O Bybit é seguro? O que o ataque de 2025 realmente revela

O que realmente aconteceu em fevereiro de 2025

Em 21 de fevereiro de 2025, o Bybit estava a realizar uma transferência interna de rotina, movendo Ethereum de uma cold wallet para uma warm wallet usada nas operações do dia a dia. A transferência exigia que vários executivos do Bybit a assinassem usando o Safe{Wallet}, uma carteira multisignature de contrato inteligente de terceiros amplamente utilizada. Os signatários analisaram o que parecia uma transferência normal, aprovaram-na, e cerca de 401,000 ETH saíram para endereços que não controlavam.

Esta é a parte que a maioria da cobertura noticiosa erra, e importa para avaliar quão seguros estariam os próprios fundos. A criptografia da cold wallet não foi quebrada e os próprios servidores do Bybit não foram violados. Duas investigações forenses independentes, da Sygnia e da Verichains, não encontraram qualquer prova de comprometimento dentro da infraestrutura do Bybit. Os atacantes tinham, em vez disso, comprometido uma máquina de desenvolvimento pertencente ao Safe{Wallet} e usado esse acesso para servir JavaScript malicioso a partir da interface da carteira em app.safe.global. O código era condicional, ativando-se apenas para o alvo específico, pelo que os utilizadores comuns do Safe não viram nada de invulgar. Mostrou uma transação aos signatários do Bybit e submeteu uma diferente, sendo depois removido minutos mais tarde para encobrir os rastos dos atacantes.

Por outras palavras, foi uma falha de assinatura às cegas. Os signatários aprovaram aquilo que o ecrã lhes disse que estavam a aprovar, e o ecrã estava a mentir. Isso é uma fraqueza real e séria, e o Bybit assumiu-a como a parte que assinou. Mas é uma fraqueza diferente de uma custódia de chaves negligente ou de um interno que foge com uma chave privada, e diz coisas diferentes sobre a exchange. Implicou também toda uma prática do setor, e não apenas uma empresa: na altura, muitas instituições grandes assinavam transferências de alto valor da mesma forma.

O roubo foi publicamente atribuído pelo FBI a atores ligados ao estado norte-coreano, o grupo geralmente descrito como Lazarus Group. Os fundos foram rapidamente branqueados através de mixers e pontes entre cadeias. O Bybit lançou um programa de recompensa oferecendo 10% de qualquer valor recuperado, e mais tarde moveu ação civil. A recuperação tem, ainda assim, sido fraca, e a partir de agosto de 2026 a maior parte do dinheiro desapareceu. O contencioso pode congelar ativos que os investigadores conseguem identificar, mas um congelamento não é o mesmo que os fundos regressarem à parte que os perdeu. Presuma, ao ler sobre qualquer grande roubo cripto, que o dinheiro não regressa.

Como o Bybit reagiu, e se os utilizadores foram totalmente reembolsados

Primeiro, os levantamentos nunca pararam. Nas horas seguintes à divulgação pública do roubo, houve uma corrida aos levantamentos, exatamente como seria de esperar. O Bybit processou mais de 350,000 pedidos de levantamento, e reportou ter concluído 99.9% deles dentro de cerca de dez horas. As saídas acumuladas nos dias seguintes chegaram à casa dos milhares de milhões. Formou-se uma fila de espera, e o Bybit disse-o na altura, em vez de a atrasar silenciosamente. O diretor executivo Ben Zhou declarou durante a corrida que cerca de 70% dos pedidos tinham sido resolvidos nas primeiras duas horas, que alguns utilizadores esperariam algumas horas, e que o congestionamento da rede ainda poderia atrasar as transferências. O que não aconteceu é a parte que importa: os levantamentos nunca foram suspensos, não surgiu qualquer janela de manutenção de emergência, e o atraso acumulado foi resolvido dentro de cerca de doze horas. Compare-se isso com o padrão de falha habitual neste setor, em que o botão de levantamento se apaga primeiro e o anúncio chega dias depois.

