#11433 min
FRAUDFORWARD
#32Assalto de Bitcoin na Bitfinex: Lições para Equipes de Fraude
17 min
.E aí, combatentes de fraude, sejam bem-vindos ao Fraud Forward!
Certo, hoje vou bancar um pouco o nerd, porque o assalto de Bitcoin da Bitfinex é um daqueles casos que vivem na minha cabeça de fraude sem pagar aluguel. Não porque seja chamativo, mas porque é um estudo de caso tão claro de roubo de ativos digitais sobre o que acontece quando tecnologia, governança e comportamento humano se alinham da pior maneira possível.
Este episódio é inspirado no documentário “Biggest Heist Ever”, e eu vou guiá-lo pelo que aconteceu, como aconteceu e o que quero que as equipes de fraude aprendam com isso agora. Porque, independentemente de a sua instituição operar ou não uma corretora de criptomoedas, a exposição a ativos digitais está entrando no mainstream por meio de parcerias, fluxos de pagamento e atividade dos clientes. Eu não preciso que você entre em pânico, eu preciso que você esteja preparado.
Vamos recapitular por um momento. As pessoas adoram dizer que “a blockchain é transparente”, como se transparência fosse sinônimo de segurança. Não é. A transparência da blockchain pode ajudar na rastreabilidade de transações em blockchain e em análises forenses em blockchain, mas ela não impede que uma chave privada seja comprometida em primeiro lugar. Ela não elimina vulnerabilidades na custódia de criptoativos. Ela não corrige automaticamente falhas de controle em cripto. A prevenção ainda depende de controles, monitoramento e governança.
Então aqui está o que eu destrincho neste episódio. O assalto de Bitcoin à Bitfinex é frequentemente resumido como uma violação em uma corretora de criptomoedas, mas a história mais profunda está no ponto em que os controles técnicos e a exploração do comportamento humano em fraudes se cruzam. Ilya Lichtenstein e Heather Morgan exploraram fragilidades nos controles da corretora, e o que importa não é apenas que “havia uma vulnerabilidade”, e sim todo o ambiente que permitiu que essa exploração ganhasse escala e persistisse.
Controles de carteiras com múltiplas assinaturas existiam. Estruturas de segurança existiam. E, mesmo assim, grandes roubos de criptomoedas ainda aconteceram. Isso deveria levar todo líder de prevenção a fraudes a perguntar: “Se o controle existe, mas o resultado ainda falha, o que exatamente está quebrado?” Às vezes é a configuração. Às vezes é o desenho de acesso. Às vezes são lacunas de monitoramento. E às vezes é a forma como as pessoas presumem que um controle faz mais do que realmente faz.
Também falamos sobre como os fundos roubados foram movimentados. A lavagem de criptomoedas de alto valor não é uma linha reta. Ela é paciente. Ela é feita em camadas. Ela cruza fronteiras. Ela usa carteiras, mixers e táticas de fragmentação que obrigam os investigadores a conduzir investigações transnacionais de cripto que podem levar anos. E sim, a história inclui insights sobre a persecução de crimes cibernéticos e esforços de recuperação de ativos digitais que mostram como persistência, rastreamento e coordenação podem valer a pena.
Mas, combatentes da fraude, quero que continuemos focados na prevenção, porque a preparação da equipe de fraude para cripto não é apenas saber como os criminosos lavam dinheiro. Trata-se de garantir que o seu programa consiga identificar o que importa logo no início.
Isso significa governança de risco em cripto. Significa monitoramento de AML em cripto que seja compatível com a realidade dos ativos digitais. Significa reconhecer lacunas no monitoramento de transações em cripto antes que os prejuízos as exponham. Significa definir caminhos de escalonamento para transferências de alto valor e ser honesto sobre o risco interno em corretoras de cripto e o risco de credenciais, porque o acesso é o jogo todo.
Se a sua instituição lida com ativos digitais de qualquer forma, este episódio é o meu guia “pegue uma caneta” sobre os controles e as perguntas que você deveria estar fazendo.
O que você vai ouvir neste episódio:
- Como o assalto de Bitcoin à Bitfinex aconteceu e por que ainda é importante
- Onde as narrativas sobre violações em corretoras de criptomoedas deixam de lado a questão mais ampla de controles
- Como a violação de chaves privadas e as vulnerabilidades na custódia de criptomoedas podem contornar proteções presumidas
- O que os controles de carteiras multisig fazem bem e onde ainda podem falhar
- Como funciona a lavagem de criptomoedas de alto valor e por que ela complica a detecção
- Como o rastreamento de transações em blockchain e a análise forense em blockchain apoiaram os esforços de recuperação de ativos digitais
- O que as investigações de processos por crimes cibernéticos e as investigações transfronteiriças de criptomoedas revelam sobre a resposta de longo prazo
- Lições práticas de conformidade em cripto e aprendizados sobre governança de riscos em cripto para as equipes de fraude de hoje
Você deve ouvir este episódio se você:
- Lidera programas de fraude ou de AML e tem exposição a ativos digitais por meio de clientes ou parcerias
- Estão avaliando plataformas de criptomoedas ou relacionamentos com exchanges e precisam que a equipe de fraude esteja preparada para lidar com cripto
- Deseja avaliar lacunas no monitoramento de transações em criptomoedas e fortalecer o monitoramento de AML em cripto
- Precisam entender as falhas nos controles de cripto e as vulnerabilidades na custódia de cripto antes que se transformem em perdas
- Estão desenvolvendo padrões de governança de risco em cripto e querem um ponto de referência baseado em casos reais
Se você gostou deste episódio, não deixe de assinar e avaliar o podcast no iTunes, Spotify, YouTube ou em qualquer plataforma onde você ouça podcasts. Isso ajuda muito a divulgar o programa.
