A Hora Mais Sombria da WazirX: Uma Análise Detalhada do Hack de US$ 230 Milhões e Suas Consequências

Os usuários indianos de criptomoedas estão passando por momentos difíceis enquanto a exchange centralizada (CEX) WazirX luta para encontrar um plano de recuperação para seus clientes.

WazirX é uma das principais exchanges de criptomoedas na Índia, com uma base de usuários de mais de 16 milhões. Em 18 de julho, ela foi hackeada por US$ 230 milhões. 

A violação de segurança afetou uma das carteiras multi-assinatura da WazirX. Uma carteira multi-assinatura requer que várias pessoas assinem uma transação antes que ela possa ser executada. No caso da WazirX, a carteira tinha cinco assinantes para proteger os ativos dos usuários. 

O invasor drenou US$ 100 milhões em Shiba Inu (SHIB), US$ 52 milhões em Ether, US$ 11 milhões em MATIC e US$ 6 milhões em PEPE. De acordo com o relatório de junho de 2024, esses fundos representavam mais de 45% das reservas totais da exchange, que somam US$ 500 milhões. 

Segundo o rastreador de blockchain Lookonchain, o explorador converteu a maior parte dos fundos roubados para Ethereum (ETH). Hackers geralmente utilizam serviços de mistura como o Tornado Cash para converter tokens porque podem obscurecer a atividade transacional. 

O explorador agora detém mais de 59.097 ETH, valendo cerca de US$ 200 milhões, em vários tokens. Eles têm vendido os tokens roubados usando a popular DEX Uniswap.

Como resultado do ataque, os tokens listados na exchange foram negociados com descontos acentuados em relação aos preços locais e globais devido à falta de liquidez. A exchange então interrompeu todas as negociações e retiradas de cripto e fiat na plataforma. Já se passaram quase duas semanas desde o hack da WazirX, e as atividades permanecem suspensas.

Com tudo congelado na exchange, o par BTC/USDT está sendo negociado a 64.052 na WazirX, comparado a 66.687 na CoinDCX. Enquanto isso, o par USDT/INR está em 88,64 na CoinDCX e 68,40 na WazirX. O token nativo da exchange, WZX, por sua vez, caiu 36,24% desde que a exchange foi atacada.

Quanto ao que ocorreu, a exchange culpou um “descompasso” entre as informações exibidas na interface digital da Liminal Custody e o conteúdo real da transação assinada. A exchange disse em um post:

“Suspeitamos que a carga útil foi substituída para transferir o controle da carteira a um atacante.”

Enquanto isso, a Liminal Custody culpou a WazirX pelo ataque, dizendo que sua infraestrutura não foi violada.

“Infelizmente, três das máquinas das vítimas foram encontradas injetando cargas úteis maliciosas na transação, indicando um ataque sofisticado, bem planejado e direcionado a uma carteira multi-assinatura de contrato inteligente Gnosis específica.”

– Liminal no X

No entanto, nem todos estão satisfeitos com as explicações e o jogo de culpa. Segundo Pankaj Tanwar, um popular YouTuber de cripto no X:

“Este erro vai prejudicar #Crypto na Índia além da imaginação.”

WazirX Criticada por sua “Estratégia de Perda Socializada”

Dada a proporção de fundos roubados em relação às reservas totais, há pouca expectativa de recuperar qualquer parte deles, o que, combinado ao fato de que o explorador foi ligado à Coreia do Norte, esmagou severamente quaisquer esperanças de recuperação. 

Embora a exchange tenha lançado uma recompensa de US$ 23 milhões por uma solução que recebeu mais de 130 inscrições, ela começou a explorar a distribuição dos fundos intactos.

Para isso, a WazirX está considerando devolver 55% das participações em cripto, bloqueando o restante em tokens equivalentes a USDT, independentemente de os tokens dos usuários terem sido roubados ou não. Isso significa que até mesmo os usuários que não sofreram perdas no hack teriam acesso a apenas 55% de seus ativos, enquanto o restante seria convertido em stablecoins e bloqueado.

