas ao USDC vinculadas a um processo civil separado e sob sigilo nos EUA como evidência de que a emissora poderia bloquear endereços. A declaração pública de abril da Circle, emitida após o ataque à Drift, disse que congelamentos exigem autoridade legal e pediu estruturas legais que permitam ações mais rápidas em incidentes futuros.