Segundo, o buraco foi preenchido rapidamente. O Bybit fechou o défice de ETH dentro de cerca de 72 horas, usando uma combinação de compras no mercado aberto, empréstimos-ponte e grandes depósitos de contrapartes, incluindo a Galaxy Digital, a FalconX e a Wintermute. A empresa que gere as suas atestações de provas de reservas, a Hacken, reportou posteriormente que os principais ativos, incluindo BTC, ETH, SOL, USDT e USDC, tinham voltado a estar acima de um rácio de colateralização de 100%.

Terceiro, os clientes não sofreram qualquer corte. Não houve perda socializada, nenhuma recuperação ao estilo ADL aplicada aos saldos de spot, nenhuma conversão de créditos de utilizadores num token de recuperação. A perda foi absorvida no próprio balanço do Bybit, financiada em parte através de endividamento. Esse é um dado significativo, e é o argumento mais forte a favor do Bybit.

Agora a ressalva honesta. Os utilizadores foram totalmente reembolsados porque o Bybit era suficientemente grande para absorver uma perda de $1.4 mil milhões e porque as contrapartes estavam dispostas a emprestar-lhe dinheiro. Isso foi um resultado de capacidade, não uma garantia legal. Não existe qualquer sistema de seguro de depósitos por trás de uma exchange de criptomoedas em nenhuma parte do mundo, e nada nos termos da conta obrigaria alguém a cobrir o utilizador.

Com quem se contrata realmente: o Bybit EU ou a entidade offshore

A entidade com quem se contrata muda completamente a resposta, consoante a morada do utilizador.

"Bybit" não é uma única empresa. Se o utilizador estiver no Espaço Económico Europeu, a entidade com quem contrata é a Bybit EU GmbH, uma empresa sediada em Viena que detém uma autorização de prestador de serviços de criptoativos da Autoridade dos Mercados Financeiros austríaca ao abrigo do MiCA, concedida por decisão datada de 28 de maio de 2025 e passaportada para 29 Estados do EEE. Se o utilizador estiver fora do EEE, está antes a lidar com uma entidade offshore do grupo, e a licença austríaca de nada lhe serve. Qual é essa entidade mudou ao longo dos anos, por isso convém ler o nome nos próprios termos da conta em vez de confiar numa lista. A Bybit Fintech Limited, o nome que aparece nas ações regulatórias mais antigas contra o grupo, não é uma suposição segura. A Comissão de Serviços Financeiros das Ilhas Virgens Britânicas declarou publicamente em 2023 que a empresa, aí constituída em agosto de 2018, tinha sido eliminada do registo das BVI em dezembro de 2021, foi dissolvida em julho de 2023, e nunca tinha sido licenciada no território para serviços financeiros. O banco central holandês ainda referiu essa entidade quando multou o grupo em outubro de 2024, o que é exatamente a razão pela qual vale a pena ler a entidade escrita nos próprios termos da conta. O roubo de fevereiro de 2025 atingiu a operação global do grupo, não a entidade austríaca.

As consequências práticas dessa divisão são grandes. O período transitório do MiCA terminou em 1 de julho de 2026, e em 29 de junho de 2026 o Bybit anunciou que iria restringir progressivamente os residentes do EEE dos serviços na plataforma global e transferi-los para o Bybit EU, que está passaportado para 29 Estados do EEE mas não para Malta. O Bybit disse que os utilizadores afetados receberiam primeiro aviso e prazos, e manteriam acesso aos saldos e posições existentes para os poderem encerrar gradualmente em vez de os terem congelados. O Bybit EU foi lançado com negociação spot, margem spot, produtos Earn e o Bybit Card. Não foi lançado com futuros perpétuos, opções ou o conjunto de derivados alavancados pelo qual o Bybit é mais conhecido. Trazer esses produtos para a Europa é um pedido separado, numa empresa separada: a Bybit X GmbH, uma entidade austríaca distinta da Bybit EU GmbH, apresentou um pedido à FMA austríaca em 5 de setembro de 2025 para uma licença de empresa de investimento ao abrigo da implementação austríaca do MiFID II, o conjunto de regras sob o qual ficam os derivados cripto. A partir de agosto de 2026, essa licença não tinha sido concedida, pelo que os utilizadores europeus não têm acesso a esses produtos.

