A resposta honesta: a Bybit sofreu o maior roubo da história das corretoras — US$ 1,46 bilhão em 21 de fevereiro de 2025 — e, ainda assim, processou 99,994% de mais de 350 mil pedidos de saque em dez horas e fechou o rombo em 72 horas. Os dois fatos estão na linha do tempo publicada pela própria corretora. Isso não faz dela “segura”, nem faz dela “golpe”: faz dela um caso raro em que dá para observar como uma empresa se comporta no pior dia da sua história. Abaixo estão os números oficiais, uma checagem que fizemos na API pública dela e o que muda para brasileiros com o novo marco do Banco Central. Não somos analistas registrados na CVM e nada aqui é recomendação de investimento.
Bybit é confiável? A resposta em uma frase
Existe uma diferença enorme entre “nunca foi atacada” e “foi atacada e honrou os saques”. A primeira frase é uma promessa que ninguém pode manter; a segunda é um fato observável. Com a Bybit, a segunda é documentada minuto a minuto — e é isso que dá para avaliar.
O que a análise honesta separa:
- Solvência sob estresse: demonstrada em fevereiro de 2025, com saques pagos e reservas recompostas.
- Segurança técnica: falhou — mesmo que a falha tenha sido em uma ferramenta de terceiros, o dinheiro estava sob custódia da corretora.
- Proteção legal do seu saldo: inexistente, como em qualquer corretora de cripto. Não há FGC para criptoativos.
O maior roubo da história: a linha do tempo oficial
Os números abaixo são os que a própria Bybit publicou na página de linha do tempo do incidente, consultada por nós em 02/09/2026:
| Ativo | Quantidade | Valor informado |
|---|---|---|
| ETH | 401.347 | US$ 1,12 bilhão |
| stETH | 90.375 | US$ 253,16 milhões |
| cmETH | 15.000 | US$ 44,13 milhões |
| mETH | 8.000 | US$ 23 milhões |
| Total | — | US$ 1,46 bilhão |
Arraste a tabela para o lado para ver todas as colunas.
Como o ataque aconteceu
Segundo a corretora, às 13h30 UTC ela fazia uma transferência de rotina de uma carteira fria multiassinatura de Ethereum para uma carteira quente. Às 14h13 UTC, os atacantes exploraram a interface do Safe multisig por meio de um ataque de phishing, mascarando a transação e alterando a lógica do contrato inteligente da carteira fria. Com isso, moveram os fundos e os dividiram entre 39 endereços.
Ainda segundo a página oficial, apenas uma carteira fria foi comprometida e as demais permaneceram intactas. A atribuição ao grupo norte-coreano Lazarus foi apresentada pelo investigador on-chain ZachXBT no mesmo dia, às 19h09 UTC, e consta da própria linha do tempo da Bybit.
As 72 horas seguintes: saques, empréstimos-ponte e prova de reservas
| Momento (UTC) | O que a corretora informou |
|---|---|
| 21/02, 15h44 | CEO afirma publicamente que a empresa é solvente e que os ativos de clientes estão lastreados 1:1 |
| 22/02, 00h54 | 99,994% de mais de 350 mil pedidos de saque processados em dez horas |
| 22/02, 02h51 | Todos os saques processados; operação normalizada em menos de 12 horas |
| 22/02, 15h32 | Programa de recompensa de recuperação, com 10% dos fundos roubados |
| 23/02, 15h41 | US$ 42,89 milhões dos fundos desviados congelados com apoio de parceiros do setor |
| 24/02, 02h35 | US$ 1,23 bilhão em ETH recebidos via empréstimos-ponte, depósitos de grandes clientes e compras de balcão |
| 24/02, 09h12 | Relatório de prova de reservas da Hacken indica lacuna de ETH fechada em 72 horas e ativos principais acima de 100% de colateral |
Arraste a tabela para o lado para ver todas as colunas.
Fonte: página oficial de linha do tempo do incidente publicada pela Bybit, consultada em 02/09/2026. Os relatórios de prova de reservas são produzidos por empresa contratada, o que é diferente de auditoria independente exigida por regulador.