A exchange agora enfrenta maior escrutínio e pressão não apenas de seus clientes, mas também da ampla indústria devido a este “Programa de Gerenciamento de Saques: Pesquisa de Opinião”.

A pesquisa foi realizada em 27 de julho, durante a qual a exchange introduziu uma “estratégia de perda socializada para distribuir o impacto de forma equitativa entre todos os usuários.” Essa estratégia permite que os usuários tenham acesso instantâneo à maioria de seus ativos enquanto “mantém a possibilidade de recuperação adicional para aqueles que optarem por esperar.”

Nessa pesquisa, os clientes foram convidados a votar em duas opções diferentes. Em uma opção, os usuários obtêm acesso à maioria de seus fundos para negociação, mas também podem retirá-los. No entanto, recebem segunda prioridade em relação a quaisquer fundos recuperados. Em contraste, a outra opção não permite retiradas, mas os usuários recebem primeira prioridade nos recursos de recuperação.

Essa sugestão resultou em críticas à WazirX por parte de seus usuários, com um dizendo: “perda socializada, lucros privatizados.” Outro questionou por que usuários com tokens não roubados deveriam ser penalizados.

Exchanges rivais de cripto também expressaram suas opiniões sobre a última medida da WazirX, com o cofundador da CoinDCX, Sumit Gupta, dizendo que essa decisão “não é centrada na comunidade”. A forma como a WazirX está lidando com a situação “não será bem recebida por eles”, disse Gupta, acrescentando que também está “prejudicando os demais participantes do ecossistema”.

Arjun Vijay, cofundador da Giottus, disse que a pesquisa da WazirX “não está no melhor interesse do ecossistema” porque foi “desenhada para forçar os clientes” a escolher a opção que lhes dá prioridade nos recursos de recuperação.

O cofundador da Unocoin, Dr. Sathvik Vishwanath, também compartilhou sua decepção com a forma como a questão está sendo tratada, dizendo que isso “apenas piora a situação” quando o evento já colocou a indústria cripto “em apuros”.

A WazirX se defendeu, dizendo que a pesquisa não era “legalmente vinculativa”, mas sim apenas um passo no esforço da exchange para entender o que os clientes desejam. A exchange continuará a coletar ideias e feedback dos usuários.

Falando sobre o motivo de seu plano de compartilhar as perdas, o VP da WazirX, Rajagopal Menon, compartilhou que eles estudaram outras grandes exchanges que tiveram que lidar com situações semelhantes. Os dois grandes hacks analisados foram o Mt. Gox e o Bitfinex. 

Considerando a maioria das transações de Bitcoin, o Mt. Gox foi hackeado em 2014, quando 850.000 BTC foram perdidos. Após o incidente, o Mt. Gox faliu, e somente depois de uma década, em julho de 2024, os usuários começaram a receber uma pequena parte de suas participações originais. 

Depois houve a Bitfinex, que perdeu 119.756 BTC em um hack de 2016. A exchange lidou com a situação distribuindo a perda entre todos os usuários, reduzindo os saldos em 36% e concedendo aos seus clientes tokens BFX que representavam suas perdas. 

Mais Opções & Até os Fundos da ED Presos na WazirX

Além da “estratégia de perda socializada”, a exchange tem explorado outras opções, incluindo solicitar ajuda à Binance. A WazirX recorreu ao seu antigo parceiro para ajudar a resgatar seus clientes, conforme relatório da mídia local Moneycontrol, que citou uma fonte não identificada. 

Fontes da indústria também disseram que a Binance controla um excedente da receita da exchange, bem como cerca de US$ 80 milhões de seu token WRX. A fonte teria declarado:

“A disputa legal ainda está em andamento. Existem componentes do negócio da WazirX que ainda estão sob controle da Binance, incluindo a receita — o excedente dela. Até mesmo seu token WRX está sob controle deles. Portanto, eles entraram em contato com a Binance e as negociações estão em andamento, mas em estágios iniciais.”

