Triple-A perde US$ 11,8 milhões em invasão de hot wallet: ataque durou 31 horas e atingiu 7 blockchains

Redes afetadas

O invasor drenou ativos em sete redes blockchain: Ethereum, TRON, Polygon, Arbitrum, Solana, The Open Network (TON) e Bitcoin . A natureza multi-chain do ataque exigiu que o invasor trocasse e fizesse bridge de ativos de forma eficiente, indicando uma operação sofisticada.

Consolidação dos ativos e movimentação on-chain

Uma característica marcante do exploit foi o método usado pelo invasor para consolidar os fundos. Ele trocou as stablecoins roubadas em exchanges descentralizadas e fez bridge de todos os recursos para um único endereço Ethereum, que acabou acumulando aproximadamente 5.227 ETH, avaliados em cerca de US$ 9,73 milhões na época . Esse padrão de consolidação é típico de ataques a hot wallets, nos quais o invasor converte ativos que não são nativos de uma rede em ETH para facilitar a movimentação ou a lavagem do dinheiro .

Resposta da Triple-A e segregação de ativos

A Triple-A confirmou a violação da carteira de tesouraria e afirmou que os fundos dos clientes não foram afetados — as carteiras comprometidas eram carteiras de tesouraria corporativa, e não contas de custódia de clientes . A empresa disse que arcaria diretamente com o impacto financeiro e que estava investigando ativamente o incidente . Isso destaca um ponto crucial da arquitetura de segurança: o modelo de segregação de ativos de clientes da Triple-A manteve os fundos dos clientes em contas protegidas e separadas das carteiras de tesouraria operacionais que foram violadas .

Posição regulatória da Triple-A

A Triple-A é uma gateway de pagamentos fiduciário-para-cripto com sede em Singapura, fundada em 2020. Ela detém um dos conjuntos de licenças mais amplos do setor de pagamentos cripto:

• Licença de Instituição de Pagamento Principal (MPI) da Autoridade Monetária de Singapura (MAS)
• Licença MiCA de Prestador de Serviços de Criptoativos (CASP) da AMF da França, autorizando serviços em todos os 30 estados da UE/EEE
• Aprovação em princípio da Autoridade Reguladora de Ativos Virtuais de Dubai (VARA) para serviços de corretora-distribuidora

A empresa também firmou parcerias com a Mastercard para fortalecer a infraestrutura de pagamentos transfronteiriços .

Panorama mais amplo de ataques cripto em 2026

O ataque à Triple-A não ocorreu de forma isolada. Várias empresas de segurança relataram atividade recorde ou quase recorde de hacks no primeiro semestre de 2026:

A PeckShield destacou especificamente que os vetores de ataque mais comuns no primeiro semestre de 2026 foram vulnerabilidades em pontes (bridges), falhas em contratos inteligentes e chaves privadas comprometidas . A TRM Labs observou que comprometimentos operacionais — incluindo gestão de chaves e infraestrutura de assinatura — agora representam uma parcela maior das perdas do que os exploits puros de contratos inteligentes . Grupos ligados à Coreia do Norte foram responsabilizados por cerca de US$ 643 milhões (~66%) do total de perdas no primeiro semestre .

A Immunefi informou que, embora as perdas totais tenham ficado abaixo de US$ 1 bilhão no primeiro semestre de 2026 — menos da metade dos US$ 2,3 bilhões roubados no primeiro semestre de 2025 — o número de incidentes, 207, foi o maior já registrado . O The Block também destacou que os danos mais graves vêm cada vez mais de falhas de infraestrutura, comprometimento de chaves privadas, erros de configuração cross-chain e fragilidades em acessos privilegiados .

Ressalvas importantes

• Os relatórios divergem quanto ao valor final da perda: o rastreamento on-chain da Specter chegou a US$ 11,8 milhões, enquanto alguns veículos noticiaram US$ 12 milhões .
• A rede Bitcoin foi listada entre as cadeias afetadas em alguns relatórios, mas não em todos, sugerindo que o envolvimento do Bitcoin pode ter sido indireto ou representar uma parcela menor do total .
• As garantias da Triple-A sobre os fundos dos clientes referem-se especificamente ao fato de que as contas de custódia dos clientes eram segregadas das carteiras de tesouraria comprometidas .

O que isso significa

O ataque à hot wallet da Triple-A é um exemplo clássico do cenário de ameaças em evolução no setor cripto. O invasor não explorou um bug em contrato inteligente; ele comprometeu a chave privada de uma hot wallet — um tipo de falha operacional que hoje responde pela maior parte do valor roubado em 2026. Para gateways de pagamento regulados, com múltiplas licenças, o incidente demonstra tanto a importância da segregação de ativos (que protegeu os fundos dos clientes) quanto a vulnerabilidade persistente da infraestrutura de hot wallets. Enquanto o setor caminha para o segundo semestre de 2026, a lição é clara: proteger chaves privadas e a infraestrutura operacional é agora mais crítico do que auditar o código de contratos inteligentes.