Golpistas criaram uma conta Upbit L2 falsa e roubaram US$ 2 milhões em ETH.

Antes, os golpistas de criptomoedas se contentavam com um site clonado ou um token falsificado. Desta vez, alguém construiu um blockchain inteiro.

Durante o fim de semana, uma versão falsificada da GIWA, a camada 2 do Ethereum que a Dunamu, operadora da Upbit, está construindo, atraiu cerca de 767 ETH de 1.335 endereços. Em seguida, a ponte foi esvaziada. Aproximadamente 766 ETH, cerca de US$ 2 milhões aos preços atuais, saíram em uma única transação.

A verdadeira rede principal da GIWA não existe. A própria documentação da Dunamu lista apenas uma rede de testes Sepolia, e a GIWA afirmou no X que nenhum RPC de produção foi lançado. Todos que fizeram a ponte de ETH real estavam enviando para uma rede que não é da Upbit, não executa o código da Upbit e nunca executará.

Como uma rede falsa conseguiu depósitos reais

A rede falsa não era uma página inicial com um botão "conectar carteira". Ela possuía um endpoint RPC, uma ponte funcional, um processador em lote e infraestrutura no estilo OP Stack. Os usuários podiam se conectar por meio dessa ponte, e a Gokhshtein Media relata que a rede chegou a exibir compras, vendas e lançamentos de tokens, dando a impressão de estar bastante ativa.

Também utilizou o Chain ID 9134, o identificador vinculado ao lançamento planejado do GIWA. Esse detalhe foi fundamental. Um Chain ID informa a uma carteira com qual rede ela está se comunicando, mas não revela quem controla o RPC ou a ponte por trás dele, como apontado pela CryptoSlate em sua cobertura.

A Stablemark, empresa de análise on-chain, rastreou a configuração. Carteiras vinculadas à operação foram financiadas através da ChangeHero em 26 de setembro. Cerca de 11 horas depois, a carteira Safe, que controlava o esquema, e a ponte falsa entraram em operação. Nas 13 horas seguintes, os depósitos continuaram: 1.333 carteiras e 767 ETH, segundo a contagem da Stablemark.

Então, os operadores trocaram o código do portal da ponte e sacaram 766 ETH de uma só vez. Ninguém explorou uma falha. Os golpistas eram donos do contrato, então o alteraram.

Os fundos roubados já estão sendo movimentados. A Stablemark informou que 177 ETH passaram pela Tornado Cash, enquanto os outros 589 ETH estavam distribuídos em quatro carteiras diferentes no momento da atualização. Isso totaliza os 766 ETH, e a maior parte desse valor ainda está visível na blockchain.

O DEX que o confirmou

E aqui está a parte que dói. A blockchain falsa não se espalhou sozinha. A DYORSWAP, uma DEX multichain, inicialmente a tratou como a rede principal GIWA verdadeira e adicionou suporte, e foi assim que tantos usuários acabaram fazendo a ponte.

A DYORSWAP afirmou posteriormente que a blockchain era fraudulenta e que o ID correto da blockchain a havia feito parecer legítima durante a primeira verificação. Também afirmou que seus próprios contratos inteligentes não foram comprometidos e que sinalizou mensagens e indivíduos suspeitos na comunidade relacionada. Seu aviso aos usuários foi direto: não utilizem nenhum RPC, ponte ou contrato não oficial da GIWA.

Os usuários não foram nada gentis com a listagem inicial. Muitos argumentaram que o endosso da DEX foi exatamente o que fez a ponte parecer segura.

Os relatórios de reembolso ainda não estão totalmente alinhados. A CryptoSlate afirma que a DYORSWAP pagará 40% do valor transferido para carteiras que enviaram menos de 5 ETH, com solicitações maiores sendo tratadas separadamente e exigindo verificação de identidade e endereço, pois algumas carteiras grandes podem estar ligadas a phishing ou outras fraudes. A Gokhshtein Media relata que a DYORSWAP já distribuiu mais de 200 ETH de seu próprio tesouro. De qualquer forma, o pagamento representa uma fração dos 766 ETH que desapareceram.

Por que a GIWA era a isca perfeita

A escolha do momento não foi aleatória. A Dunamu e a Optimism Foundation anunciaram em maio que a GIWA seria a primeira blockchain empresarial OP autogerenciada, com a Upbit mantendo o controle operacional e a Optimism fornecendo a infraestrutura de backup. A Dunamu opera a testnet Sepolia desde setembro de 2025 e, em abril, firmou parceria com a Hana Financial e a POSCO International para testar um sistema de remessas internacionais na GIWA Chain.

A GIWA também não possui um token nativo próprio. O ETH é o ativo base. Portanto, "fazer a ponte entre ETH e a nova blockchain da Upbit" parece perfeitamente normal, e nada na solicitação parece suspeito. Não há token para verificar, nem airdrop para questionar.

O jornal coreano Seoul Economic Daily enfatizou que não se tratava de um ataque hacker à própria GIWA. Isso é verdade, e também um tanto irrelevante para as pessoas que perderam dinheiro.

O que ainda está aberto

A DYORSWAP afirma estar rastreando o responsável pela implantação da ponte, o financiamento inicial, as carteiras de teste e os destinatários finais. Também está preservando os registros RPC e as mensagens da comunidade. Os 589 ETH alocados em quatro carteiras são o valor a ser observado. Se esse montante for transferido para um mixer ou exchange, a janela para um congelamento se torna muito menor.

A lição para os usuários é tediosa e lamentável: um ID de blockchain é apenas um rótulo. Se a rede não consta na documentação oficial do projeto, ela ainda não existe, independentemente do número de pessoas que estejam negociando nela.