Se chegou a esta página porque quer o Bybit para derivados ou copy trading, e vive no EEE, é esse o facto que decide a resposta. A questão da segurança torna-se irrelevante, porque o produto pretendido não está disponível através da entidade licenciada. Alguns concorrentes já resolveram isto: a Kraken, por exemplo, detém uma autorização MiCA através do Banco Central da Irlanda, a par de uma autorização MiFID separada via CySEC, o que é o que permite a uma plataforma europeia oferecer derivados legalmente. Essa é uma vantagem genuína face ao Bybit na Europa a partir de agosto de 2026. A Bitvavo é outra opção europeia estabelecida, embora seja uma plataforma de spot e não de derivados.

Os utilizadores fora do EEE têm acesso à gama completa de produtos e, em troca, a proteções mais fracas. Verifique os termos da conta para ver qual entidade está indicada.

Onde o Bybit está regulado, e onde essa palavra faz menos do que parece

As exchanges offshore gostam de listar licenças, e a maioria dessas licenças é mais limitada do que a palavra sugere. Vale a pena separar as que têm significado real das puramente decorativas.

A autorização MiCA austríaca é a real. O MiCA impõe requisitos sobre segregação de ativos de clientes, governação, tratamento de reclamações, responsabilidade de custódia e divulgação, e uma autoridade europeia pode agir contra a empresa. A Bybit EU está autorizada para um subconjunto dos serviços de criptoativos do MiCA, e não para todos, e não cobre derivados, que são instrumentos financeiros e ficam sob o MiFID e não o MiCA. O braço de pagamentos do Bybit, a Bybit Payments GmbH, obteve uma licença de instituição de moeda eletrónica da FMA austríaca ao abrigo do E-Money Act 2010, anunciada em 4 de agosto de 2026, relevante para serviços de cartão e pagamento e não para negociação.

Nos EAU, o Bybit transferiu a sua sede para o Dubai em 2022, detém licenciamento da Virtual Assets Regulatory Authority do Dubai, e em outubro de 2025 obteve uma licença de Virtual Asset Platform Operator da Securities and Commodities Authority dos EAU. São autorizações genuínas numa jurisdição com um regime real para ativos virtuais, mas não criam qualquer sistema de compensação e não ajudarão um utilizador no Brasil ou no Vietname.

O historial regulatório não é imaculado, e convém ponderá-lo. Em 22 de outubro de 2024, o banco central holandês, De Nederlandsche Bank, multou a Bybit Fintech Limited em €2,250,000 por oferecer serviços cripto nos Países Baixos sem o registo legalmente exigido, cobrindo um período até setembro de 2023. Em janeiro de 2025, a Unidade de Informação Financeira da Índia impôs uma penalização de cerca de ₹9.27 crore, aproximadamente $1 milhão, por operar sem registo ao abrigo da lei indiana contra o branqueamento de capitais; o Bybit pagou, registou-se, e retomou o serviço ali mais tarde em 2025. O regulador de mercados francês tinha anteriormente listado o Bybit como prestador não autorizado, e foi removido dessa lista no início de 2025.

O padrão é consistente e vale a pena nomeá-lo claramente: o Bybit tem repetidamente operado primeiro nos mercados e regularizado-se depois, pagando multas quando apanhado. Desde 2024, moveu-se decisivamente em direção ao licenciamento. As duas metades dessa frase são verdadeiras, e quanto peso se dá a cada uma é uma avaliação subjetiva, não um facto.

Provas de reservas: útil, e mais limitada do que parece

O Bybit publica atestações de provas de reservas, verificadas por terceiros, com uma cadência regular, usando uma árvore de Merkle para que cada utilizador possa verificar se o próprio saldo foi incluído na fotografia. Após o ataque, a atestação da Hacken confirmou que os principais ativos tinham voltado a estar acima de 100% de colateralização. Isso é mais transparência do que a maioria das exchanges oferecia antes de 2022, e vale a pena verificar antes de depositar.