Notas do episódio e principais aprendizados
O roubo de Bitcoin da Bitfinex foi mais do que uma violação técnica
Deixe-me apenas assegurar que o assalto de Bitcoin da Bitfinex não é “apenas um hack”.
Sim, é uma história de violação em uma corretora de criptomoedas, mas a lição mais profunda é sobre governança. Controles de carteira com múltiplas assinaturas estavam em vigor e, mesmo assim, a violação de chaves privadas e fragilidades no desenho dos controles ainda criaram espaço para exploração.
Eis o que quero que as equipes de fraude aprendam com isso:
- As vulnerabilidades na custódia de criptomoedas escalam rapidamente quando o acesso e a supervisão estão desalinhados
- Pequenas falhas de controle podem se transformar em grandes roubos de criptomoedas em poucas horas
- Falhas nos controles de criptomoedas geralmente resultam de uma combinação de configuração técnica e falha em processos humanos
- O risco interno em corretoras de criptomoedas e o risco de credenciais devem ser tratados como ameaças primárias, não como notas de rodapé
Uma arquitetura robusta deve ser acompanhada de monitoramento e revisão disciplinados.
A visibilidade em blockchain não substitui os controles preventivos
Agora vamos falar sobre o mito.
O rastreamento de transações em blockchain e a análise forense em blockchain são ferramentas poderosas para investigação e recuperação, e desempenharam um papel nos esforços de recuperação de ativos digitais. Mas a transparência da blockchain não impediu o roubo de Bitcoin da Bitfinex.
A prevenção exige:
- Governança sólida de custódia e disciplina de acesso para reduzir o comprometimento de chaves privadas
- Monitoramento de AML em cripto combinado com detecção precoce de anomalias
- Caminhos de escalonamento claros para transferências de alto valor, para que atrasos não se tornem prejuízos
- Revisão proativa de indicadores de lavagem de criptomoedas de alto valor antes que a atividade se espalhe
Se a sua estratégia é “vamos rastrear depois”, você já está em um cenário de perda.
O comportamento humano e a supervisão são importantes
Esta é a parte que as pessoas não gostam de admitir.
A tecnologia não agiu sozinha. A fraude que explora o comportamento humano inclui complacência, suposições e respostas tardias. Quando as equipes acreditam que os controles são infalíveis, elas deixam de fazer perguntas difíceis.
O que eu quero que os programas coloquem em prática:
- Revisão regular dos privilégios de acesso e de como eles são concedidos
- Forte segregação de funções vinculadas a atividades críticas de custódia
- Monitoramento que detecta anomalias no uso de privilégios, não apenas no tamanho das transações
- Escalonamento que é ensaiado, não inventado no momento
A prontidão da equipe de fraude em relação a cripto depende tanto da cultura quanto da configuração.
Aplicando as lições além das trocas
A maioria dos bancos e cooperativas de crédito não está operando corretoras, mas a exposição a ativos digitais não é mais isolada.
Parcerias, fluxos de pagamento e atividade dos clientes aumentam a interação com os ecossistemas de criptoativos. O roubo de Bitcoin da Bitfinex é um estudo de caso prático de furto de ativos digitais que ajuda as instituições a avaliar:
- Lacunas no monitoramento de transações em criptomoedas
- Lições de conformidade em cripto relacionadas à governança e à escalada
- Expectativas de governança de risco em cripto para movimentações de alto valor
- Preparação para investigações de criptomoedas transfronteiriças quando os casos se expandem
A lição não é alarmista. É construtiva. Controles rigorosos, supervisão cuidadosa e monitoramento disciplinado fazem uma diferença significativa.
A evolução do Banking on Fraudology
A missão continua a mesma:
- Elevar a educação em prevenção a fraudes.
- Fortalecer a liderança da comunidade bancária.
- Apoiar operadores reais em bancos comunitários e cooperativas de crédito.
- Crie estruturas duradouras para o desenvolvimento de comunidades de combate à fraude.
- Promover uma liderança de pensamento em prevenção de fraudes que seja sólida e realista, não baseada em exageros.
O futuro da prevenção de fraudes bancárias depende da comunidade.
O futuro da prevenção de fraudes em cooperativas de crédito depende da colaboração.
O futuro da evolução do setor de prevenção a fraudes depende de inteligência compartilhada e alinhamento de valores.
Estamos subindo de nível.
E estamos fazendo isso juntos.
Mantenha-se vigilante, bem informado e continue impulsionando o combate à fraude.
