Em 2016, quase 120.000 bitcoins sumiram da exchange Bitfinex num único ataque. Por seis anos o ladrão pareceu inencontrável — até o FBI abrir um arquivo na nuvem e realizar a maior apreensão financeira da história dos Estados Unidos. O autor era um empreendedor de tecnologia, e a mulher dele, uma rapper excêntrica que se autointitulava “o Crocodilo de Wall Street”. Esta é a história do assalto à Bitfinex e de Razzlekhan: como a blockchain nunca esqueceu.
O arrombamento
Agosto de 2016. A Bitfinex, uma das maiores exchanges de bitcoin do mundo, sediada em Hong Kong, é aberta por dentro. Um invasor explora uma falha de segurança e, em pouco tempo, transfere cerca de 119.754 bitcoins para carteiras que controla. Valor naquele momento: aproximadamente 72 milhões de dólares.
A notícia cai como uma bomba. No mesmo dia, a cotação do bitcoin recua cerca de 20%. É um dos maiores roubos a exchanges desde a Mt. Gox, e a mensagem se repete: suas moedas numa exchange são tão seguras quanto o elo mais fraco do código dela. Mas o que torna este caso único não é o arrombamento. É o que não aconteceu durante seis anos — e o que aconteceu de repente depois.
Quem pagou a conta
O primeiro a levar o golpe não foi o ladrão, foi o cliente. A Bitfinex escolheu espalhar o prejuízo por todos os usuários: todo mundo — inclusive quem nada tinha a ver com as carteiras hackeadas — abriu mão de cerca de 36% do saldo. Em troca, os clientes receberam os chamados tokens BFX, que a empresa depois recomprou ou converteu em ações.
No fim das contas, esses clientes se recuperaram — mas repare no princípio: numa exchange sem licença, sem segregação obrigatória do dinheiro de clientes e sem cobertura, um hack pode significar que você ajuda a pagar o roubo de outra pessoa. Você não é um poupador protegido; é cocarregador do risco.
Seis anos de silêncio
Depois do arrombamento aconteceu algo estranho: quase nada. Os bitcoins roubados ficaram em boa parte parados nas carteiras do ladrão. Analistas on-chain vigiaram os endereços por anos como uma bomba-relógio — qualquer um podia ver que o dinheiro estava ali, porque a blockchain é pública, mas ninguém sabia quem tinha as chaves.
E, enquanto o dinheiro repousava, só ficava mais valioso. O butim que em 2016 valia cerca de 72 milhões de dólares cresceu, com a alta do bitcoin, até os bilhões. O ladrão estava sentado sobre uma fortuna em que não ousava tocar. Porque, a cada moeda que movesse, deixaria um rastro que nunca mais sumiria.
O casal mais improvável
O ladrão era Ilya Lichtenstein, apelidado de “Dutch”: um empreendedor de tecnologia americano nascido na Rússia, o tipo de homem discreto que você ignoraria num coquetel de startups. Mas o rosto que o mundo guardaria era o da mulher dele.
Heather Morgan era, de dia, empresária e — isto não é piada — uma especialista atuante no LinkedIn e na Forbes que escrevia sobre como as empresas deveriam se proteger de cibercriminosos e fraudes. À noite, era “Razzlekhan”, uma rapper autoproclamada que se dizia o “Crocodilo de Wall Street” e gravava videoclipes bizarros nas ruas de Nova York, inclusive plantada bem em frente à Bolsa de Nova York.
Ela se chamava de Crocodilo de Wall Street — e, ao mesmo tempo, escrevia para a Forbes um artigo sobre como combater fraude e cibercrime.A persona pública de Heather ‘Razzlekhan’ Morgan provado
A ironia era completa: uma mulher que se vendia como consultora de cibercrime ajudava em segredo a lavar o produto de um dos maiores roubos digitais da história. Quando o caso estourou, seus videoclipes de rap desastrosos viralizaram em um dia — mas a história de verdade estava na blockchain.
A máquina de lavar
A partir de mais ou menos 2017, o casal começou a mover o butim, e o fez com um arsenal de truques que a denúncia depois descreveria em minúcias. Picotaram o fluxo em milhares de pequenas transações (chain-hopping), passaram moedas por mercados da darknet como AlphaBay e Hydra, abriram contas com identidades falsas, converteram bitcoin em outras moedas e de volta, e transformaram parte em ouro físico.