A causa raiz não estava na Bybit — e por que isso não te isenta
Em 26/02/2025 a corretora divulgou relatórios preliminares produzidos pela Sygnia Labs e pela Verichains, ambos apontando que a origem do ataque foi código JavaScript malicioso na plataforma Safe{Wallet}, sem vulnerabilidade identificada na infraestrutura da própria Bybit. A Safe, por sua vez, informou que seu código-fonte não foi comprometido e que nenhum outro endereço foi afetado, tendo pausado temporariamente a funcionalidade da carteira para revisão.
A leitura que interessa a quem tem dinheiro lá
Do ponto de vista do usuário, essa distinção é quase irrelevante. Você não contratou o Safe: você entregou o dinheiro à corretora. Risco de fornecedor é risco da empresa que escolheu o fornecedor. O aprendizado prático não é “a Bybit é inocente”, é: mesmo carteiras frias e multiassinatura falham quando a interface que autoriza a transação é comprometida — inclusive na sua própria carteira pessoal, se você assinar sem conferir o que está assinando.
A Bybit funciona no Brasil? O que dá para confirmar
Em vez de repetir texto de assessoria, medimos. O endpoint público de instrumentos não exige cadastro nem chave, e você pode repetir a consulta:
curl -s "https://api.bybit.com/v5/market/instruments-info?category=spot&limit=1000"
| Corretora | Pares à vista listados | Pares com BRL | Quais são |
|---|---|---|---|
| Bybit | 541 | 5 | BTC, ETH, SOL, USDT e USDC contra BRL |
| OKX (comparação) | 1.387 | 11 | BTC, ETH, SOL, XRP, USDT, USDC, USDG, PEPE, PI, TRUMP e BRL1 |
Arraste a tabela para o lado para ver todas as colunas.
Contagem feita por nós nas APIs públicas das duas corretoras em 02/09/2026.
Além disso, a página oficial de compra em um clique da Bybit em português apresenta a rota BTC contra BRL e traz, no menu, as opções de P2P e de depósito em moeda fiduciária. O que não conseguimos confirmar em página pública, sem login, é o detalhamento do depósito por PIX — diferentemente da OKX, que descreve o fluxo em sua central de ajuda aberta. Registramos isso como limitação da nossa verificação, não como afirmação de que o PIX não existe.
O prazo do Banco Central que vence em 30/10/2026
Em 10/11/2025 o Banco Central publicou as Resoluções BCB 519, 520 e 521, regulamentando a Lei 14.478/2022. O calendário público:
| Data | O que acontece |
|---|---|
| 02/02/2026 | As regras entram em vigor |
| 04/05/2026 | Operações com stablecoins referenciadas em moeda passam a integrar o mercado de câmbio |
| 30/10/2026 | Prazo final para as empresas já em operação protocolarem o pedido de autorização |
Arraste a tabela para o lado para ver todas as colunas.
Resumo dos normativos publicados pelo Banco Central em 10/11/2025; texto integral no portal de normativos do BC. Verificado em 02/09/2026.
Entre as exigências estão constituição de empresa no Brasil, capital mínimo compatível com as atividades e segregação patrimonial entre recursos do cliente e da instituição. Não existe, até 02/09/2026, lista pública consolidada de autorizadas — então estar sem autorização hoje não é irregularidade. A pergunta útil para fazer ao suporte de qualquer corretora agora é se o pedido já foi protocolado.
Os riscos que continuam
Não existe garantia legal para o seu saldo
Nenhuma corretora de cripto no Brasil tem Fundo Garantidor de Créditos. O episódio de 2025 mostrou uma empresa capaz de absorver US$ 1,46 bilhão de prejuízo — mas isso foi uma demonstração de capacidade financeira naquele momento, não uma garantia contratual para o próximo. Para valores parados, avalie se uma carteira fria faz sentido para você.
Código de indicação tem prazo — e dois sistemas diferentes
Na Bybit convivem dois mecanismos, e confundi-los custa dinheiro: o código de indicação comum só pode ser informado no cadastro e não pode ser adicionado depois; já o código de afiliado oficial pode ser vinculado em até 14 dias após a criação da conta, desde que seja conta principal e nunca tenha tido vínculo anterior. O passo a passo está em como criar conta na Bybit no Brasil.
Saque pode parar para análise
Programas de prevenção à lavagem de dinheiro retêm operações atípicas, e isso costuma acontecer no pior momento. Complete a verificação de identidade antes de precisar sacar, mantenha a mesma conta bancária no seu CPF e teste o caminho de saída com valor pequeno — o roteiro está em como sacar cripto em reais via PIX.