Também é rotineiramente sobrevalorizada, por isso aqui fica o que não revela.

Um relatório que mostra uma cobertura de alguns pontos acima de 100% para o BTC é uma afirmação sobre um ativo, num momento, verificada por uma empresa usando dados fornecidos pela própria exchange. É um detetor de fumo útil, não uma garantia nem um seguro.

• É uma fotografia num único momento. Os ativos presentes no dia da atestação podem mover-se no dia seguinte.
• Cobre apenas os ativos incluídos nessa avaliação. Tudo o que estiver fora dos tokens listados não está verificado.
• Não mostra passivos fora do balanço: empréstimos, empréstimos-ponte, exposição a contencioso ou obrigações para com contrapartes. Uma exchange pode estar sobrecolateralizada em tokens e ainda assim estar em apuros.
• Nada diz sobre a exposição a derivados, perdas não realizadas nas próprias posições da plataforma, ou risco operacional.

O fundo de seguro não segura o utilizador

Este é o item mais consistentemente mal compreendido em qualquer exchange de derivados, e a culpa é inteiramente do nome. O Bybit mantém um fundo de seguro para os seus contratos de futuros. Muitas pessoas interpretam isso como proteção para o seu dinheiro. Não é.

O fundo existe para absorver capital próprio negativo. Quando uma posição alavancada é liquidada a um preço pior do que o seu preço de falência, a perda excede a margem depositada pelo trader e alguém tem de cobrir a diferença para que a contraparte vencedora seja paga na totalidade. Esse é o papel do fundo. É financiado por contribuições do Bybit mais o excedente das liquidações que fecham a um preço melhor do que o de falência, e o Bybit acrescentou reservas segmentadas para contratos recém-listados e carteiras correlacionadas, para aumentar a capacidade de absorção de perdas.

Releia esse mecanismo do próprio ponto de vista do utilizador. Quando o fundo de seguro se torna relevante para a posição do utilizador, a sua margem já desapareceu. O fundo protege a integridade de liquidação da plataforma e o trader do outro lado. Não reembolsa o utilizador, não limita as suas perdas, e não tem qualquer relação com o seu saldo de spot ou com um incidente de segurança como o roubo de fevereiro de 2025.

Por trás do fundo de seguro está o auto deleveraging. Se as perdas de liquidação em condições extremas excederem o que o fundo consegue cobrir, o sistema ADL do Bybit fecha à força posições em lucro do lado oposto, começando pelas mais alavancadas. Se o utilizador estiver do lado certo de um movimento violento, o ADL pode encerrar a sua operação vencedora ao preço do sistema e não ao seu. As reservas segmentadas do Bybit foram concebidas para tornar isso mais raro, mas continua a ser um risco real num mercado rápido.

O resumo simples: nenhum fundo de seguro de nenhuma exchange de criptomoedas, no Bybit ou em qualquer outro lado, é seguro de depósitos. Não existe equivalente à garantia de depósitos bancários de €100,000 da UE nem ao FSCS britânico para criptomoedas detidas numa exchange.

Alavancagem e liquidação, ditas sem rodeios

Na plataforma global, o Bybit oferece até 100x de alavancagem nos seus contratos perpétuos mais líquidos, como BTC e ETH, com o máximo a descer em pares menores e a reduzir-se ainda mais à medida que o tamanho da posição sobe pelos níveis de limite de risco. As posições são mantidas numa Unified Trading Account que pode funcionar com margem isolada, cruzada ou de carteira, e a liquidação é acionada pelo preço mark e não pelo último preço negociado, o que impede que uma única cotação fina force o encerramento da posição.

