Investigadores on-chain identificaram mais criptomoedas supostamente roubadas sendo movimentadas para o Zcash (ZEC), com fundos supostamente ligados a três incidentes de segurança separados envolvendo Bitget, Cryptobills Ledger e Triple-A.
Resumo
- O investigador on-chain Specter vinculou recentemente fundos supostamente roubados de três incidentes de segurança a transações em Zcash.
- ZachXBT rastreou aproximadamente 2.700 ZEC para o pool protegido Ironwood do Zcash após a violação da Bitget em setembro.
- A Bitget confirmou que aproximadamente US$ 387,5 milhões chegaram a endereços controlados pelos atacantes durante a investigação do seu incidente de segurança de 24 de setembro.
- Specter identificou fundos da Cryptobills Ledger e da Triple-A entrando no Zcash sem publicar publicamente evidências completas em nível de transação.
- O Zcash ativou o Ironwood em julho de 2026, criando um novo pool protegido após uma vulnerabilidade no Orchard.
Em uma publicação de 17 de outubro no X, o analista de blockchain Specter relatou que fundos associados ao incidente da Cryptobills Ledger e ao exploit de US$ 12 milhões da Triple-A haviam entrado no Zcash, seguindo descobertas anteriores do investigador ZachXBT sobre ativos roubados da Bitget.
As alegações mais recentes dizem respeito à movimentação de criptomoedas roubadas para uma rede focada em privacidade que permite aos usuários ocultar certos detalhes de transações. No entanto, Specter não forneceu publicamente um rastro completo de transações nem estabeleceu quanto dinheiro dos dois incidentes adicionais havia entrado em ZEC.
O relatório segue a violação de segurança da Bitget em setembro, que a exchange avaliou em aproximadamente US$ 387,5 milhões após revisar transações em várias blockchains. O número confirmado de perdas da Bitget abrange todo o incidente e não representa o valor supostamente movimentado para o Zcash.
Zcash atrai fundos ligados a três incidentes de segurança cripto
As descobertas de Specter identificaram atividade envolvendo fundos supostamente ligados à Bitget, Cryptobills Ledger e Triple-A. O analista descreveu múltiplos supostos atacantes transferindo criptomoedas para ZEC depois que ZachXBT divulgou o uso dos recursos de privacidade do Zcash no caso da Bitget.
A conta de 17 de outubro identificou o incidente de segurança da Cryptobills Ledger como uma das fontes das supostas transferências. Ela mencionou separadamente fundos do exploit da Triple-A, que supostamente envolveu US$ 12 milhões em criptomoedas roubadas.
Nem o valor das transferências da Cryptobills Ledger nem o montante atribuído à Triple-A foram estabelecidos nas informações tornadas públicas. A investigação não divulgou se os supostos atores usaram os mesmos endereços de carteira ou coordenaram suas movimentações.
De acordo com o relato de Specter, a atividade envolveu vários agentes de ameaça. O pesquisador não afirmou que um único atacante foi responsável pelos três incidentes.
O Zcash suporta transações que podem ocultar informações sobre remetentes, destinatários e valores transferidos. Sua tecnologia de privacidade pode impedir que observadores externos vejam detalhes de transações depois que os ativos entram em um pool protegido.
No entanto, as alegações do pesquisador não estabelecem que toda transferência relatada foi ocultada com sucesso ou que os fundos chegaram ao seu destino final.
Investigadores podem identificar certos depósitos em pools protegidos, mas o registro público disponível não necessariamente revela para onde os fundos se movem depois.
ZachXBT rastreia produtos do roubo da Bitget até o Ironwood
A investigação baseia-se nas descobertas compartilhadas por ZachXBT em 30 de setembro sobre criptomoedas roubadas da Bitget.
De acordo com o investigador, carteiras supostamente associadas aos atacantes transferiram aproximadamente 2.700 ZEC para o pool protegido Ironwood do Zcash. Ele avaliou as transferências em cerca de US$ 3,8 milhões na época.
Suas descobertas seguiram o roubo de 24 de setembro envolvendo a infraestrutura de hot wallet da Bitget. ZachXBT identificou separadamente aproximadamente 18.900 ZEC, no valor de US$ 28,3 milhões na avaliação relatada, entre os ativos associados ao incidente.
O investigador forneceu referências de transações conectadas a depósitos no pool protegido. Essas referências apoiam o rastreamento de fundos até as transações de depósito identificadas, mas não estabelecem seus destinos após a proteção.
Ironwood é um pool protegido mais recente do Zcash introduzido por meio da atualização da rede em 28 de julho de 2026. Ele usa tecnologia derivada do sistema Orchard anterior, mantendo contabilidade separada para transações e saldos.
A atualização de rede Zcash Ironwood ocorreu após a descoberta de uma vulnerabilidade no Orchard que poderia ter permitido a circulação de moedas falsificadas sem detecção.
Os desenvolvedores introduziram salvaguardas restringindo transferências do pool mais antigo e criaram um pool substituto com proteções criptográficas atualizadas. A atualização foi projetada para tornar o suprimento circulante do Zcash verificável de forma independente.
O Ironwood não foi introduzido como um mecanismo antilavagem de dinheiro. Seu objetivo principal era resolver o problema de segurança do Orchard enquanto mantinha a funcionalidade de transações protegidas.
