- Endereço único recebeu 5.287,08 ETH entre 24 e 25 de julho
- Triple-A confirma invasão mas omite valor exato do prejuízo
- Fundos de clientes ficam segregados em contas fiduciárias, diz empresa
A processadora de pagamentos em stablecoins Triple-A, sediada em Singapura, admitiu ter sofrido acesso não autorizado a carteiras próprias de criptoativos. O incidente foi detectado em 25 de julho e comunicado oficialmente dois dias depois, sem que a empresa revelasse o tamanho da perda nem o vetor de ataque usado pelos invasores. Enquanto o comunicado é econômico em detalhes, dados on-chain contam outra parte da história.
O analista blockchain conhecido como Specter identificou um endereço no Ethereum 0x01F83B5d4fb30E8AA3daC1681B4048D9135253b1 como ponto de consolidação dos fundos ligados ao evento. Registros da Etherscan mostram 12 transferências acima de 0,01 ETH direcionadas àquele endereço nos dias 24 e 25 de julho, somando 5.287,08568411 ETH. Na cotação atual de US$ 1.928, o volume equivale a cerca de US$ 10,19 milhões, ou aproximadamente R$ 51,8 milhões.
O que a Triple-A confirmou e o que omitiu
Em nota, a empresa afirmou que o impacto financeiro ficou restrito a contas operacionais específicas e será absorvido integralmente por reservas de tesouraria. A Triple-A também frisou que não custodia ativos digitais de clientes. Instituições depositárias mantêm as verbas de terceiros em contas fiduciárias, e o incidente não alcançou esses recursos.
Serviços entraram em modo de manutenção por cerca de três horas enquanto a infraestrutura era isolada e auditada. Depois disso, transações e liquidações voltaram ao normal em todos os mercados atendidos. A companhia diz cooperar com a polícia de Singapura, com firmas de forense em blockchain e com autoridades reguladoras para rastrear os ativos.
Ainda assim, três informações críticas continuam ausentes, o montante exato subtraído, os endereços de origem comprometidos e a técnica usada pelos atacantes. Sem essa confirmação, o rastro público não comprova nem contradiz a segregação dos fundos de clientes, apenas revela onde concentraram parte do valor.
MAS de Singapura cobra obrigação de proteger cliente
A Triple A Technologies Pte. Ltd. figura no registro da Monetary Authority of Singapore como Major Payment Institution, licença que autoriza transferências domésticas e transfronteiriças, aquisição de mercadores e serviços de tokens de pagamento digital. Essa categoria impõe requisitos duros de proteção ao dinheiro do cliente. A existência da regra, porém, não atesta cumprimento durante o incidente algo que caberá ao regulador apurar nas próximas semanas.
Para o investidor brasileiro, o caso reacende um debate familiar. Triple-A opera com USDT e USDC, impulsionando remessas e pagamentos B2B que também alcançam o Brasil. A leitura relevante é sobre risco de contraparte, mesmo processadoras licenciadas concentram tesouraria em hot wallets suscetíveis a exploração, um vetor semelhante ao já visto em episódios anteriores envolvendo carteiras quentes.
Padrão repete onda de hacks em 2026
O timing importa. O setor cripto atravessa uma sequência de invasões relevantes em 2026, com prejuízos concentrados justamente em bridges e wallets operacionais, cenário que ajudou a impulsionar a migração de US$ 7 bilhões para infraestrutura da Chainlink. A Triple-A entra nesse rol reforçando a percepção de que empresas de pagamento com foco em stablecoins são alvo prioritário quando concentram saldos operacionais em endereços quentes.
A investigação policial em Singapura segue em curso e a Triple-A afirma manter condições de honrar todas as obrigações. Analistas on-chain monitoram o endereço 0x01F83B em tempo real, qualquer movimentação para exchanges centralizadas ou tumblers deve disparar novos alertas de rastreio nas próximas horas.