Nada dessa engenharia muda a aritmética. Com 100x de alavancagem, um movimento de 1% contra a posição esgota a margem por trás dela. O modo de margem em que se está determina depois quanto mais fica exposto. Sob margem isolada, a perda fica limitada à margem atribuída a essa posição. Sob margem cruzada ou de carteira não fica, e uma única operação má pode levar consigo o resto do saldo dessa conta, pelo que estes produtos podem fazer perder mais do que o valor conscientemente decidido a arriscar. A liquidação não é um aviso, é a posição a ser fechada, e em mercados rápidos o slippage entre o gatilho e a execução real significa que se pode perder toda a margem numa operação que se teria recuperado minutos depois. As taxas de funding nos perpétuos cobram continuamente apenas por manter uma posição.

A alavancagem elevada não torna, por si só, uma exchange insegura, e não é uma armadilha escondida. É simplesmente a forma mais comum de as pessoas perderem dinheiro em plataformas como esta, muito mais comum do que ser pirateado. Qualquer resposta honesta a "o Bybit é seguro" tem de colocar isso em perspetiva: estatisticamente, os produtos alavancados são uma ameaça muito maior para o saldo do utilizador do que a segurança da exchange que o detém. Negociar derivados cripto coloca o capital do utilizador em risco. Esta página não é aconselhamento de investimento e não pode dizer se algum produto é adequado para o utilizador.

Levantamentos, retenções de conformidade e contas congeladas

O historial de levantamentos do Bybit durante a sua pior semana foi excelente, e isso merece peso. No dia a dia, os levantamentos são geralmente rápidos, com processamento on-chain tipicamente dentro de uma hora, assim que as verificações de segurança são concluídas.

A queixa recorrente contra o Bybit não são pagamentos lentos, mas congelamentos por conformidade. Pesquise em qualquer plataforma de avaliações e encontrará utilizadores a descrever contas restringidas sem aviso, fundos inacessíveis durante uma revisão de conformidade, sem motivo indicado, sem data de fim indicada, e pedidos de apoio que avançam lentamente. Alguns destes seguem-se a depósitos rastreados até fontes sancionadas ou de alto risco. O Reino Unido designou a exchange HTX sob sanções em 26 de maio de 2026, e desde então os utilizadores têm reportado retenções em transferências ligadas a ela, incluindo utilizadores que não tinham feito nada conscientemente errado.

Há duas coisas a dizer honestamente sobre essas evidências. As amostras de queixas são autosselecionadas, porque ninguém escreve uma avaliação para reportar que o seu levantamento funcionou. E as retenções de conformidade acontecem em todas as plataformas com KYC do mundo, já que são uma obrigação legal e não uma preferência comercial. O que é justo criticar é a opacidade.

Tenha também cuidado com quem lhe dá conselhos nesta matéria. Existe uma pequena indústria de empresas de "recuperação de fundos" que se promove exatamente com base nestas queixas, e que tem interesse comercial em fazer parecer que os congelamentos de exchanges são universais e reversíveis mediante pagamento. Trate essas fontes como publicidade.

• Mantenha na exchange apenas o que está ativamente a usar, e transfira as reservas de longo prazo para uma carteira controlada pelo próprio utilizador. Nada do que se detém numa exchange está seguro, o que é a lição de fevereiro de 2025 repetida.
• Ative a autenticação de dois fatores com uma aplicação autenticadora em vez de SMS, defina uma lista branca de endereços de levantamento, e use um código antiphishing para reconhecer emails genuínos.
• Conclua totalmente a verificação antes de depositar qualquer valor significativo, para que uma lacuna de KYC não possa bloquear fundos mais tarde.
• Evite receber depósitos de contrapartes desconhecidas, operações peer to peer com estranhos ou fundos de origem pouco clara, que é o gatilho mais comum para uma retenção de conformidade.

KYC e restrições por país

A era da não verificação do Bybit terminou. A verificação de identidade de, pelo menos, nível padrão é agora obrigatória em todos os produtos e serviços do Bybit, e uma conta não verificada não consegue negociar, depositar ou levantar de forma significativa. A verificação padrão significa tipicamente um documento de identificação oficial mais uma verificação de vivacidade, e é concluída dentro de um dia nos casos simples. Níveis de verificação mais elevados aumentam os limites de levantamento e, para a entidade do EEE, são simplesmente um requisito legal.