Os recursos de privacidade do protocolo permanecem disponíveis para usuários legítimos e podem ser usados por agentes maliciosos. As alegações de 17 de outubro dizem respeito ao suposto uso desses recursos por atacantes, não a uma nova vulnerabilidade no protocolo Ironwood.
Bitget confirma US$ 387,5 milhões roubados em violação de setembro
O incidente de segurança da Bitget em 24 de setembro envolveu transferências não autorizadas de partes de sua infraestrutura de carteiras quentes e mornas.
A exchange estimou inicialmente os ativos afetados em US$ 351,6 milhões. Sua atualização de segurança de 25 de setembro elevou o valor para aproximadamente US$ 387,5 milhões após rastreamento adicional de blockchain e classificação de transações.
A Bitget explicou que a estimativa revisada incorporou ativos afetados em Zcash e TRON que não foram incluídos no cálculo original. A diferença de US$ 35,9 milhões resultou de uma contabilização mais completa do incidente, não de outra onda confirmada de roubo.
A exchange identificou ativos afetados em redes compatíveis com Ethereum, XRP Ledger, Zcash e TRON. Sua lista incluía XRP, ETH, USDT, ZEC, USDC, BNB, AVAX e vários outros tokens.
Investigações independentes da SlowMist e da empresa de cibersegurança Mandiant, de propriedade do Google, examinaram subsequentemente o ataque. A Bitget relatou que ambas as investigações identificaram produtos de segurança de terceiros comprometidos que permitiram acesso não autorizado ao ambiente de carteiras da exchange.
Como o crypto.news relatou anteriormente, a Bitget retomou os saques de Bitcoin em 28 de setembro após suspender temporariamente os serviços de saque enquanto investigava a violação.
A exchange declarou que os atacantes não comprometeram suas carteiras frias nem obtiveram chaves privadas. Ela manteve que os saldos das contas dos clientes permaneceram inalterados e comprometeu seu Fundo de Proteção ao Usuário para cobrir a perda financeira.
Em um anúncio de 30 de setembro, a Bitget relatou ter reabastecido o fundo de proteção para mais de US$ 300 milhões. Sua atualização de prova de reservas de setembro mostrou separadamente um índice de reserva combinado de 131% em 19 ativos cobertos.
Investigadores identificam tentativas anteriores de ocultar fundos roubados
As transferências de Zcash relatadas não são as primeiras tentativas de atacantes ligados à violação da Bitget de mover ativos por meio de serviços projetados para dificultar o rastreamento de transações.
Após o ataque de setembro, a empresa de análise de blockchain AMLBot rastreou aproximadamente quatro BTC ligados ao incidente entrando em uma transação Wasabi CoinJoin.
As transferências CoinJoin do hacker da Bitget teriam seguido uma rota envolvendo TRON, USDT0, Ethereum, THORChain e Bitcoin.
O CoinJoin combina entradas e saídas de transações de vários participantes, tornando mais difícil determinar qual saída pertence a um remetente individual.
Rastreamento separado de blockchain identificou aproximadamente 2.390 ETH convertidos em 75,2 BTC por meio de 27 transações na THORChain, no valor de cerca de US$ 6,3 milhões na época.
A Bitget havia solicitado que a THORChain restringisse endereços ligados ao roubo. Os operadores da rede mantiveram que seus controles de emergência podiam suspender a atividade da rede, mas não podiam bloquear seletivamente a troca de um usuário individual.
Nos dias após a violação, a Bitget introduziu um programa de recompensas por recuperação, oferecendo recompensas por assistência elegível no congelamento e recuperação de ativos roubados.
O programa fornece 5% dos fundos congelados com sucesso a contribuidores qualificados e 5% separados para fundos recuperados com sucesso por meio de ações voluntárias elegíveis.
A Bitget excluiu ações realizadas sob ordens judiciais ou instruções de aplicação da lei da elegibilidade para recompensas. Ela manteve a responsabilidade final por determinar contribuições qualificadas e calcular pagamentos.
Investigação de recuperação da Bitget permanece ativa
Enquanto os investigadores continuam rastreando os ativos roubados, a exchange disponibilizou os endereços identificados dos atacantes para empresas de segurança, projetos de blockchain e outras organizações envolvidas no rastreamento.
Seu anúncio de 25 de setembro incluía endereços em redes compatíveis com Ethereum, XRP Ledger, Zcash e TRON, juntamente com um sistema público de relato de recuperação.
A Bitget afirmou que o painel de rastreamento seria atualizado à medida que os investigadores identificassem carteiras ou movimentações adicionais associadas ao incidente. A exchange incentivou custodiantes, emissores de stablecoins e plataformas de negociação a relatar descobertas relevantes.
A violação de setembro representou o maior incidente único no mês de US$ 768 milhões em hacks das criptomoedas, de acordo com as conclusões de 1º de outubro das empresas de segurança de blockchain PeckShield e CertiK.
A PeckShield registrou US$ 766,5 milhões em 55 grandes incidentes de setembro, enquanto a CertiK estimou US$ 768,4 milhões em 97 incidentes. Seus totais usaram métodos de relato diferentes e contabilizaram valores brutos afetados, incluindo ativos subsequentemente recuperados.
Para as transferências em Zcash recém-relatadas, a Specter não divulgou uma contabilidade completa dos fundos associados ao Cryptobills Ledger ou à Triple-A. Nenhum valor de recuperação confirmado ou destino final foi estabelecido para essas transferências específicas.
