Bybit se recusa a interromper os saques
Em 21 de fevereiro de 2025, hackers norte-coreanos comprometeram o ambiente da Safe utilizado durante uma transferência a partir de uma cold wallet de Ethereum da Bybit. Cerca de US$ 1,5 bilhão em criptomoedas desapareceram. Poucos dias depois, o FBI atribuiu oficialmente a operação a agentes norte-coreanos monitorados sob o nome TraderTraitor.
O ataque continua sendo uma referência quando o assunto são as operações do Lazarus e a lavagem das criptomoedas roubadas.
Naquele momento, CZ acompanhou a situação de fora e recomendou publicamente que a Bybit suspendesse todos os saques até verificar se nenhuma outra vulnerabilidade permanecia aberta.
Ben Zhou recusou.
Sua equipe havia identificado que o incidente envolvia a ferramenta externa de assinatura múltipla, e não o sistema geral de saques da exchange. Manter os saques ativos também era uma forma de demonstrar que a Bybit continuava solvente apesar do enorme rombo.
A decisão provocou uma corrida. A Bybit informou ter processado mais de 350 mil solicitações de saque, das quais 99,994% foram concluídas nas dez horas seguintes ao ataque.
Dezenove meses depois, Kevin Follonier perguntou diretamente a CZ se ele considerava que Ben Zhou estava certo e ele, errado.
A resposta foi bem menos categórica: segundo CZ, em uma situação desse tipo, “não existe escolha certa ou errada”. Zhou simplesmente dispunha de mais informações.
Ainda assim, CZ teria apertado o botão vermelho
Isso não muda a abordagem pessoal de CZ.
Na nova entrevista ao When Shift Happens, ele descreve um “grande botão vermelho virtual”: quando ocorre um incidente grave de segurança, prefere interromper os sistemas, determinar exatamente o que foi comprometido e só então reativá-los gradualmente.
CZ aplicou essa doutrina na Binance em maio de 2019, quando 7.000 BTC, então avaliados em cerca de US$ 40 milhões, foram roubados. A Binance suspendeu os saques por aproximadamente uma semana.
O raciocínio prioriza o pior cenário. Se existe uma primeira vulnerabilidade e ainda não se conhece sua extensão, manter as saídas abertas pode permitir um segundo ataque.
A experiência recente mostra por que essa cautela continua atual. A BrefCrypto já havia contabilizado 70 ataques contra o mercado cripto no segundo trimestre de 2026. Os incidentes agora atingem wallets, bridges, interfaces, prestadores de serviços terceirizados e sistemas de assinatura. Identificar imediatamente toda a superfície comprometida se tornou difícil.
CZ chega a considerar que qualquer pessoa suficientemente próxima das operações de uma exchange deveria poder acionar esse mecanismo de parada de emergência.
Só depois vem a análise.
Bybit priorizou a confiança dos usuários
A escolha da Bybit, porém, respondia a outro risco: o de uma crise de confiança.
Suspender os saques poucos minutos depois do desaparecimento de US$ 1,5 bilhão teria alimentado imediatamente as dúvidas sobre a solvência da exchange. Depois da FTX, a expressão “saques suspensos” ganhou um peso particular no mercado cripto.
Ben Zhou sabia exatamente onde o ataque havia ocorrido. A Bybit afirma que sua infraestrutura interna não foi comprometida e que as demais cold wallets funcionavam normalmente. Dois dias após o incidente, a exchange anunciou que havia recuperado liquidez suficiente, por meio de empréstimos-ponte, depósitos e compras OTC, para cobrir seu déficit em ETH.
A aposta, portanto, funcionou. Nenhum segundo roubo ocorreu.
O próprio CZ reconhece: suspender os saques provavelmente não teria alterado muito o desfecho do incidente, a menos que um segundo ataque fosse possível.
É aí que está o verdadeiro debate. O caso da Liquid Network, que recentemente optou por suspender sua rede após uma movimentação anormal de quase 4.000 BTC, mostra que a parada de emergência continua sendo uma reação utilizada quando a extensão do risco permanece desconhecida.
A Bybit tinha mais informações e escolheu manter a continuidade. CZ, com menos visibilidade, teria optado pela interrupção.
Nenhuma fórmula funciona em todos os casos. Depois de um ataque contra uma plataforma cripto, alguns minutos às vezes separam uma medida preventiva desnecessária de um segundo roubo em larga escala. A verdadeira vantagem talvez não seja apertar sempre o botão vermelho, mas ter informações suficientes para saber quando isso é necessário.
