O hack da hot wallet de ¥6,7 bilhões da Zaif: gestão renunciou e exchange foi vendida à FISCO

A Zaif, exchange de Osaka operada pela Tech Bureau, foi hackeada em 14 de setembro de 2018: um acesso não autorizado atingiu o servidor que administrava a hot wallet usada para depósitos e saques de clientes, drenando bitcoin, Monacoin e bitcoin cash no valor de cerca de ¥6,7 bilhões — aproximadamente US$ 60 milhões —, dos quais ¥4,5 bilhões pertenciam aos clientes. A anomalia foi detectada em 17 de setembro e divulgada em 20 de setembro; a estimativa foi posteriormente revisada para cerca de ¥7 bilhões.

A empresa passou 2018 na lista de vigilância do regulador — a Agência de Serviços Financeiros (FSA) emitiu ordens de melhoria operacional em março e novamente em junho —, mas a arquitetura da hot wallet permaneceu. Após o hack, a FSA emitiu uma ordem de apresentação de relatórios e passou à inspeção presencial, e o presidente Takao Asayama e a gestão então em exercício renunciaram.

Em 10 de outubro, a Tech Bureau assinou um acordo formal transferindo o negócio da Zaif para a FISCO Crypto Exchange e definiu a compensação: BTC e BCH devolvidos nos mesmos montantes em espécie, enquanto os detentores de MONA receberam 60% em MONA e os 40% restantes em ienes a ¥144,548 por moeda — acima do próprio preço de mercado da Zaif, porque o MONA roubado era ilíquido demais para ser recomprado. Tudo o que era negociado em mercados profundos voltou integralmente; o único mercado fino absorveu um corte de 40%.

Os serviços foram retomados em etapas sob a FISCO — a negociação à vista de MONA reabriu em abril de 2019 — e as duas exchanges operadas pela FISCO deveriam fundir seus sistemas ainda em 2019.

¥6,7 bilhões (~US$ 60 milhões) roubados, dos quais ¥4,5 bilhões em criptoativos de clientes; os detentores de MONA absorveram 40% da perda em ienes

Os ativos dos clientes ficavam em uma hot wallet administrada em um único servidor; uma única intrusão numa janela de duas horas bastou para esvaziá-la.

Os reguladores sinalizaram a empresa duas vezes em seis meses, mas as ordens de melhoria mudaram a papelada, não a arquitetura que falhou.

O mercado fino do MONA significava que o montante roubado não podia ser recomprado sem mover o preço, então parte da perda foi liquidada em ienes — a iliquidez converteu-se diretamente em perdas para os clientes.

Uma hot wallet online é uma oferta permanente aos atacantes. Avisos regulatórios não mudam nada se a arquitetura permanece — e moedas roubadas ilíquidas demais para serem recompradas significam que os usuários absorvem a diferença.

Sob a FISCO, a exchange retomou os serviços gradualmente ao longo de 2019, com a negociação de MONA relançada em abril de 2019 e a integração dos sistemas das exchanges logo em seguida. Os próprios ¥2,2 bilhões em ativos da Tech Bureau se perderam junto com a hot wallet, e sua gestão saiu com a empresa. A própria resgatadora não permaneceu: em maio de 2026, a FISCO, controladora listada, removeu cripto e blockchain de seus segmentos de negócio e saiu do setor.