Olha, em outubro de 2026, os cripto cassinos aprenderam a mesma lição duas vezes em dezenove dias. Em 13 de outubro, atacantes esvaziaram as hot wallets do Gamdom em cinco redes em menos de uma hora. Em 24 de setembro, o Duelbits ficou offline depois que suas próprias hot wallets foram drenadas. Juntos, os dois incidentes custaram entre US$ 7 milhões e US$ 11 milhões, dependendo de quem você acredita. Ambas as operadoras disseram as mesmas quatro palavras: os fundos dos usuários estão seguros. Nenhuma publicou um post mortem.
Os números principais importam menos do que o padrão. Não foram exploits de contrato inteligente ou bugs espertos de protocolo. Foram ataques à infraestrutura básica que todo cripto cassino opera para possibilitar saques instantâneos. Se você mantém um saldo em qualquer cripto cassino offshore, essa infraestrutura é a única coisa entre o seu dinheiro e a carteira de outra pessoa.
O que aconteceu no hack do Gamdom
O dreno começou por volta das 15:50 UTC de 13 de outubro. Em cerca de uma hora, as hot wallets do Gamdom na Ethereum, Solana, BNB Chain, Tron e XRP Ledger enviaram cada uma um grande pagamento para um único endereço de atacante naquela rede. O primeiro post público do Gamdom, às 18:45 UTC, descreveu o site como offline e prometeu um retorno rápido.
A explicação chegou no dia seguinte. Funcionários investigando o que parecia uma falha de disco do servidor encontraram uma conexão não autorizada em um servidor de automação, a máquina que assina e envia saques sem intervenção humana. O fundador Felix Römer confirmou uma violação do sistema de hot wallet, disse que o dreno havia sido interrompido e que os ativos restantes foram movidos para cold storage. Sua cifra de perda: pouco mais de US$ 3 milhões. Mesmo assim, o investigador on-chain vxdb contou mais. Por essa contagem, o atacante saiu com US$ 4,208 milhões.
| Rede | Valor estimado drenado |
|---|---|
| Cadeias EVM (Ethereum, BNB Chain, Polygon, Arbitrum, Optimism) | Cerca de US$ 2,2 milhões |
| Solana | Cerca de US$ 965.000 |
| Bitcoin | Cerca de US$ 668.000 |
| Tron | Cerca de US$ 375.000 |
| Total (estimativa vxdb) | US$ 4,208 milhões |
| Número do próprio Gamdom | Pouco mais de US$ 3 milhões |
A diferença de US$ 1,2 milhão não foi explicada. Transferências internas entre as próprias carteiras de uma operadora podem inflar estimativas externas, então vxdb pode estar superestimando. O Gamdom também pode estar subestimando. Sem um detalhamento publicado pelo cassino, ninguém fora da empresa pode dizer qual é o caso.
O Gamdom relançou em 16 de outubro às 12:34 UTC, após mais de dois dias offline. Voltou com um leaderboard diário de US$ 45.000, um bônus de depósito de 20% para usuários existentes e uma segunda competição da semana de relançamento. É uma forma bem cassino de pedir desculpas. Pedir que as pessoas depositem mais.
O atacante trocou stablecoins por DAI, e isso diz algo
O detalhe mais interessante no rastro on-chain não é o tamanho do roubo. É o que aconteceu nos primeiros minutos. Uma carteira Ethereum nova coletou cerca de US$ 1,2 milhão de três das hot wallets e imediatamente trocou os USDT e USDC por DAI. Uma segunda carteira, que também recebeu o pagamento da BNB Chain, acumulou cerca de US$ 870.000 em DAI, grande parte via uma bridge.
Com a mão no coração, essa troca é deliberada. Tether e Circle podem congelar USDT e USDC no nível do contrato, e ambas já fizeram isso para fundos hackeados antes. DAI não tem emissor com botão de congelamento. No início de 14 de outubro, as duas carteiras detinham cerca de US$ 2 milhões, e cerca de US$ 1,8 milhão em DAI mais 87 ETH mal se moveram desde então. Os destinatários em Tron e XRP se comportaram de forma diferente, encaminhando fundos em 80 minutos. Naturalmente, a lição para os jogadores: a função de congelamento de stablecoins que cassinos e reguladores gostam de citar como rede de segurança só funciona se alguém a acionar nos primeiros minutos. Um atacante competente converte antes que alguém na Tether leia o alerta.
O que aconteceu no hack do Duelbits
O Duelbits já tinha passado por isso. Em 24 de setembro, pesquisadores de segurança sinalizaram saídas suspeitas de suas hot wallets na Ethereum, BNB Chain e Tron. Estimativas iniciais colocaram as perdas em US$ 4,2 milhões. Análises posteriores que adicionaram atividade em Bitcoin e Solana elevaram o número para cerca de US$ 5,9 milhões. O cofundador Joe colocou em cerca de US$ 7 milhões, o que é mais alto do que qualquer estimativa externa.