Esse ouro ganhou um desfecho quase de conto de fadas: parte virou moedas de ouro que Morgan literalmente enterrou. Investigadores as desenterrariam depois num local na Califórnia. Havia até vales-presente do Walmart no meio. Era lavagem de dinheiro como brincadeira — e foi justamente esse gosto pela brincadeira que os derrubou, porque cada jogada ficou gravada de forma indelével no livro-razão.
O arquivo na nuvem
A virada não veio com uma batida policial, mas com uma tela de login. No início de 2022, com autorização judicial, investigadores acessaram uma conta de armazenamento em nuvem de Lichtenstein. Lá dentro encontraram o inimaginável: um arquivo com a lista de mais de 2.000 endereços de carteira onde estavam os bitcoins roubados — completo, com as respectivas chaves privadas.
O ladrão tinha guardado as chaves do próprio cofre num arquivo na nuvem. Um login, e o jogo acabou.
Com essas chaves, as autoridades puderam fazer o que o próprio ladrão não tinha coragem de fazer: mover o dinheiro. Recuperaram de uma vez cerca de 94.000 bitcoins. Seis anos de intocabilidade terminaram com um arquivo de texto.
A maior apreensão da história
Em 8 de fevereiro de 2022, Ilya Lichtenstein e Heather Morgan foram presos em Nova York. O Departamento de Justiça dos EUA anunciou ter apreendido bitcoins no valor de cerca de 3,6 bilhões de dólares — naquele momento, a maior apreensão financeira da história do órgão. Depois vieram mais centenas de milhões.
O “Crocodilo de Wall Street” e o marido, que achavam ter cometido o crime perfeito, foram parar na cadeia — pegos justamente pela tecnologia que julgavam ter derrotado.
A sentença
Em agosto de 2023, os dois se declararam culpados de conspiração para lavagem de dinheiro, e Lichtenstein admitiu ter sido o hacker original da Bitfinex. Em novembro de 2024 saíram as sentenças: Ilya Lichtenstein pegou cinco anos de prisão; Heather Morgan, dezoito meses. Graças à alta do bitcoin, o governo já havia recuperado cerca de dez bilhões de dólares em valor roubado — de longe a maior recuperação de todos os tempos.
A história virou, inevitavelmente, documentário da Netflix. Mas o significado duradouro não está nos videoclipes de rap nem no ouro enterrado. Está nos seis anos em que o dinheiro pareceu intocável, e no único login que desfez tudo.
O que o assalto provou
O assalto à Bitfinex desmonta o maior mito sobre a cripto: o de que ela é anônima. É o contrário. A blockchain é uma memória pública e permanente — cada moeda que o casal moveu deixou um rastro que os esperou pacientemente por seis anos. Eles não foram pegos apesar da tecnologia, mas por causa dela. Para quem acha que cripto roubada simplesmente desaparece: os ladrões estavam sentados sobre bilhões que mal conseguiam gastar.
E há uma segunda lição, para quem escolhe onde guardar suas moedas. Quando a Bitfinex foi hackeada, foram os clientes que receberam a conta — um corte forçado de 36% no saldo de cada um. Compare com a forma como a Bybit absorveu, em 2025, um hack ainda maior sem que um único cliente perdesse nada. A diferença está em reservas, transparência e na questão de o dinheiro dos clientes estar ou não protegido. É exatamente por isso que a lei europeia MiCAR exige que uma exchange licenciada segregue o dinheiro dos clientes do próprio patrimônio e comprove a custódia — para que a conta de um arrombamento não caia caladamente no seu colo.
O Crocodilo de Wall Street achou que era mais esperto que o sistema. Mas o livro-razão não esquece nada, e o cofre de um ladrão é tão frágil quanto um arquivo mal guardado. A pergunta que este assalto deixa é dupla: quão boa é a segurança da sua exchange — e quem paga o prejuízo se algo der errado mesmo assim?
Fontes
Confissões de culpa e métodos de lavagem (chain-hopping, AlphaBay/Hydra, identidades falsas, ouro): US DOJ. Prisão e apreensão de US$ 3,6 bi (maior de todos os tempos), fev 2022: Washington Post. Sentenças (Ilya, 5 anos; Heather, 18 meses) e ~US$ 10 bi recuperados: TRM Labs, Bloomberg. A persona Razzlekhan, as moedas de ouro enterradas e o caso: TIME, NBC News.