O hack da hot wallet da Upbit em 2019 perdeu US$ 48,5 milhões em ETH — a exchange absorveu todo o prejuízo

Em 27 de novembro de 2019, 342.000 ETH — cerca de US$ 48,5 milhões ao preço da época — saíram da hot wallet de Ethereum da Upbit para um endereço desconhecido numa série de transações anômalas. A maior exchange da Coreia do Sul suspendeu todos os depósitos e saques na mesma tarde e transferiu tudo o que restava no armazenamento quente para carteiras hardware offline.

A Dunamu, controladora da Upbit, comprometeu-se publicamente a cobrir integralmente os fundos roubados com ativos da própria Upbit. A promessa foi cumprida: os clientes não perderam nada além de um congelamento de cerca de duas semanas, e a exchange, então com dois anos de existência, absorveu o que era na época um dos maiores hacks de exchange do mercado cripto.

O roubo ficou sem solução por cinco anos. Em novembro de 2024, a Agência Nacional de Polícia da Coreia concluiu que as unidades Lazarus e Andariel da Coreia do Norte realizaram o ataque — o primeiro hack norte-coreano de uma exchange de cripto doméstica oficialmente confirmado —, rastreando mais da metade do montante, convertido em bitcoin em três exchanges e disperso por 51 locais em 13 países.

US$ 48,5 milhões em ETH roubados — ₩ 58 bilhões na época, cerca de ₩ 1,47 trilhão até 2024; duas semanas de depósitos e saques congelados; apenas 4,8 BTC recuperados

Os depósitos dos clientes ficavam numa hot wallet conectada à internet — a uma chave comprometida de desaparecer, quaisquer que sejam as certificações que a plataforma possua.

A proteção do usuário aqui foi uma decisão de estrutura de capital: a Dunamu podia pagar com fundos corporativos, uma escolha que exchanges com patrimônio líquido reduzido não têm.

O congelamento de duas semanas foi o preço de misturar ativos de clientes com o float operacional em vez de armazenamento frio segregado.

Cripto roubada é efetivamente irrecuperável depois de lavada — cinco anos de trabalho policial recuperaram 4,8 BTC de 342.000 ETH.

Um balanço sólido é o único seguro real de uma exchange. A Upbit pôde reembolsar os usuários porque sua controladora era rica; exchanges com capitalização escassa atingidas da mesma forma precisam congelar saques ou quebrar.

Os saques foram retomados após cerca de duas semanas, com o restante do float da hot wallet transferido para armazenamento offline. Em setembro de 2021, a Unidade de Informação Financeira da Coreia aceitou a Upbit como a primeira nova empresa de ativos virtuais licenciada do país sob a lei revisada de relatórios financeiros, cujas novas regras incluíam uma certificação de segurança ISMS obrigatória. A polícia encerrou o caso em novembro de 2024, responsabilizando Lazarus e Andariel: mais da metade do butim foi lavada por 51 locais em 13 países, e apenas 4,8 BTC (cerca de ₩ 600 milhões) foram recuperados de uma exchange suíça e devolvidos.