Em seu relatório de prova de reservas de janeiro de 2023, a WazirX divulgou que 90% dos ativos de seus usuários são mantidos em carteiras da Binance. Alguns meses depois, em um post de blog, a WazirX afirmou que seu token nativo é controlado pela Binance, já que esta conduziu o IEO do WRX, durante o qual 108.401 tokens BNB, no valor de US$ 2 milhões, foram vendidos, cujos recursos “foram coletados e retidos pela Binance”.

Tudo isso ocorreu depois que o cofundador da WazirX, Nischal Shetty, teve uma disputa pública no X com o CEO da Binance, Changpeng Zhao, sobre quem controla a WazirX. Curiosamente, em novembro de 2019, a maior exchange do mundo, Binance, afirmou que havia adquirido a WazirX, apenas para que a história mudasse quando, no verão de 2022, autoridades indianas invadiram o escritório da WazirX em Mumbai sob suspeita de envolvimento em lavagem de dinheiro.

Em resposta, a Direção de Execução da Índia (ED) congelou os fundos da WazirX, e o Ministério das Finanças do país anunciou uma investigação sobre a exchange sob o Foreign Exchange Management Act (FEMA).

Agora, relatos sugerem que até a ED possuía quase US$ 1,1 milhão em ativos cripto apreendidos na WazirX. Esses fundos, que foram confiscados em um caso de corrupção contra um aplicativo de jogos chamado E-Nuggets, foram transferidos para a exchange apenas alguns meses antes do hack.

O veículo de notícias indiano The Print informou que, após a investigação sobre o E-Nuggets, a ED solicitou a todas as exchanges cripto locais, incluindo WazirX e CoinDCX, que ajudassem a localizar as contas de origem. Isso levou à descoberta do Endereço de Pagamento Virtual (VPA) usado para comprar cripto. Como resultado, a ED congelou todos os fundos em 70 contas cripto mantidas na ZebPay, WazirX e na Binance, com sede em Dubai.

Portanto, após tomar posse dos cripto, as autoridades abriram uma conta cripto para a ED e transferiram todo o cripto da WazirX devido à exchange ser local e possuir a maior base de usuários e liquidez. Mas agora a WazirX foi hackeada e perdeu 45% de seus fundos. Seria interessante ver se as autoridades se manifestarão e finalmente oferecerão alguma orientação e ajuda ao setor.

Não é que hacks sejam incomuns no espaço cripto. No ano passado, atacantes roubaram US$ 1,7 bilhão de plataformas cripto, de acordo com um relatório de crime cripto da Chainalysis . Embora o valor roubado nesses ataques tenha mais que diminuído pela metade desde 2022, o número desses ataques aumentou de 219 em 2022 para 231 em 2023. 

À medida que os preços das criptomoedas subiram em todo o setor este ano, os hackers voltaram à ação, com $1,48 bilhão roubado este ano até 24 de junho de 2024, comparado a US$ 657 milhões na mesma época do ano passado, segundo TRM Labs. No entanto, os cinco principais exploits representaram até 70% do total roubado. O relatório afirmou:

“Comprometimentos de chaves privadas e frases-semente permanecem como um dos principais vetores de ataque em 2024, ao lado de exploits de contratos inteligentes e ataques de flash loan.”

Portanto, embora os hacks de cripto continuem, o governo indiano falhou em fornecer diretrizes claras e estabelecidas para que essas exchanges não operem com opacidade.

Indústria Cripto Instável & Não Regulamentada da Índia 

Após o grande incidente, várias exchanges cooperaram com a WazirX para ajudá-la a rastrear os fundos roubados e recuperar os ativos dos clientes. Para analisar o ataque cibernético mais profundamente, a empresa também colaborou com peritos forenses e agências de aplicação da lei para identificar e capturar os perpetradores.

A exchange também reportou o incidente ao Indian Computer Emergency Response Team (CERT-In), que é uma agência responsável por incidentes de segurança relacionados a computadores. Na etapa seguinte, um First Information Report (FIR) foi registrado, preparado pela polícia para iniciar uma investigação oficial. 

