O organismo regulador financeiro da Coreia do Sul, a Financial Supervisory Service (FSS), entregou recentemente ao operador da Upbit, a Dunamu, um “parecer de inspeção”, dando formalmente início ao processo de sanção administrativa; este marco ocorre quase 8 meses após o incidente e cerca de 7 meses depois de a FSS ter iniciado uma inspeção presencial no local. A FSS está a analisar se a Dunamu violou a “Lei de Proteção dos Utilizadores de Ativos Virtuais”, mas a lei, atualmente, não prevê disposições de sanção diretas para ataques de hackers e incidentes de sistemas, pelo que o montante final da penalização continua por determinar.
Registo dos acontecimentos no caso de roubo na Upbit: 54 minutos, 44,5 mil milhões de won coreanos e polémica sobre anúncio tardio
De 27 de novembro de 2025, pelas 4:42 até às 5:36, a Upbit foi alvo de uma invasão informática durante cerca de 54 minutos; cerca de 100 mil milhões de unidades de tokens da série de ativos na rede Solana, num valor total de 44,5 mil milhões de won coreanos (cerca de 30,4 milhões de dólares), foram transferidas para carteiras externas. No dia do incidente, a Dunamu estava a realizar atividades relacionadas com a fusão em conjunto com a Naver Financial; a empresa apenas divulgou publicamente a ocorrência do ataque após o término do evento, o que levou a críticas públicas por “atraso na divulgação”.
Em matéria de compensação: dos 44,5 mil milhões de won coreanos roubados, 2,6 mil milhões de won (cerca de 1,78 milhões de dólares) já foram congelados e encaminhados para um processo de cobrança; quanto aos restantes 38,6 mil milhões de won (cerca de 26,4 milhões de dólares) de ativos dos utilizadores afetados, a Upbit compensou-os na totalidade com recursos próprios. Em dezembro de 2025, a Upbit lançou o sistema de rastreio on-chain Onchain AI Tracer System, que rastreia automaticamente o fluxo dos fundos roubados para apoiar a recuperação subsequente.
A natureza do “parecer de inspeção” e o processo completo de sanção administrativa
O “parecer de inspeção” é o documento oficial que a FSS elabora após concluir a inspeção presencial e que envia à empresa visada; é também o ponto de partida do processo de sanção administrativa. A entrega deste documento significa que a fase de inspeção no local terminou, seguindo-se os passos do processo de sanção:
· A Dunamu apresenta alegações: submeter uma explicação por escrito sobre os resultados da inspeção
· A FSS emite um “parecer de sanção”: indica o nível de penalização proposto, com notificação prévia à empresa inspecionada
· Decisão na reunião da comissão de deliberação de sanções: revisão interna na FSS
· Decisão na reunião da Comissão de Valores Mobiliários e Futuros
· Decisão na reunião do Comité Financeiro
· Decisão final sobre a sanção: após a conclusão de todo o processo, a decisão é formalmente confirmada
Limitações da regulamentação em vigor: a “Lei de Proteção dos Utilizadores de Ativos Virtuais” não prevê cláusulas de sanção para hackers
A principal variável deste caso reside no facto de a “Lei de Proteção dos Utilizadores de Ativos Virtuais” se centrar na proteção dos utilizadores e no combate a transações injustas, não criando disposições de sanção diretas para ataques de hackers e incidentes de sistemas informáticos; por isso, continua incerto se será possível aplicar uma penalização pesada à Dunamu. O diretor da FSS já tinha afirmado no final do ano passado que este caso tem “limitações relativamente consideráveis em termos de poderes de sanção”, mas que “não tem a natureza de poder ser simplesmente deixado passar”.
As autoridades sul-coreanas planeiam, na segunda fase, emendar a legislação com a “Lei Fundamental dos Ativos Digitais” para incluir disposições sobre sanções e indemnizações contra hackers e incidentes de sistemas; o desfecho da sanção neste caso é visto pela indústria como um caso de referência para a forma como a Coreia do Sul lida com incidentes de hackers em bolsas.
Investigação paralela da Bithumb e plano de pausa nas inspeções da FSS
Segundo informou a agência Yonhap, a FSS também concluiu uma inspeção presencial ao caso da “entrega errada de bitcoin” da Bithumb; após a conclusão da revisão jurídica, será igualmente desencadeado o processo de sanção administrativa. A FSS entrará, a partir da próxima semana, num período de pausa de inspeções com a duração de 3 semanas; o trabalho de inspeção será retomado em meados de agosto.
Em termos de contexto, a Dunamu foi multada em novembro de 2025, apenas por falhas de KYC e de combate à lavagem de dinheiro, pelo organismo sul-coreano de informação financeira (FIU) em 352 mil milhões de won (cerca de 24 milhões de dólares), a maior multa de sempre na história das criptomoedas na Coreia do Sul; o resultado da sanção neste caso de roubo poderá também afetar o andamento do projeto de fusão e aquisição com troca de ações no valor de 9,9 mil milhões de dólares entre a Naver e a Dunamu.
Perguntas frequentes
Depois de a Financial Supervisory Service entregar à Dunamu o “parecer de inspeção”, qual é o passo seguinte?
De acordo com o procedimento de sanção administrativa na Coreia do Sul, o passo seguinte é a Dunamu apresentar alegações quanto aos resultados da inspeção; posteriormente, a Financial Supervisory Service emite um “parecer de sanção” que indica o nível de penalização proposto. Em seguida, é necessário obter uma deliberação faseada nas comissões de deliberação de sanções, na Comissão de Valores Mobiliários e Futuros e, por fim, no Comité Financeiro, para só então ser tomada e confirmada a decisão de sanção; até ao momento do reporte, a sanção final ainda não tinha sido decidida.
Porque é que a regulamentação em vigor tem uma capacidade relativamente limitada de sancionar este caso de hacker na Upbit?
A “Lei de Proteção dos Utilizadores de Ativos Virtuais” tem como eixo a proteção dos utilizadores e o combate a transações injustas, não criando disposições de sanção diretas para ataques de hackers ou incidentes de sistemas informáticos; o diretor da Financial Supervisory Service já tinha admitido que “os poderes de sanção são relativamente limitados”, e as autoridades sul-coreanas já planeiam incluir disposições relacionadas na segunda fase da “Lei Fundamental dos Ativos Digitais”.
Qual foi o prejuízo final provocado pelo caso de roubo na Upbit em novembro de 2025, e os utilizadores receberam compensação?
O montante total roubado foi de 44,5 mil milhões de won (cerca de 30,4 milhões de dólares); desse valor, 2,6 mil milhões de won (cerca de 1,78 milhões de dólares) já foram congelados e encaminhados para um processo de cobrança, enquanto os restantes 38,6 mil milhões de won (cerca de 26,4 milhões de dólares) de ativos dos utilizadores afetados foram totalmente compensados pela Upbit com recursos próprios, pelo que os utilizadores não sofreram perdas diretas.
