A Binance sofreu uma violação de segurança estimada em US$ 6,3 bilhões em 29 de outubro de 2026, naquele que investigadores de blockchain descrevem como o maior roubo de criptomoedas já registrado. A corretora suspendeu os saques, prometeu cobrir as perdas e começou a trabalhar com parceiros do setor para congelar os ativos roubados.
A empresa de inteligência de blockchain TRM Labs calculou que aproximadamente US$ 6,36 bilhões saíram das carteiras da Binance por meio de dez blockchains, sendo que a maioria das transferências ocorreu em cerca de 20 minutos. Com alto grau de confiança, atribuiu o ataque à unidade de hackers TraderTraitor, da Coreia do Norte.
A investigação da Binance continua em curso. Inicialmente, a empresa apontou para o portátil comprometido de um funcionário, mas, mais tarde, revelou outros pontos de invasão. Para os clientes, as questões imediatas dizem respeito ao acesso aos levantamentos, à substituição dos ativos afetados e a saber se a corretora conseguiu conter totalmente a intrusão.
Quanto foi roubado no ataque à Binance?
A estimativa da TRM aponta que o incidente foi mais de quatro vezes maior do que os cerca de US$ 1,5 bilhão roubados da Bybit em fevereiro de 2025, até então o maior roubo de criptomoedas já registado.
A Ethereum representou cerca de US$ 3,79 bilhões das saídas da Binance. Outros US$ 1,47 bilhão saíram em Bitcoin, enquanto aproximadamente US$ 628 milhões foram retirados na Tron. Entre as outras redes afetadas estavam XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base e Polygon. Estes são totais por rede: o valor da Ethereum inclui vários tokens, não apenas ETH.
A estimativa da Binance, de aproximadamente US$ 6,3 bilhões, e o cálculo mais preciso da TRM descrevem o mesmo incidente em termos gerais. Os totais em dólares podem divergir porque os investigadores usam cotações de momentos diferentes, identificam transferências adicionais ou ajustam os ativos incluídos no cálculo.
A dimensão do roubo também deve ser distinguida da perda financeira final. Alguns ativos foram congelados, e poderá ser possível recuperar outros. No entanto, congelar tokens roubados não significa que estes sejam automaticamente devolvidos à Binance ou que as obrigações para com os clientes sejam cumpridas.
Investigadores associam o ataque à Coreia do Norte
A TRM atribuiu a operação ao TraderTraitor com base em provas da blockchain e informações recolhidas fora dela. A avaliação tem mais fundamento do que um rumor sem comprovação nas redes sociais, embora continue a ser uma atribuição feita por uma empresa privada de inteligência.
O diretor executivo da Chainalysis, Jonathan Levin, também identificou o TraderTraitor como provável responsável. Segundo relatos sobre a sua avaliação, os investigadores observaram fundos ligados ao ataque à Bitget, em setembro, a serem misturados com ativos roubados da Binance. O investigador de blockchain ZachXBT apontou separadamente o Grupo Lazarus como provável autor do ataque.
Estas avaliações enquadram o incidente no padrão mais amplo de roubos de criptomoedas suspeitos de serem obra da Coreia do Norte. Não significam que a própria Binance tenha identificado os responsáveis de forma conclusiva.
À data das notícias citadas, a Binance não tinha confirmado publicamente a responsabilidade da Coreia do Norte. A corretora afirmou estar a cooperar com as autoridades policiais e especialistas do setor.
Para quem acompanha a investigação, a atribuição de responsabilidade e a causa técnica são questões distintas. Identificar um grupo suspeito não esclarece exatamente como cada sistema comprometido foi acedido nem quais controlos de segurança falharam.
Binance encontra outros pontos de invasão além do portátil de um funcionário
Inicialmente, a Binance sugeriu que um atacante tinha comprometido o portátil de um engenheiro de DevOps, acedido a um contentor de serviço interno e enviado transações de levantamento não autorizadas. Na declaração preliminar, afirmou não ter encontrado provas de que as chaves privadas das carteiras tivessem sido divulgadas. coindesk.com
Mais tarde, a empresa alargou essa explicação:
«A nossa investigação inicial sugeria que o incidente de segurança poderia envolver um portátil comprometido; no entanto, a investigação subsequente revelou pontos de invasão adicionais.»
