No que parece ser uma das primeiras grandes falhas de segurança de 2019, a exchange de ativos digitais sediada na Nova Zelândia, a Cryptopia, supostamente pode ter sido hackeada esta semana. A plataforma relatou o incidente via Twitter em 15 de janeiro, mencionando “perdas significativas”. Embora o incidente tenha sido confirmado pela polícia local, muitos detalhes cruciais - incluindo a quantidade e os títulos de fichas roubadas - permanecem não revelados.

Breve introdução à Cryptopia, uma casa de câmbio essencial para as altcoins

Cryptopia Limited, a empresa por trás da troca auto-intituladoa, foi registrada em julho de 2014, e a própria plataforma foi lançada no mesmo ano. É dirigido pelos fundadores Rob Dawson e Adam Clark, que inicialmente começaram como um hobby nascido de experiências negativas com outras exchanges de criptomoedas. Por volta de janeiro de 2017, eles supostamente abandonaram seus empregos em tempo integral para se concentrarem apenas na Cryptopia. O escritório da empresa está localizado em Christchurch, Cantuária, e há cerca de 50 a 100 pessoas empregadas lá.

De acordo com o Registro de Empresas do Governo da Nova Zelândia, a Cryptopia tem um total de 90 acionistas. A maioria das ações é controlada por Dawson e Clark, que detêm 30,57% e 27,46%, respectivamente. Uma parte substancial das ações - 25,52% - também é mantida por um serviço local de desenvolvimento e consultoria de software chamado Intranel, enquanto o restante das ações parece ser controlado pelos parentes e investidores privados dos co-fundadores.

De acordo com o perfil da Cryptopia no LinkedIn, a empresa tem “a maior variedade de criptomoedas do mundo”. De fato, a bolsa tem mais de 830 moedas criptografadas listadas, de acordo com o CoinMarketCap, que a torna uma das principais plataformas de negociação de altcoins.

Os dados obtidos da Coingecko sugerem que o pico do volume de negociações da Cryptopia neste ano ocorreu em 11 de janeiro, quando chegou a cerca de US$ 1.875.000. A casa de câmbio de criptomoedas supostamente tem cerca de 1,4 milhões de usuários registrados e é a maior exchange de criptomoedas do país. Em maio de 2017, a Cryptopia lançou o NZed (NZDT), supostamente o primeiro stablecoin ligado ao dólar da Nova Zelândia.

O incidente foi originalmente reportado como “manutenção não programada”; a polícia está no caso

O episódio pode ser rastreado até 14 de janeiro, quando Cryptopia publicou uma série de curtos tweets sobre "manutenção não programada". Curiosamente, a plataforma emitiu atualizações semelhantes em junho de 2018, causando preocupação entre os usuários, que mais tarde relataram dificuldades de retirada.

No entanto, no dia seguinte, em 15 de janeiro, a Cryptopia anunciou oficialmente que havia sido hackeada no dia anterior. De acordo com a nota compartilhada pela plataforma, após descobrir a violação de segurança, a equipe da bolsa congelou todas as operações para avaliar os danos.

A bolsa também noticiou que agências e autoridades do governo, incluindo a Polícia da Nova Zelândia e a Unidade de Crimes de Alta Tecnologia, abriram uma investigação sobre o assunto e estão supostamente tratando o incidente como um grande crime. Em 16 de janeiro, a polícia confirmou que está investigando o caso.

" A investigação ainda está em seus estágios iniciais e a polícia continua trabalhando com a Cryptopia para estabelecer o que aconteceu e como."

De acordo com a mídia local Stuff, em 16 de janeiro, a polícia trancou o escritório de Cryptopia em Christchurch, enquanto alguns dos funcionários permaneciam lá dentro. Mais tarde, as autoridades informaram que a equipe da bolsa está cooperando totalmente com a equipe de investigação, mas notaram que os relatos da mídia alegando que a polícia “invadiu” o prédio estão “totalmente incorretos”.

Além disso, as autoridades estão declaradamente estabelecendo uma equipe de investigação dedicada, incluindo “pessoal especializado em polícia com experiência nesta área.” A Autoridade de Mercados Financeiros (FMA) também foi chamada, de acordo com Stuff.

O porta-voz da FMA citada no artigo disse que os reguladores não fiscalizaram a Cryptopia ou as criptomoedas listadas lá, “mas aqueles que fornecem serviços financeiros relacionados a criptomoedas precisam se registrar no Financial Services Providers Register - o que permitiu aos clientes acessar um serviço independente de resolução de disputas. ”Segundo o site do regulador, as empresas da Nova Zelândia que prestam serviços financeiros relacionados a criptomoedas precisam cumprir os requisitos de “negociação justa” da Lei de Conduta dos Mercados Financeiros de 2013.