A SlowMist classificou a causa raiz como um comprometimento da chave privada da hot wallet, e não um bug de protocolo. O Duelbits tirou o site do ar, disse que os fundos dos usuários estavam seguros e relançou em 27 de setembro com depósitos e saques ativos novamente. A declaração de relançamento alegou cerca de US$ 8 milhões entre hot e cold wallets. Em 8 de outubro, a operadora estava oferecendo publicamente uma recompensa ao suspeito de deter os fundos para devolvê-los.
Não foi a primeira vez do Duelbits. Em fevereiro de 2024, a CertiK relatou que cerca de US$ 4,6 milhões foram tirados das mesmas hot wallets do cassino. Dois drenos de tamanho semelhante em menos de três anos não é azar. É um problema de arquitetura.
Como os hacks de cassino de 2026 se comparam com os anteriores
A pesquisa do CryptoCasino.Vegas compilou os principais incidentes de hot wallet relatados publicamente em cripto cassinos e seus processadores de pagamento em uma única visão. Os números usam a faixa entre declarações das operadoras e estimativas on-chain quando divergem. Olha,
| Plataforma | Data | Perda relatada | Tipo de ataque | Tempo de inatividade |
|---|---|---|---|---|
| Stake | Setembro de 2023 | Cerca de US$ 41 milhões | Chaves de hot wallet, atribuído pelo FBI ao Lazarus Group da Coreia do Norte | Horas (saques pausados) |
| Duelbits | Fevereiro de 2024 | Cerca de US$ 4,6 milhões | Comprometimento de hot wallet | Não detalhado publicamente |
| Duelbits | 24 de setembro de 2026 | US$ 4,2 milhões a US$ 7 milhões | Suspeita de comprometimento de chave privada | Cerca de 3 dias |
| Gamdom | 13 de outubro de 2026 | US$ 3 milhões a US$ 4,2 milhões | Acesso não autorizado ao servidor de automação de saques | Cerca de 2 dias |
O mercado mais amplo não é tranquilizador. A TRM Labs contou 207 incidentes de roubo de cripto no valor de US$ 972 milhões no primeiro semestre de 2026, e descobriu que comprometimentos de infraestrutura e operacionais representaram cerca de 76% dos fundos roubados. A CertiK relatou perdas de US$ 1,28 bilhão no terceiro trimestre de 2026, alta de 56,2% em relação ao trimestre anterior, com US$ 773,4 milhões perdidos só em setembro. Cassinos são apenas mais uma classe de operadora rodando carteiras grandes e sempre online.
Seus fundos estão seguros se um cripto cassino for hackeado?
“Os fundos dos usuários estão seguros” significa algo mais restrito do que parece. Saldos de jogadores em um cassino custodial são uma entrada de banco de dados. As moedas por trás deles ficam nas carteiras da operadora, misturadas. Quando uma hot wallet é drenada, o saldo de nenhum jogador individual muda. A operadora absorve o buraco do próprio tesouro e continua honrando saques, desde que consiga.
Francamente, essa condição é toda a história. Um cassino com reservas frias profundas pode engolir uma perda de US$ 4 milhões e seguir em frente. Uma operadora mais frágil pode silenciosamente desacelerar saques por meses enquanto reconstrói liquidez. De fora, as duas parecem idênticas até você tentar sacar. Rastreadores de carteira registraram cerca de US$ 10,5 milhões nas hot wallets monitoradas do Gamdom em 12 de outubro e cerca de US$ 76.000 no dia seguinte. Isso não prova o tamanho do roubo, mas mostra quanto pode ficar em armazenamento quente em uma grande operadora em um dia comum.
E o tempo de inatividade é um custo real mesmo quando nada é perdido. Por dois a três dias, jogadores de ambos os cassinos não puderam sacar nada. Se você tinha um saldo grande e um motivo para movê-lo, essa janela não foi escolha sua.
O que os jogadores de cripto cassino devem fazer agora
Trate o saldo em cassino como temporário. O saldo mais seguro em um cripto cassino é aquele que você sacou após sua sessão. Hot wallets existem para que os pagamentos sejam rápidos. Use essa velocidade.
Observe como as operadoras falam após um incidente. Um post mortem publicado, endereços de reserva e uma cifra clara de perda são bons sinais. Um bônus de relançamento sem explicação técnica não é.
Peça prova de reservas antes de estacionar valores grandes. Muito poucos cripto cassinos publicam endereços de carteira ou snapshots de saldo. Os que publicam dão a você algo para verificar. O resto dá uma promessa.
Não conte com congelamentos de stablecoin. O atacante do Gamdom estava em DAI em minutos. Stablecoins congeláveis protegem mais os emissores do que você. Além disso, saques automatizados precisam de uma hot wallet por definição. O CryptoCasino.Vegas também opera pagamentos automáticos instantâneos, e é exatamente por isso que a pergunta útil para qualquer operadora não é se existe uma hot wallet, mas quanto pouco fica nela a qualquer momento e quão rápido a automação pode ser cortada. Gamdom e Duelbits descobriram a resposta da maneira cara. Os jogadores não deveriam ter que descobrir da mesma forma.
