Indodax mantinha US$ 22 milhões em carteiras quentes — uma única violação drenou seis redes de uma só vez

A Indodax, maior exchange de criptomoedas da Indonésia, com mais de 6 milhões de usuários, operava carteiras quentes — carteiras conectadas à internet usadas para financiar saques do dia a dia — que mantinham dezenas de milhões de dólares em várias blockchains. Em 11 de setembro de 2024, atacantes executaram mais de 150 transações suspeitas e drenaram aproximadamente US$ 22 milhões: cerca de US$ 14,6 milhões em tokens ERC-20, US$ 2,58 milhões em ativos Polygon, US$ 2,4 milhões em Tron, US$ 1,42 milhão em Bitcoin e quantias menores em Ethereum na Optimism.

A Indodax tirou do ar seus aplicativos web e móvel no mesmo dia, chamando a medida de "manutenção completa", e informou aos usuários que seus saldos restantes continuavam integralmente lastreados. Empresas de análise forense de blockchain que rastrearam os fundos roubados — entre elas Cyvers, SlowMist e PeckShield — afirmaram que o padrão do ataque e a forma como os recursos foram lavados por meio de trocas para ETH, TRON, Polygon e Bitcoin se assemelhavam muito ao Lazarus Group, da Coreia do Norte, ator responsabilizado pelos ataques às exchanges WazirX e Bybit. Nenhuma parte assumiu a autoria e a Indodax não confirmou a atribuição.

O regulador de derivativos da Indonésia, Bappebti, convocou a Indodax a prestar esclarecimentos e pediu aos clientes que mantivessem a calma enquanto monitorava a resposta da exchange. A Indodax afirmou deter cerca de US$ 369 milhões em reservas — mais de dez vezes o valor roubado — e prometeu ressarcir os usuários afetados com esse colchão, em vez de repassar a perda a eles.

Os atacantes drenaram US$ 22 milhões em Bitcoin, Ethereum, Tron e Polygon em uma única violação; a Indodax prometeu cobrir as perdas com US$ 369 milhões em reservas.

Dezenas de milhões de dólares estavam em carteiras quentes — acessíveis pela internet para saques rotineiros — em vez do armazenamento frio e offline que as exchanges usam para a maior parte dos fundos dos clientes.

Os saldos estavam divididos entre seis blockchains diferentes dentro dessas carteiras quentes, de modo que um único ponto de acesso comprometido pôde drenar posições em Bitcoin, Ethereum, Tron e Polygon na mesma sequência de transações.

Mais de 150 transações saíram antes de a Indodax perceber e tirar sua plataforma do ar, o que indica um monitoramento que só detectou a violação depois que os fundos já estavam em movimento.

Dinheiro mantido acessível para saques é dinheiro acessível a um atacante. Quanto menos uma exchange mantém em carteiras quentes, e quanto menos blockchains houver por trás de uma única carteira, menos uma única violação pode levar.

A Indodax restabeleceu sua plataforma após tirá-la do ar para manutenção e afirmou que cobriria as perdas dos usuários com suas próprias reservas. A Bappebti manteve a exchange sob análise, e comentaristas jurídicos indonésios argumentaram que a própria violação demonstrou que a Indodax ficou aquém dos padrões de confiabilidade do sistema exigidos pela Bappebti e pela OJK das plataformas de criptomoedas licenciadas.