A WazirX também enviou o relatório do incidente à Financial Integrity Unit (FIU)-India, na qual está registrada e que depende do Ministério das Finanças. No entanto, a violação de segurança da WazirX não se enquadra no escopo da FIU, já que a FIU monitora transações sob a Lei de Prevenção à Lavagem de Dinheiro (PMLA) do país. Segundo Joanna Cheng, Associate General Counsel da Fireblocks:

“Até o momento, não há regulamentação específica para cripto na Índia, e a indústria se beneficiaria de expectativas regulatórias claras sobre questões como padrões de segurança, gestão de risco e proteção ao consumidor. A intervenção regulatória neste espaço também significaria que exchanges que atendem a um grande número de clientes de varejo seriam responsabilizadas por suas ações (ou inações).“

A indústria de criptomoedas na Índia continua não regulamentada. O único passo significativo tomado nesse período foi uma decisão da Suprema Corte em 2020 que anulou a proibição do Reserve Bank of India de 2018, permitindo que bancos facilitem transações cripto de usuários e exchanges. 

Além disso, o desenvolvimento regulatório de cripto no país tem sido estático. Até o momento, nenhuma legislação foi aprovada para regular o setor, e cripto permanece principalmente fora do âmbito das autoridades. 

A única supervisão regulatória presente vem da FIU do governo indiano, que tem a tarefa de supervisionar a negociação de ativos digitais virtuais. Segundo um relatório da Economic Times de maio deste ano, 47 entidades reguladas no país estão envolvidas na negociação ou manuseio de ativos cripto na Índia. Isso ocorreu após o governo proibir plataformas cripto offshore de operar na Índia devido ao não cumprimento das diretrizes de combate à lavagem de dinheiro (AML). 

Embora não haja proteção regulatória para os usuários de cripto na Índia, o governo impôs impostos de até 30% sobre os lucros da venda de cripto, sem compensação de perdas permitida. Além disso, um imposto de 1% é deduzido na fonte para cada transação. 

Essas políticas têm afetado negativamente a indústria, com usuários de cripto reclamando da falta de apoio governamental que sufoca o setor enquanto retira uma grande parte de seus lucros em impostos desde 2022.

A indústria cripto da Índia tem sofrido com a falta de clareza regulatória por muito tempo, o que levou ao aumento de agentes mal-intencionados. Enquanto a WazirX foi alvo de um ataque cibernético, os usuários também têm reclamado de exchanges como a BitBNS por enganar pessoas. 

A entidade registrada na FIU-India, que se anuncia como em conformidade com os padrões globais FATF para VASPs, também sofreu um hack de US$ 7,5 milhões em 2022. Desde então, a BitBNS tem agido de forma duvidosa, permitindo que os usuários depositem fundos, mas não possibilitando retiradas. Usuários especulam que seu CEO, Gaurav Dahake, já fugiu do país. No início deste ano, em uma entrevista com a The Economic Times, Dahake previu que o BTC ultrapassaria US$ 100 mil. As vítimas estão atualmente explorando uma ação coletiva contra a exchange.

Mas isso não é tudo. Exchanges de cripto na Índia, incluindo a CoinDCX, não permitem que os usuários façam auto-custódia de cripto, o que vai totalmente contra a filosofia do cripto. As exchanges indianas não permitem transferências de cripto para exchanges ou carteiras externas se os usuários fizerem depósitos em fiat. Isso agrava ainda mais o problema, pois os usuários não podem fazer auto-custódia mesmo que queiram, e isso significa que eles não podem se proteger de eventos como o hack da WazirX.

As coisas podem finalmente mudar, porém, com o país mais populoso do mundo supostamente planejando publicar um documento de discussão delineando sua posição política sobre cripto antes de setembro. No entanto, o governo tentou regular o cripto muitas vezes, mas até agora não foram tomadas medidas concretas, ao contrário das diretrizes claras introduzidas pelos reguladores ao redor do mundo. Até mesmo os EUA aprovaram seu primeiro ETF de Bitcoin à vista, que atraiu milhões de dólares em entradas totais.

Portanto, até que o governo indiano decida dar à indústria cripto a atenção e clareza regulatória que necessita, os usuários locais de cripto e o setor continuarão a sofrer.

Clique aqui para uma lista das cinco melhores exchanges de cripto.