A Binance sofreu uma violação de segurança estimada em US$ 6,3 bilhões em 29 de outubro de 2026, no que investigadores de blockchain descrevem como o maior roubo de criptomoedas já registrado. A corretora suspendeu os saques, comprometeu-se a cobrir as perdas e começou a trabalhar com parceiros do setor para congelar os ativos roubados.
A empresa de inteligência em blockchain TRM Labs calculou que aproximadamente US$ 6,36 bilhões saíram das carteiras da Binance em dez blockchains, com a maioria das transferências ocorrendo em cerca de 20 minutos. A empresa atribuiu o ataque, com alto grau de confiança, à unidade de hackers TraderTraitor, da Coreia do Norte.
A investigação da Binance continua em andamento. Inicialmente, a empresa apontou o laptop comprometido de um funcionário, mas depois revelou pontos de invasão adicionais. Para os clientes, as questões imediatas são o acesso aos saques, a reposição dos ativos afetados e se a exchange conteve totalmente a invasão.
Quanto foi roubado na invasão da Binance?
A estimativa da TRM indica que o incidente foi mais de quatro vezes maior que os aproximadamente US$ 1,5 bilhão roubados da Bybit em fevereiro de 2025, até então o maior roubo de criptomoedas registrado.
A Ethereum respondeu por aproximadamente US$ 3,79 bilhões das saídas da Binance. Outros US$ 1,47 bilhão saíram em Bitcoin, enquanto cerca de US$ 628 milhões foram retirados na Tron. Outras redes afetadas incluíram XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base e Polygon. Esses são totais por rede: o valor da Ethereum inclui vários tokens, não apenas ETH.
A estimativa da Binance, de aproximadamente US$ 6,3 bilhões, e o cálculo mais preciso da TRM descrevem o mesmo incidente em linhas gerais. Os totais em dólares podem variar porque os investigadores usam diferentes cotações de referência, identificam transferências adicionais ou ajustam os ativos incluídos no cálculo.
A dimensão do roubo também deve ser diferenciada da perda financeira final. Alguns ativos foram congelados, e pode ser possível recuperar outros. No entanto, congelar tokens roubados não significa que eles serão automaticamente devolvidos à Binance ou que as obrigações com os clientes serão cumpridas.
Investigadores associam o ataque à Coreia do Norte
A TRM atribuiu a operação ao TraderTraitor com base em evidências de blockchain e informações de inteligência coletadas fora da blockchain. Essa avaliação tem mais respaldo do que um rumor sem comprovação nas redes sociais, embora continue sendo uma atribuição feita por uma empresa privada de inteligência.
O diretor-executivo da Chainalysis, Jonathan Levin, também apontou o TraderTraitor como provável responsável. Segundo reportagens sobre sua avaliação, os investigadores observaram fundos ligados à invasão da Bitget em setembro sendo misturados a ativos roubados da Binance. O investigador de blockchain ZachXBT também apontou separadamente o Grupo Lazarus como provável autor do ataque.
Essas avaliações situam o incidente no contexto mais amplo de suspeitas de roubos de criptomoedas pela Coreia do Norte. Elas não significam que a própria Binance tenha identificado os responsáveis de forma conclusiva.
Na época das reportagens citadas, a Binance não havia confirmado publicamente a responsabilidade da Coreia do Norte. A exchange afirmou que estava cooperando com as autoridades policiais e especialistas do setor.
Para quem acompanha a investigação, a atribuição do ataque e sua causa técnica são questões distintas. Identificar um grupo suspeito não esclarece exatamente como cada sistema comprometido foi acessado nem quais controles de segurança falharam.
Binance encontra outros pontos de invasão além do laptop de um funcionário
Inicialmente, a Binance sugeriu que um invasor havia comprometido o laptop de um engenheiro de DevOps, acessado um contêiner de serviço interno e enviado transações de saque não autorizadas. Em sua declaração preliminar, afirmou não ter encontrado evidências de vazamento das chaves privadas das carteiras. coindesk.com
Mais tarde, a empresa ampliou essa explicação:
“Nossa investigação inicial sugeriu que o incidente de segurança poderia envolver um laptop comprometido; no entanto, nossa investigação subsequente revelou pontos de invasão adicionais.”
