Baleia do mundo das criptomoedas é hackeada e perde US$ 27,3 milhões.

Um grande investidor de criptomoedas viu seus fundos serem zerados devido a uma vulnerabilidade em sua carteira multiassinatura 1-1, que desviou mais de US$ 25 milhões em ativos digitais.

A empresa de segurança blockchain PeckShield emitiu um alerta sobre a criptomoeda X na quinta-feira, relatando que a grande baleia havia sido hackeada e perdido cerca de US$ 27,3 milhões. Os fundos roubados estão sendo transferidos em lotes de 100 ETH por meio da ferramenta de privacidade on-chain Tornado Cash , de acordo com dados do Etherscan.

#PeckShieldAlert A conta Multisig de um grande investidor teve cerca de US$ 27,3 milhões perdidos devido a uma falha na chave privada.

O indivíduo que realizou a lavagem de dinheiro movimentou US$ 12,6 milhões (4.100 ETH) através do #TornadoCash e mantém cerca de US$ 2 milhões em ativos líquidos.

O jogador que drena a conta também controla a assinatura múltipla da vítima, que mantém uma posição longa alavancada… pic.twitter.com/1Ulk4X7bkl

— PeckShieldAlert (@PeckShieldAlert) 18 de dezembro de 2025

A PeckShield afirmou que o atacante assumiu o controle da chave privada e se tornou o único signatário da carteira multisig. Uma vez obtido o acesso, o invasor começou atracativosmatice a lavá-los na blockchain.

O hacker da carteira multisig ainda detém US$ 2 milhões dos fundos roubados.

Segundo a PeckShield, o atacante, que está usando o endereço 0x1fCf…367d23Ac, já lavou cerca de US$ 12,6 milhões, o equivalente a 4.100 Ether, por meio da Tornado Cash. A empresa de segurança acrescentou que o invasor ainda possui cerca de US$ 2 milhões em ativos líquidos, com base nos saldos da carteira observados no momento da publicação desta notícia.

Diversos analistas de segurança acreditam que o atacante controla a carteira multisig da vítima, que mantém uma grande posição alavancada na Aave. A carteira supostamente possui cerca de US$ 25 milhões em Ether como garantia para aproximadamente US$ 12,3 milhões emprestados em DAI.

O endereço do atacante, que a PeckShield compartilhou publicamente, contém Ether, Wrapped Ether, OKB, Trust Wallet Token, Bitfinex LEO, Fetch e Nexo. Até o momento, ele fez depósitos de Ether roubado na Tornado Cash em lotes de tamanho igual, totalizando 4.100 Ether, divididos em 41 transações de 100 Ether cada.

Na noite de quarta-feira, a Specter, empresa especializada em investigação on-chain, divulgou mais detalhes sobre a violação, publicando uma análise da sequência do ataque. A analista de blockchain mencionou que o comprometimento da chave privada de uma vítima elevou as perdas totais do incidentedent cerca de US$ 38 milhões.

Segundo Specter, a vítima criou uma carteira com múltiplas assinaturas configurada como um sistema 1-para-1 em 11 de abril de 2025, às 07:48:11. Pouco depois de transferir fundos para a carteira, a carteira principal, designada como a do signatário, sofreu uma saída maciça às 08:23:23.

Embora a causa exata da violação permaneça incerta, Specter sugeriu que a chave privada pode ter sido vazada durante o processo de configuração da carteira multiassinatura. Outra possibilidade levantada foi que a vítima tenha contado com a ajuda de um agente malicioso durante a criação da carteira multiassinatura.

A baleia 0xde5f44…b051e965 sofreu perdas consideráveis ​​em maio, de acordo com o tracda plataforma de análise Onchainlens, que descobriu que o investidor retirou 2.520,5 Ether, avaliados em cerca de US$ 4,52 milhões na época, da OKX e os colocou em staking na Kiln Finance.

Ao longo do ano, o investidor teria feito staking de um total de 9.918 Ether, o equivalente a US$ 22,58 milhões em julho. Apesar de ter ganho 105,5 Ether em recompensas de staking, o investidor ainda acumulava um prejuízo líquido de cerca de US$ 4,26 milhões antes da última operação.

Carteiras multisig podem ser hackeadas mesmo sem o número mínimo de assinaturas necessário.

A maioria dos membros da comunidade cripto acredita na das carteiras multisig porque elas exigem a aprovação de duas ou mais entidades antes da execução de uma transação. Algumas configurações nesses tipos de carteiras incluem sistemas como 2 de 3 ou 3 de 5, onde o primeiro número do sistema representa o limite de detentores de chaves que devem aprovar uma troca ou negociação. 

No entanto, configurações como a de 1 para 1, onde apenas um signatário é necessário, comprometem o principal benefício da proteção por múltiplas assinaturas. Nesses casos, a violação de uma única chave pode levar à perda total, como parece ter ocorrido no caso da baleia 0xde5f44…b051e965. 

Em um caso separado, ocorrido em setembro deste ano, um investidor de criptomoedas nãodentperdeu mais de US$ 3 milhões após autorizar, sem saber, umtracmalicioso. O investigador de blockchain ZachXBT relatou odent em seu canal no Telegram, revelando que a carteira da vítima foi esvaziada em US$ 3,047 milhões em USDC, que foram trocados por Ether para serem processados ​​pela Tornado Cash.

O fundador da SlowMist, Yu Xian, explicou posteriormente que o endereço comprometido, naquele caso, era uma carteira multisig 2-of-4 Safe. Ele continuou dizendo que otracfraudulento imitava o primeiro e o último caractere do endereço real, tornando a fraude difícil de detectar. 

O atacante também explorou o mecanismo Safe Multi Send, ocultando a aprovação maliciosa dentro de uma autorização de rotina. "Essa autorização anormal foi difícil de detectar porque não era uma aprovação padrão", escreveu Xian no X.