A quantia roubada permanece não revelada; as mídias sociais estimam de US$ 3 milhões a US$ 13 milhões roubados

Embora o site da Cryptopia ainda esteja em manutenção no momento, a bolsa não revelou quais fichas foram roubadas e até que ponto, limitando seu comentário para afirmar que as perdas são “significativas”. A empresa desde então declarou que elas não irão fornecer comentários devido à investigação policial em curso.

No entanto, a polícia ainda não confirmou a quantia exata de dinheiro roubado. De acordo com o seu comunicado de imprensa emitido em 16 de jan.:

“A polícia ainda não está em condições de dizer quanta criptomoeda está envolvida, além de ser uma quantia significativa. Uma grande equipe, incluindo Canterbury CIB e pessoal especializado da Unidade de Crime de Alta Tecnologia da polícia, foi designada para o caso.”

Com Cryptopia e as autoridades sendo incapazes de revelar detalhes concretos do hack alegado, a comunidade tomou o assunto em suas próprias mãos. Os usuários de mídia social identificaram um dos supostos endereços de carteira do hacker, destacando os números de transação grandes, bem como o tempo das transferências, que supostamente ocorreram depois que o site entrou em modo de manutenção.

Se for verdade, os criminosos roubaram uma grande quantidade de fichas ERC-20, incluindo Dentacoin, Metal, Moeda Ormeus, PowerLedger, Revain, Zap Token, TrueUSD, Centralidade, InvestFeed, PILAR, Golem, Jetcoin, Fabric Token, DALECOIN, Soniq, VOISE , SpankChain, Mothership e Oyster Pearl, entre outros.

"Nesta fase, eu provavelmente acredito em relatórios citando um valor roubado aproximado de US$ 11 [milhões] + USD equivalente", escreve Reddit usuário u/spronky, "Eu não ficaria surpreso se todos os tokens ERC-20 em carteiras quentes de Cryptopia foram roubados [sic].

De acordo com outra investigação do Reddit, um total de US$ 13.000 em criptomoedas poderia ter sido roubado da Cryptopia. O usuário u/toldjahP coletou vários endereços de carteira afiliados aos supostos hackers e combinou as transferências, o que igualou a figura acima mencionada. Endereços semelhantes foram marcados por membros da comunidade do Twitter também. Embora algumas dessas carteiras pareçam estar vazias no momento da publicação, uma delas detém até US$ 3,6 milhões.

Comunidade não está com pressa para rotular o caso como "hack"

A notícia do incidente foi recebida com preocupação e algum ceticismo na comunidade cripto, cujos membros sugeriram que o incidente poderia ter sido um "trabalho interno" ou "golpe de saída". Por exemplo, a indústria WhalePanda, do Twitter, notavelmente colocou a palavra “hack” entre aspas, enquanto comentava sobre o assunto:

“Interessante que isso aconteça em uma estação de ursos onde as pequenas bolsas de valores estão lutando para sobreviver e estão enviando mensagens agressivas para qualquer pessoa envolvida em projetos cripto para fazê-los pagar taxas de listagem para serem listados em suas plataformas.”

Em resposta ao tweet da WhalePanda, alguns comentaristas chegaram a investigar as recentes transações da Cryptopia, alegando que a bolsa havia movimentado uma grande quantia de Ethereum (ETH), equivalente a vários milhões de dólares, para fora de sua carteira em 13 de janeiro, citando dados da blockchain de monitoramento de cripto exchanges Whale Alert. Isso se correlaciona com o anúncio anterior da Cryptopia sobre o hard fork da Ethereum (ETH) Constantinople, quando a casa de câmbio avisou seus usuários que estava colocando ETH e todos os tokens ERC-20 em manutenção entre 14 de janeiro e 18 de janeiro. A exchange então avisou seus usuários para mover sua ETH para "uma carteira onde eles têm um controle das chaves privadas".

Alguns dos fundos foram congelados, os usuários Cryptopia estão preparando um processo

Parece que pelo menos alguns dos tokens roubados foram congelados. Em 16 de janeiro, depois de ser marcado por um membro da comunidade do Twitter, Binance, diretor executivo de câmbio Changpeng Zhao disse que suspendeu “alguns” fundos afiliados à Cryptopia depois que eles acabaram nas carteiras de sua plataforma e afirmou que ele vai congelar mais se os usuários de mídia social reportarem.

Da mesma forma, outros usuários do Twitter publicaram screenshots sugerindo que coinexchange.io também foi alertado sobre alguns dos fundos roubados da Cryptopia sendo negociados em sua plataforma.

Quanto ao resultado legal, a situação também não é clara neste momento. De acordo com a mídia local e a emissora de rádio Radio NZ, até 40 usuários da Cryptopia se apresentaram para exigir legalmente uma explicação de por que seus fundos estão inacessíveis.

"Fomos contatados inicialmente por cerca de três pessoas [no ano passado], incluindo um advogado sul-africano, que estava reclamando que eles estavam tendo dificuldades para negociar usando suas carteiras e não podiam retirar fundos", disse o advogado encarregado do caso à publicação.