A Binance afirmou em 30 de outubro de 2026 que havia reservado mais de USD 6,3 bilhões para cobrir as perdas do ataque hacker às criptomoedas da Binance ocorrido no dia anterior. A TRM Labs rastreou aproximadamente USD 6,36 bilhões roubados em dez blockchains, a maior parte em cerca de 20 minutos — o maior roubo de criptomoedas já registrado pela empresa.
Principais conclusões
A Binance reservou fundos da empresa para cobrir todas as perdas.
A TRM atribui o roubo, com alto grau de confiança, ao TraderTraitor, da Coreia do Norte.
Uma delegação maliciosa de Ethereum permitiu drenagens repetidas de carteiras.
A estimativa mais recente da Binance para os ativos congelados chegou a cerca de USD 3 bilhões.
Ataque à Binance drena carteiras em dez blockchains
O roubo começou em 29 de outubro de 2026, às 20:05 UTC, e a maioria das saídas ocorreu em cerca de 20 minutos, informou a TRM. A avaliação de USD 6,36 bilhões usa os preços dos ativos no momento de cada transferência e é cerca de quatro vezes maior que o roubo de USD 1,5 bilhão da Bybit, em fevereiro de 2025.
A Ethereum respondeu por USD 3,79 bilhões, incluindo 200.630 ETH e 185 outros tokens. Entre eles estavam 1,875 bilhão de USDT, 823 milhões de USDC e 88,5 milhões de RLUSD, enquanto as saídas de Bitcoin totalizaram 18.270 BTC, equivalentes a aproximadamente USD 1,47 bilhão.
A TRM rastreou aproximadamente USD 628 milhões na Tron, USD 296 milhões na XRP Ledger e USD 96 milhões na Solana. A Arbitrum, a Optimism e a Base perderam juntas cerca de USD 39 milhões; a Avalanche perdeu cerca de USD 28 milhões e a Polygon, cerca de USD 10 milhões. Outra onda de saídas atingiu a Avalanche e a Polygon por volta das 23:05 UTC.
A Binance confirmou um incidente de segurança, suspendeu saques em várias redes e afirmou que os fundos dos usuários estavam seguros. Em 30 de outubro, disse que USD 5 bilhões de suas reservas de reposição já correspondiam aos tokens afetados e que as compras do restante estavam em andamento. Essas reservas não incluem os ativos congelados, sujeitos a recuperação e verificação.
Como as autorizações da Ethereum permitiram roubos repetidos
Segundo a TRM, o invasor usou delegações EIP-7702 para fazer uma carteira quente da Binance na Ethereum executar código sob seu controle. Esse recurso da Ethereum permite que uma carteira comum autorize um contrato inteligente a controlar seu comportamento.
Às 20:20 UTC, o operador enviou 50 autorizações pré-assinadas que abrangiam números de transação consecutivos. Uma delas correspondia ao número atual da carteira, ativando um contrato de varredura que aceitava apenas instruções do operador.
Após um intervalo de três minutos e 24 segundos, uma varredura transferiu 167.464 ETH junto com 63 tokens, entre eles 1,615 bilhão de USDT, e a delegação permaneceu ativa, permitindo mais seis varreduras à medida que novos depósitos chegavam. A carteira comprometida também controlava uma conta inteligente separada com 823 milhões de USDC, que a Circle congelou posteriormente.
Nas outras blockchains, foram usadas transferências assinadas comuns. A avaliação da TRM é que o invasor provavelmente obteve acesso à infraestrutura de assinatura das carteiras quentes da Binance em várias blockchains. A Binance disse que sua investigação inicial apontava para um laptop comprometido, enquanto uma investigação posterior identificou outros pontos de invasão.
TRM associa ataque à TraderTraitor
A TRM atribui o ataque à Binance à TraderTraitor, uma unidade de hackers patrocinada pelo Estado norte-coreano, com alto grau de confiança, com base em informações on-chain e off-chain. Separadamente, Jonathan Levin, CEO da Chainalysis, avaliou que a TraderTraitor provavelmente realizou o ataque.
A TRM rastreou os preparativos até pelo menos 36 horas antes do ataque, incluindo pequenos saques do Tornado Cash, código de ataque implantado e ensaios. Identificou semelhanças com roubos anteriores ligados à Coreia do Norte. O FBI já havia atribuído o ataque à Bybit de fevereiro de 2025 ao mesmo grupo.
Congelamentos bloquearam bilhões, mas a recuperação é um processo separado
A TRM contabilizou cerca de USD 2,7 bilhões congelados até 30 de outubro, às 00:30 UTC; mais tarde, a Binance estimou o total em cerca de USD 3 bilhões. A contagem da TRM incluía USD 2,67 bilhões em stablecoins e cerca de USD 30 milhões protegidos na Arbitrum.
A Tether congelou cerca de 1,77 bilhão de USDT, a Circle cerca de 825 milhões de USDC, a Ripple 40,5 milhões de RLUSD e a World Liberty Financial 27,8 milhões de USD1. O Conselho de Segurança da Arbitrum retirou 8.426 ETH e 74,6 milhões de ARB do controle do invasor.
O invasor vendeu cerca de 325 milhões de USDT por meio de formadores de mercado e contratos baseados em intenções, recebendo aproximadamente 122.300 ETH. Também depositou 60 milhões de USDT na Aave e tomou emprestados cerca de 19.760 ETH; em seguida, a Aave congelou os mercados afetados.
A TRM rastreou mais de 420.000 ETH e 18.270 BTC — aproximadamente USD 2,4 bilhões fora do alcance do poder de congelamento dos emissores. Os bitcoins foram divididos por meio de “cadeias peel” para dificultar o rastreamento.
Ari Redbord, da TRM, explicou que a recuperação de fundos congelados exige medidas legais. Eric Jardine, chefe de pesquisa da Chainalysis, disse que a devolução pode levar meses ou anos.
Corretoras são aconselhadas a verificar depósitos e controles de assinatura
A TRM recomenda verificar depósitos e contrapartes comparando-os com os endereços identificados do invasor e monitorar as carteiras do tesouro em busca de delegações EIP-7702 inesperadas. Também aconselha rejeitar autorizações não previstas e separar a infraestrutura de assinatura por blockchain e categoria de carteira.
A Binance disse em 30 de outubro que havia começado a recuperar os ativos afetados e que estava trabalhando com as autoridades policiais e parceiros para rastrear, congelar e recuperar fundos adicionais.
Artigo produzido com o auxílio de inteligência artificial e revisado pela equipe editorial.