- Ataque à Coinsbuy drena US$ 8,07 milhões em Tron e Ethereum no dia 9
- FixedFloat recebe US$ 6,34 milhões, 79% do valor roubado no ataque
- Coinsbuy reabastece carteiras com US$ 3,93 milhões e descarta vazamento de chaves
A corretora Coinsbuy teve US$ 8,07 milhões drenados de suas carteiras nas redes Tron e Ethereum no domingo, 9 de agosto. O caso foi mapeado pelo investigador on-chain BlockWatchdog, que rastreou o dinheiro em movimentação cross-chain nas horas seguintes ao ataque.
Segundo o levantamento publicado no X, tudo começou com uma transação-teste de 5 USDT em Tron. Minutos depois, mais de 6 milhões de USDT saíram de oito endereços da Coinsbuy. Na Ethereum, o mesmo atacante esvaziou três carteiras, levando 1,89 milhão de USDT e 77 ETH.
79% dos fundos foram para a FixedFloat
A conexão entre os dois vetores do ataque foi feita através do serviço de swap cross-chain Bridgers, que ligou as carteiras em Tron e Ethereum ao mesmo operador. A partir daí, o dinheiro seguiu rota clássica de lavagem em cripto.
Do total roubado, US$ 6,34 milhões passaram pela exchange FixedFloat, plataforma sem KYC que já figurou em outros episódios de branqueamento pós-hack. Outros 150 ETH foram enviados via ChangeNOW, também focada em conversões rápidas sem cadastro.
Um resíduo de 282,2 ETH, equivalente a cerca de US$ 542 mil no momento do ataque, permaneceu parado em cinco endereços monitorados. O relatório publicado no X pela BlockWatchdog descreveu o padrão de lavagem como distinto do usado no ataque à Triple-A em 24 de julho, sem qualquer sobreposição de endereços entre os dois eventos.
Coinsbuy repôs carteiras em poucas horas
O ponto mais atípico do caso veio depois da drenagem. Ainda no domingo, a Coinsbuy transferiu US$ 3,93 milhões de volta para as mesmas dez carteiras atacadas. Segundo a BlockWatchdog, sete desses depósitos coincidem com os valores originais roubados dentro de uma margem de 0,05%.
A leitura dos investigadores é de que a equipe da Coinsbuy não considera as chaves privadas comprometidas.
“Isso só faz sentido se o time não acredita que as chaves vazaram. Um endereço é uma chave: ninguém recarrega uma carteira comprometida com sete dígitos duas vezes na mesma noite”, escreveram.
A hipótese em aberto é que o invasor tenha alcançado o sistema de saques da corretora, e não as chaves em si. O ataque teria explorado a camada acima das chaves privadas, ou seja, o próprio fluxo de autorização de retirada. Até a publicação da análise, a Coinsbuy não havia detalhado o vetor usado.
Caso reforça alerta do Banco Central sobre saques
O incidente chega em um momento sensível para o mercado brasileiro. O Banco Central publicou em julho a Resolução 584, que retém envios de cripto acima de US$ 10 mil por 24 horas, justamente com a justificativa de prevenir movimentações relâmpago em episódios como o da Coinsbuy. A janela de espera dificultaria a rota FixedFloat-ChangeNOW usada pelo atacante.
O padrão também dialoga com um levantamento recente da Oak Security, que apontou que quase metade dos roubos em cripto ocorre em protocolos com selo de auditoria. No caso das exchanges centralizadas, o risco muda de forma, não é o código do contrato que falha, e sim o sistema interno de aprovação de saques, camada raramente auditada por terceiros.
O ataque à Coinsbuy soma-se a uma sequência ruim de 2026. Segundo a DeFiLlama, protocolos DeFi perderam mais de US$ 840 milhões nos cinco primeiros meses do ano. Em julho, a AFX Trade, baseada em Arbitrum, perdeu US$ 24 milhões em exploração de bridge, e a DEX Ostium teve US$ 18 milhões drenados após comprometimento de chave de oráculo. A Coinsbuy não respondeu ao pedido de comentário feito pela imprensa até o fechamento da análise on-chain.