Esta atualização significa que a teoria do portátil não deve ser apresentada como uma explicação completa e definitiva. A Binance ainda não esclareceu publicamente todo o incidente.
A análise técnica da TRM aponta para um possível comprometimento da infraestrutura de assinatura das carteiras quentes da corretora. Na Ethereum, os investigadores identificaram um mecanismo de autorização que permitia a código controlado pelo atacante direcionar a atividade da carteira. Noutras redes, os fundos foram transferidos através de transações assinadas comuns.
A distinção é importante: podem ocorrer transferências não autorizadas se um atacante manipular os sistemas que aprovam transações, mesmo sem expor publicamente uma chave privada. Por isso, a investigação tem de analisar tanto o acesso aos serviços internos como os controlos que regem a aprovação de transações.
Cerca de US$ 3 bilhões congelados enquanto a Binance promete cobrir as perdas
A Binance afirmou que cerca de US$ 3 bilhões em ativos afetados tinham sido congelados através da cooperação com parceiros. Estimativas independentes publicadas em momentos anteriores aproximavam-se mais dos US$ 2,7 bilhões, refletindo diferenças de data e de contabilização.
Os valores iniciais indicados pela Tether e pela Circle eram de aproximadamente US$ 971 milhões em USDT e US$ 823 milhões em USDC. Estes valores devem ser considerados estimativas preliminares: notícias posteriores apontaram para um total congelado pela Tether substancialmente superior.
Os emissores de stablecoins podem restringir transferências que envolvam os seus tokens. Bitcoin e Ether nativos não têm um mecanismo de congelamento equivalente, controlado pelo emissor. Isso torna a recuperação mais complicada, embora não signifique que o rastreamento ou uma eventual apreensão sejam impossíveis.
A Binance comprometeu-se a cobrir as perdas com recursos da empresa e com o seu Fundo de Ativos Seguros para Utilizadores, conhecido como SAFU. O fundador Changpeng Zhao também manifestou a expectativa de que os utilizadores fossem totalmente reembolsados, salientando que já não gere a corretora.
Segundo a declaração de 30 de outubro fornecida para este artigo, a Binance reservou mais de US$ 6,34 bilhões em fundos da empresa. Afirmou que já detinha US$ 5 bilhões nos ativos específicos em tokens afetados e que as compras restantes seriam efetuadas nos mercados e através de transações de balcão.
Essa declaração descreve o financiamento para substituir os ativos, não a recuperação de US$ 6,34 bilhões junto do atacante. A Binance afirmou que a liquidez limitada dos tokens e os prazos de liquidação poderiam atrasar a conclusão do processo.
Quando serão retomados os levantamentos da Binance?
Na atualização da investigação de 30 de outubro, a Binance afirmou que continuava dentro do prazo anunciado de 45 horas para retomar os levantamentos. Essa estimativa começa a contar a partir da atualização, e não do momento em que o cliente lê o anúncio.
Nessa atualização, a corretora afirmou que os depósitos não tinham sido afetados e que as saídas não autorizadas tinham sido interrompidas após a suspensão dos levantamentos. A reabertura continuava a ser uma previsão, não uma confirmação de que os levantamentos já tinham sido retomados.
Os mercados caíram após a notícia. A Associated Press noticiou que o Bitcoin desvalorizou 3,2%, ficando abaixo dos US$ 79.000 na noite de quinta-feira. Essa cotação pontual não comprova uma queda uniforme de 2% a 4% em todas as criptomoedas, nem demonstra que o incidente teve pouco impacto no mercado.
Os próximos marcos importantes são a confirmação do acesso aos levantamentos, a conclusão das compras de ativos para substituição e uma explicação detalhada da invasão. O compromisso de reembolso da Binance resolve a insuficiência financeira; para recuperar a confiança dos clientes, também será necessário demonstrar que os sistemas envolvidos nas transações não autorizadas estão seguros.