Essa atualização significa que a hipótese do laptop não deve ser apresentada como uma explicação completa e definitiva. A Binance ainda não esclareceu publicamente todo o incidente.
A análise técnica da TRM aponta para um possível comprometimento da infraestrutura de assinatura das carteiras quentes da exchange. Na Ethereum, os investigadores identificaram um mecanismo de autorização que permitia que códigos controlados pelo invasor direcionassem as atividades das carteiras. Em outras redes, os fundos foram movimentados por meio de transações assinadas convencionais.
Essa distinção é importante: transferências não autorizadas podem ocorrer se um invasor manipular os sistemas que aprovam as transações, mesmo sem expor publicamente uma chave privada. Portanto, a investigação precisa examinar tanto o acesso aos serviços internos quanto os controles que regem a aprovação das transações.
Cerca de US$ 3 bilhões congelados enquanto a Binance promete cobrir as perdas
A Binance afirmou que aproximadamente US$ 3 bilhões em ativos afetados foram congelados com a cooperação de parceiros. Estimativas independentes publicadas em momentos anteriores ficaram mais próximas de US$ 2,7 bilhões, devido a diferenças de cronologia e contabilização.
Os valores iniciais informados para Tether e Circle foram de aproximadamente US$ 971 milhões em USDT e US$ 823 milhões em USDC. Esses valores devem ser considerados estimativas preliminares: reportagens posteriores apontaram um total congelado pela Tether consideravelmente maior.
Os emissores de stablecoins podem restringir transferências envolvendo seus tokens. Bitcoin e Ether nativos não têm um mecanismo equivalente de congelamento operado por um emissor. Isso torna a recuperação mais complicada, mas não significa que rastrear os fundos ou apreendê-los posteriormente seja impossível.
A Binance prometeu cobrir as perdas com recursos da empresa e do seu Fundo de Ativos Seguros para Usuários, conhecido como SAFU. O fundador Changpeng Zhao também manifestou a expectativa de que os usuários fossem totalmente ressarcidos, ressaltando que já não administra a exchange.
De acordo com a declaração de 30 de outubro fornecida para este artigo, a Binance reservou mais de US$ 6,34 bilhões em fundos da empresa. A empresa afirmou que US$ 5 bilhões já estavam mantidos nos ativos específicos em tokens afetados, enquanto as compras restantes seriam realizadas por meio de canais de mercado e de balcão.
Essa declaração descreve o financiamento para repor os ativos, não a recuperação de US$ 6,34 bilhões do invasor. A Binance afirmou que a liquidez limitada dos tokens e os prazos de liquidação poderiam atrasar a conclusão do processo.
Quando os saques da Binance serão retomados?
Em sua atualização sobre a investigação, publicada em 30 de outubro, a Binance afirmou que continuava no cronograma para retomar os saques dentro do prazo informado de 45 horas. Essa estimativa começa a contar a partir da atualização, e não do momento em que o cliente lê o comunicado.
Naquela atualização, a exchange afirmou que os depósitos não haviam sido afetados e que as saídas não autorizadas tinham sido interrompidas após a suspensão dos saques. A retomada estava prevista para ocorrer dentro do prazo informado; isso não confirmava que os saques já haviam sido retomados.
Os mercados de fato caíram após a notícia. A Associated Press informou que o Bitcoin recuou 3,2%, ficando abaixo de US$ 79.000 na noite de quinta-feira. Esse dado pontual não comprova uma queda uniforme de 2% a 4% entre as criptomoedas nem prova que o incidente teve pouco impacto no mercado.
Os próximos marcos relevantes são a confirmação do acesso aos saques, a conclusão das compras de ativos para reposição e uma explicação detalhada da invasão. O compromisso de reembolso da Binance cobre o déficit financeiro; para recuperar a confiança dos clientes, também será necessário comprovar que os sistemas por trás das transações não autorizadas foram protegidos.