Exchange de cripto baseada no Quirguistão interrompe negociações após ataque cibernético de $15M em USDT e violação de carteira

A exchange de cripto baseada no Quirguistão, Grinex, interrompeu todas as atividades de negociação após hackers roubarem mais de $15 milhões em USDT de suas carteiras. A exchange emitiu uma declaração pública confirmando o ataque, enquanto a empresa britânica de análise de blockchain Elliptic rastreou os fundos roubados e descobriu que os atacantes os moveram para evitar detecção.

O incidente ocorre em meio a uma onda mais ampla de ataques direcionados a exchanges de cripto globalmente em 2025 e 2026, onde vulnerabilidades de carteiras quentes e compromissos no fluxo de assinatura permaneceram como os pontos de entrada mais explorados.

Hackers roubaram dinheiro e pararam as negociações do Grinex

Hackers levantaram preocupações sobre a segurança dos fundos dos usuários em exchanges de cripto após invadir o sistema de carteiras do Grinex e roubar mais de 1 bilhão de rublos (cerca de 13-15 milhões de dólares americanos em USDT). Os fundos foram rapidamente movidos através de múltiplos endereços de blockchain.

Enquanto as investigações sobre a violação da exchange no Quirguistão ainda estão em andamento, o incidente se soma às crescentes preocupações sobre a postura de segurança de plataformas de negociação de cripto menores e de médio porte operando em jurisdições com supervisão regulatória limitada.

Para evitar danos adicionais, a exchange congelou todas as atividades da plataforma, incluindo retiradas, deixando muitos usuários incapazes de acessar seus fundos. A Grinex descreveu o ataque como altamente coordenado e disse que os hackers eram indivíduos habilidosos usando ferramentas e recursos avançados para violar o sistema. A empresa até alegou que serviços de inteligência estrangeiros podem estar envolvidos, e o objetivo era danificar o sistema financeiro da Rússia e sua independência.

No entanto, a origem dos ataques permanece desconhecida, pois não há evidências claras que apoiem as alegações de envolvimento estrangeiro. 

Ao mesmo tempo, a Grinex disse que enfrentou problemas semelhantes no passado, incluindo pressão de sanções, restrições de transação e ataques menores repetidos, o que a forçou a responder de forma dura.

A exchange tomou medidas legais para apresentar uma queixa criminal e até compartilhou todas as informações disponíveis com agências de aplicação da lei para facilitar o rastreamento de dados.

O incidente mostrou o quanto as exchanges ligadas a sistemas sancionados frequentemente enfrentam riscos mais altos, incluindo ciberataques, maior escrutínio regulatório e pressão aumentada de atores externos.

Da mesma forma, o evento expõe fraquezas em exchanges centralizadas que detêm grandes quantidades de fundos de usuários em um único local, destacando a necessidade de segurança mais forte à medida que os atacantes se tornam cada vez mais sofisticados a cada dia.

Atacantes movem os fundos roubados para escondê-los

Os hackers do Grinex moveram imediatamente o USDT roubado usando ferramentas de blockchain para retardar o rastreamento pelas autoridades.

De acordo com relatórios da Elliptic, os atacantes rapidamente enviaram o USDT roubado através de várias carteiras e redes, incluindo Tron e Ethereum, tornando o rastreamento ainda mais difícil. Eles então converteram o USDT roubado em outros ativos, como TRX e ETH, porque a Tether controla o USDT e poderia facilmente congelar fundos vinculados a um crime.

Finalmente, os hackers alcançaram a consolidação, durante a qual moveram os fundos para uma única carteira principal segurando 45,9 milhões de TRX (cerca de $15 milhões) para decidir se mantêm, movem novamente ou sacam.

Todo o evento mostra comportamento comum de cibercrime que depende de ferramentas descentralizadas devido à falta de autoridade central, permitindo que criminosos movam fundos sem serem impedidos. 

Especialistas já relataram tais padrões em riscos de stablecoin, incluindo chain-hopping (mover fundos entre diferentes blockchains para evitar detecção) e layering (usar múltiplas carteiras para espalhar fundos entre diferentes endereços).

A Grinex é amplamente vista como sucessora da Garantex, uma grande exchange de cripto que encerrou as operações após sanções dos Estados Unidos, União Europeia e Reino Unido por alegações de lavagem de dinheiro.

No entanto, mesmo após a Garantex encerrar as operações em 2025, seus usuários e liquidez se moveram para outras plataformas, e um dos principais alvos foi a Grinex. Esta migração tornou a Grinex um hub de negociação essencial para usuários lidando com rublos e cripto.

Ela também se tornou um centro para atividade de stablecoin, como a stablecoin lastreada em rublo A7A5, mas isso complicou as coisas porque o token também é lastreado por depósitos detidos por instituições que enfrentaram sanções. 

A A7A5 também opera em blockchains como Ethereum e Tron, permitindo que atravesse fronteiras facilmente e suporte transações muito grandes. 

Curiosamente, apenas um pequeno número de carteiras controla uma grande parte dessas transações, mantendo a atividade concentrada entre poucos jogadores-chave e aumentando o risco de evasão de sanções.

De acordo com a Elliptic, esses atores sancionados usam stablecoin para contornar restrições financeiras, então o hack da Grinex se conecta a como plataformas que operam em certas regiões se tornam ferramentas úteis e alvos principais.

Toda a situação coloca mais pressão sobre as exchanges para melhorarem suas medidas de segurança e detectarem comportamento incomum antes que se torne uma perda significativa. Ao mesmo tempo, os atacantes continuam a se adaptar, alternando entre ativos e usando ferramentas que são mais difíceis de controlar.