Entre 29 e 30 de outubro de 2026, a Binance passou por um incidente de segurança de proporções raras, mas que acabou sendo amplamente mitigado. O fato central é que várias carteiras quentes foram submetidas a uma “varredura” anômala em um intervalo muito curto. O volume registrado de saídas chegou a ser estimado em dezenas de bilhões de dólares, mas os principais emissores de stablecoins congelaram rapidamente a maior parte dos fundos envolvidos. Segundo a estimativa de CZ, a perda líquida efetiva foi de pouco mais de US$ 1 bilhão, e a Binance se comprometeu a cobri-la integralmente.
Saídas anômalas: várias carteiras quentes são “varridas” em sequência
O incidente começou por volta das 4h24 da madrugada de 30 de outubro, horário de Taipei (20h24 UTC de 29 de outubro), quando a carteira quente identificada pela Binance como “Binance 14” acionou uma transação de sweep (varredura), transferindo de uma só vez cerca de 167.464 ETH e 63 tokens ERC-20, entre eles aproximadamente 1,615 bilhão de USDT, avaliados na época em cerca de US$ 2,5 bilhões.
Logo em seguida, as atividades suspeitas não pararam:
· Apenas 24 segundos depois, outra hot wallet, “Binance 16”, transferiu cerca de 28.005 ETH, além de aproximadamente 55,74 milhões de USDT, 25,94 milhões de RLUSD e outros ativos para o mesmo endereço de recebimento.
· Cerca de 17 minutos depois (4:41), a “Hot Wallet 34” transferiu mais 780 milhões de USDC para o mesmo endereço; depois, houve outra transferência de 43 milhões de dólares em USDC.
Como os fundos foram transferidos em pouco tempo de várias hot wallets independentes para um endereço criado naquele mesmo dia, os alertas on-chain inicialmente não conseguiram sequer descartar a possibilidade de uma “transferência rotineira de manutenção”. No entanto, o fato de o endereço de recebimento ter sido recém-criado, a rápida transferência subsequente dos ativos e o uso da função sweep logo levaram o mercado a considerar que se tratava de um ataque.
Método do ataque: o problema não estava na chave privada, mas na “autorização de assinatura”
O aspecto tecnicamente singular deste incidente é que o atacante aparentemente não roubou diretamente a chave privada da carteira da Binance.
As análises on-chain apontam para o uso indevido do mecanismo EIP-7702 do Ethereum. Esse mecanismo permite que uma conta externa delegue a execução a um código específico por meio de uma “autorização de assinatura”. Ao que tudo indica, o atacante obteve essa autorização por meio de phishing ou de outro método e, assim, instalou um código malicioso com função de “varredura” em uma carteira vinculada à Binance. Em seguida, usou a função sweep para transferir os ativos em massa. Especialistas em segurança observaram que, se o atacante realmente tivesse obtido a chave privada, não precisaria recorrer a um retransmissor (Relayer) nem ao processo de autorização: poderia transferir os ativos diretamente em uma transação atômica. Portanto, a explicação mais plausível é que ele tenha obtido apenas uma assinatura de autorização EIP-7702.
Isso significa que a barreira para realizar esse tipo de ataque caiu consideravelmente: não é preciso quebrar a chave privada; basta enganar alguém para obter uma autorização de assinatura, e um endereço pode ficar sujeito a uma “varredura”. O fato de a mesma carteira ter voltado a transferir ativos após a primeira varredura também confirma que a autorização continuou válida por algum tempo depois do incidente.
Congelamento e classificação: de “sob investigação” a “foi realmente um ataque”
Após o incidente, as declarações públicas da Binance passaram por um claro processo de endurecimento. Inicialmente, a empresa disse apenas que estava “investigando possíveis problemas de segurança” e que “ainda não havia confirmado qualquer impacto nos fundos dos usuários”. Em cerca de dez minutos, a declaração foi alterada várias vezes. A versão final afirmava que “os fundos dos usuários estão totalmente seguros”, embora ainda não classificasse oficialmente o ocorrido como “roubo” ou “ataque hacker”.