A cobertura por país muda frequentemente, por isso verifique na página de registo em vez de confiar em qualquer lista lida online, incluindo esta. Como panorama geral em 2026: o Bybit não serve os Estados Unidos, e está indisponível ou restrito na China continental, em Singapura e no Canadá, entre outros. O Reino Unido é um caso diferente e é frequentemente reportado de forma desatualizada. O Bybit regressou ao Reino Unido em 19 de dezembro de 2025, após uma ausência de dois anos, através de um acordo com a Archax, uma empresa autorizada pela FCA que aprova e supervisiona as suas promoções financeiras. Isso não é um registo da FCA para o próprio Bybit. Os utilizadores do Reino Unido têm negociação spot em mais de 100 pares, além de negociação peer to peer, e nenhum produto de derivados ou alavancado. Os residentes do EEE são servidos pela Bybit EU e não pela plataforma global. Usar uma VPN para contornar uma restrição de país é uma boa forma de ver a conta congelada no momento em que se tenta levantar fundos, e os termos permitem exatamente isso.

Registar-se através de um link ou código de referência não muda nada do que foi dito acima. Uma recompensa de registo é um custo de marketing, não uma característica de segurança, e não compensa o risco de custódia, o risco de liquidação ou a possibilidade de uma restrição de conta. A recompensa padrão do Bybit é uma pequena quantia em Bitcoin para ambos os lados, assim que as condições de qualificação são cumpridas, e essas condições mudam regularmente. Avalie primeiro a exchange.

Então, o Bybit é seguro? Uma resposta calibrada

A pergunta genuinamente interessante é se uma exchange que foi violada e reembolsou totalmente os seus utilizadores é mais segura ou mais arriscada do que uma que nunca foi posta à prova. Não há uma resposta clara, mas há uma defensável.

O que o incidente provou, e provou-o de facto, é que o Bybit tinha o capital, as linhas de crédito e a disciplina operacional para absorver o maior roubo da história das exchanges sem tocar nos saldos dos clientes nem suspender alguma vez os levantamentos. Muito poucas exchanges conseguiriam ter feito isso, e a maioria das que falharam em 2022 interrompeu os levantamentos muito antes de perdas dessa dimensão.

O que o incidente também provou é que uma transferência de $1.4 mil milhões foi autorizada por seres humanos a olhar para um ecrã que um portátil comprometido de terceiros podia manipular, e que o dinheiro está essencialmente perdido. Sobreviver a uma perda não é o mesmo que ser improvável sofrer uma. A resposta do setor, afastando-se da assinatura às cegas em direção à verificação independente de transações, à confirmação em hardware dos detalhes das transferências, à custódia baseada em MPC e à liquidação fora da exchange, é um progresso genuíno, mas é um progresso que todo o setor está a fazer, e não um fosso que uma única exchange construiu.

Assim, a posição calibrada é esta: o Bybit é hoje uma escolha razoável entre as grandes exchanges offshore, com uma transparência acima da média, uma disposição comprovada para absorver uma perda em vez de a repassar, e uma licença europeia real para utilizadores do EEE. Não é um local seguro para guardar poupanças, porque nenhuma exchange o é, e os riscos de custódia, de contraparte e de congelamento por conformidade são todos reais e nenhum deles está seguro.

A resposta prática depende de quem é o utilizador. Se for residente do EEE e quiser negociação spot, a Bybit EU é uma opção regulada legítima sob as mesmas regras MiCA que os seus concorrentes licenciados, por isso compare comissões e cobertura de ativos em vez de se atormentar com o ataque. Se veio à procura de perpétuos ou copy trading e vive no EEE, o Bybit não o consegue atualmente servir, e uma plataforma que detenha permissões tanto de MiCA como de MiFID é o sítio mais útil para procurar. Se estiver fora do EEE e quiser derivados alavancados, o Bybit é uma das plataformas mais líquidas e profundas disponíveis, e está a aceitar risco de contraparte offshore sem qualquer regulador por trás. Em qualquer dos casos, mantenha na exchange apenas o saldo que a sua negociação realmente exige.

Perguntas frequentes