Transparência: nossa relação com a Bybit
Nosso código de indicação da Bybit é MOON8, adicionado em 29/08/2026. Se você se cadastrar por ele, a corretora pode nos pagar comissão, sem custo adicional para você. O desconto exato concedido pelo código aparece na própria tela de cadastro — não publicamos porcentagem que não conseguimos verificar de forma independente.
Nossa política completa está em política de afiliados. A regra é a mesma para todas as corretoras: fato negativo verificável entra no texto, mesmo quando atrapalha a conversão.
Se você decidir abrir conta, use sempre o endereço oficial — o nosso link de cadastro com o código MOON8 é partner.bybit.com/b/MOON8 (link de afiliado) — e confira a barra do navegador antes de digitar qualquer dado — páginas clonadas com nomes parecidos são o golpe mais comum do setor, como mostramos em golpes com criptomoedas no Brasil.
Perguntas frequentes
A Bybit é confiável depois do roubo de 2025?
O ataque de 21/02/2025 levou US$ 1,46 bilhão de uma carteira fria de Ethereum, segundo a própria corretora. Ainda assim, ela informou ter processado 99,994% de mais de 350 mil pedidos de saque em dez horas e ter fechado a lacuna de ETH em 72 horas, com relatório de prova de reservas indicando ativos principais acima de 100% de colateral. É um histórico de resiliência comprovado sob estresse, não uma garantia de que não ocorrerá outro ataque.
Os clientes perderam dinheiro no ataque à Bybit?
Pela linha do tempo oficial, os saques não foram suspensos e foram integralmente processados em menos de 12 horas, com a corretora afirmando que os ativos de clientes estavam lastreados 1:1. O prejuízo foi absorvido pela empresa, com apoio de empréstimos-ponte e parceiros do setor.
De quem foi a culpa pelo ataque?
Relatórios preliminares divulgados pela corretora em 26/02/2025, produzidos pela Sygnia Labs e pela Verichains, apontaram código JavaScript malicioso na plataforma Safe{Wallet} como origem, sem vulnerabilidade identificada na infraestrutura da Bybit. Do ponto de vista do usuário, porém, o risco de fornecedor continua sendo risco da empresa que guarda o seu dinheiro.
A Bybit tem par direto em reais?
Tem cinco: BTC, ETH, SOL, USDT e USDC contra BRL, entre 541 pares à vista listados, conforme consulta que fizemos à API pública em 02/09/2026. Para efeito de comparação, a OKX apresentava 11 pares com BRL no mesmo dia. Fora desses pares, é necessária uma conversão intermediária.
A Bybit é autorizada pelo Banco Central do Brasil?
O regime de autorização entrou em vigor em 02/02/2026 e as empresas já em operação têm até 30/10/2026 para protocolar o pedido, podendo continuar operando durante a análise. Como não há lista pública consolidada de autorizadas até 02/09/2026, a ausência de autorização neste momento não indica irregularidade. Pergunte ao suporte se o pedido foi protocolado e guarde a resposta por escrito.
Posso adicionar o código de indicação depois de criar a conta na Bybit?
Código de indicação comum, não: ele só pode ser informado durante o cadastro. A exceção é o código de afiliado oficial, que pode ser vinculado em até 14 dias após a criação da conta, desde que seja conta principal e nunca tenha tido vínculo anterior.
Leia também
- Como criar conta na Bybit no Brasil: passo a passo com CPF e KYC
- Binance é confiável? Análise honesta para brasileiros
- Códigos de indicação das corretoras: tabela comparativa
- Taxas das corretoras: comparativo verificado por API pública
- Melhores corretoras de criptomoedas no Brasil
- Corretora internacional ou nacional: qual faz mais sentido para você
Fontes consultadas em 02/09/2026: página oficial de linha do tempo do incidente de segurança publicada pela Bybit; página oficial de compra em um clique em português; API pública de instrumentos da Bybit e da OKX; Resoluções BCB 519, 520 e 521, publicadas em 10/11/2025. Conteúdo informativo, sem recomendação de investimento.
Conteúdo informativo e educacional. Não é recomendação de investimento. Criptoativos são voláteis e não têm garantia do FGC. Leia o aviso legal e a política de afiliados.