A mudança veio com a declaração de CZ (Changpeng Zhao). Ele afirmou claramente que “isto parece mesmo ter sido um ataque hacker contra a Binance”, ao mesmo tempo que ressaltou que os fundos dos usuários estavam seguros e agradeceu à Tether e à Circle pelas rápidas medidas de congelamento. CZ também explicou que já não administra as operações diárias da Binance, mas que, como acionista, espera que todos os fundos dos usuários sejam cobertos integralmente.
A classificação do incidente foi acompanhada pelo congelamento de ativos pelos emissores de stablecoins:
· A Tether congelou mais de 1,567 bilhão de USDT (outras fontes relataram cerca de 971 milhões de dólares);
· A Circle congelou aproximadamente 823 milhões de USDC.
No total, as duas empresas congelaram cerca de 2,39 bilhões de dólares. Essa é a principal razão para a enorme diferença que surgiu depois entre as “saídas contabilizadas” e as “perdas reais”.
Valores contabilizados e perdas reais: por que o valor caiu de vários bilhões para “pouco mais de um bilhão”
Como o ataque envolveu várias carteiras, diferentes blockchains e dezenas de tokens, as estimativas do total transferido com base no rastreamento on-chain foram bastante confusas no início: cerca de 2,5 bilhões de dólares nas primeiras estimativas, depois aproximadamente 2,8 bilhões e, mais tarde, 3,3 bilhões. Algumas empresas de monitoramento chegaram a estimar mais de 5,8 bilhões de dólares.
No entanto, esses valores representam principalmente o volume transferido, não as perdas líquidas finais que não puderam ser recuperadas. A estimativa de 0xngmi, fundador da DefiLlama, oferece uma visão mais clara: após o congelamento em grande escala de USDT e USDC, as perdas totais do incidente ficaram em cerca de 1 bilhão de dólares, apenas 0,69% dos aproximadamente 144 bilhões de dólares em ativos sob custódia da Binance — um valor que a empresa poderia cobrir integralmente com seu balanço patrimonial. CZ compartilhou essa estimativa e acrescentou que “as perdas podem ser um pouco maiores, mas serão totalmente cobertas”.
A relação entre esses números é a seguinte: cerca de 2,4 bilhões de dólares em stablecoins transferidas pelo atacante foram congelados pelos emissores. O montante que realmente escapou ao controle da Binance e não foi congelado no curto prazo ficou em torno de 1 bilhão de dólares. Portanto, a Binance sofreu perdas líquidas que pode cobrir, e não uma perda total de vários bilhões de dólares.
Suspensão de saques e impacto efetivo para os usuários
Durante as verificações de segurança, a Binance suspendeu os saques. Inicialmente, a empresa afirmou que os saques de alguns usuários haviam sido impedidos por um “erro técnico”; em seguida, declarou claramente que “os saques serão retomados assim que o problema de segurança estiver totalmente resolvido” e reiterou que os fundos dos usuários estavam seguros. Isso significa que o impacto direto do incidente para os usuários comuns se limitou principalmente a uma interrupção temporária dos saques, e não ao desaparecimento de seus saldos. A posição de CZ e da Binance foi a mesma: os fundos dos usuários estavam “totalmente seguros”, e a plataforma cobriria as perdas.
Em resumo, o quadro real deste incidente é o seguinte: uma varredura não autorizada em grande escala de hot wallets da Binance, que explorou o mecanismo de autorização EIP-7702. As saídas contabilizadas chegaram a vários bilhões de dólares, mas, graças ao congelamento de stablecoins e à capacidade de absorção do balanço patrimonial da plataforma, as perdas líquidas reais foram reduzidas a cerca de 1 bilhão de dólares. Os fundos dos usuários não sofreram perdas diretas, e os saques foram retomados após a confirmação da segurança. A identidade do atacante e os meios específicos usados para obter a autorização ainda não foram divulgados; as investigações e os esforços para rastrear os fundos continuam.