Como aconteceu o ataque à Binance? Investigação detalhada do roubo de US$ 6 bilhões

Em 29 de outubro de 2026, um invasor desviou cerca de US$ 6,15 bilhões da Binance em 31 minutos, um dos maiores roubos da história das criptomoedas — ou melhor, da história da internet.
A Binance estimou inicialmente as perdas em US$ 6,3 bilhões; o rastreamento de cada transação feito pela empresa de análise de blockchain BitOK calcula que elas chegaram a US$ 6,15 bilhões, distribuídos por nove blockchains.
O invasor nunca roubou as chaves privadas da Binance. Em vez disso, fez com que os próprios sistemas da Binance aprovassem o roubo. Este guia acompanha o assalto em ordem e explica cada termo técnico ao longo do caminho. Todos os horários estão em UTC.
O básico: como uma corretora movimenta dinheiro
As carteiras quentes são as carteiras online de uma corretora, mantidas conectadas para que os saques sejam processados rapidamente.
Assinatura. Cada transferência precisa ser aprovada com a chave privada de uma carteira, um número secreto. As corretoras usam sistemas automatizados para assinar milhares de pagamentos por dia.
Nonces são os contadores de transações das carteiras Ethereum. O nonce de uma carteira movimentada aumenta constantemente.
Moedas que podem ser congeladas. Emissores de stablecoins como a Tether (USDT) e a Circle (USDC) podem congelar endereços. Ninguém pode congelar moedas nativas como BTC, ETH ou TRX.
28 de outubro: preparação antes do hack
Toda transação em blockchain custa uma pequena taxa. Para abastecer suas carteiras sem deixar rastros, o atacante usou a Tornado Cash, um “misturador” que reúne moedas de vários usuários para que os saques não possam ser vinculados aos depósitos.
Seis saques da Tornado Cash financiaram a carteira do operador e a de dois ajudantes.
29 de outubro, 02:28–16:47 UTC: dois ensaios
Antes de atacar a Binance, o atacante praticou com suas próprias carteiras, como um ladrão poderia testar uma gazua na própria porta de casa primeiro.
A ferramenta era um contrato inteligente: um programa que funciona na Ethereum e faz exatamente o que seu código determina. Este foi criado para esvaziar qualquer carteira que lhe desse permissão para agir em seu nome. (O recurso EIP-7702 da Ethereum permite esse tipo de autorização; falaremos mais sobre isso abaixo.)
02:28 — o atacante publica uma versão de teste do programa de drenagem.
13:51–14:24 — primeiro ensaio. O atacante coloca pequenas quantias de USDT e USDC em duas de suas próprias carteiras, dá ao programa de teste permissão para operá-las e o aciona. As duas carteiras são esvaziadas. A ferramenta funciona.
15:59 — o atacante publica a versão final, usada mais tarde contra a Binance.
16:20–16:47 — segundo ensaio, repetindo o teste com a versão final.
A versão final tinha um poder a mais: podia fazer qualquer coisa com uma carteira, não apenas enviar tokens. Naquela noite, isso permitiu que ela ordenasse a uma carteira da Binance que liberasse 823 milhões de USDC. Uma ferramenta tão personalizada sugere que o atacante já sabia como as carteiras da Binance eram configuradas.
“A diferença entre as duas versões foi crucial. O contrato principal incluía uma função capaz de executar chamadas arbitrárias em nome de uma carteira que lhe tivesse delegado o controle. Mais tarde, o atacante usou essa função para drenar 823 milhões de USDC de uma carteira inteligente da Binance”, explicou a BitOK.
29 de outubro, 20:04 UTC: a drenagem de 31 minutos
Das 20:04:52 às 20:35:53, o atacante esvaziou carteiras quentes da Binance na XRP Ledger, Solana, Bitcoin, Ethereum, Tron, Base, Optimism, Arbitrum e Avalanche. O saque incluiu:
18,270.2 BTC,
197,540 ETH,
2.49 bilhões de USDT,
823 milhões de USDC,
233.46 milhões de XRP,
970,522 SOL e dezenas de outros tokens.
Todas as transferências foram assinadas pelas próprias carteiras da Binance. A BitOK as identificou pelos padrões: taxas de 2 a 2.7 vezes maiores que o normal, formatos de transação que o software de pagamentos da Binance não usa e, na Ethereum, transferências falsas inseridas entre pagamentos reais a clientes.
O atacante invadiu o laptop de um engenheiro de DevOps e, em seguida, usou um contêiner de serviço (um programa empacotado que funciona dentro dos sistemas da Binance) para enviar ordens falsas de saque.
Foi a jogada mais engenhosa da noite. O alvo era uma movimentada carteira quente de Ethereum chamada Binance 14.
O plano. Usando o EIP-7702, uma carteira pode assinar uma autorização que permite que um contrato inteligente aja em seu nome. Se a Binance 14 assinasse uma autorização indicando o contrato do atacante, ele passaria a controlar a carteira.
O problema. A autorização só funciona se contiver o número atual da transação da carteira, seu nonce. A Binance 14 estava pagando clientes sem parar, então esse número mudava o tempo todo. Uma autorização com o número errado simplesmente é ignorada.
O truque. Às 20:20:59, o atacante fez o sistema de assinatura da Binance assinar 50 autorizações de uma só vez, cada uma com um número diferente. Imagine testar 50 chaves em uma fechadura ao mesmo tempo: só uma precisa servir. E serviu. A Binance 14 passou a aceitar ordens do contrato do atacante, mas continuou funcionando normalmente, então o dinheiro continuou entrando.
O resultado. Minutos depois, uma única transação esvaziou 65 tokens diferentes, avaliados em mais de US$ 2.2 bilhões, incluindo 1.615 bilhão de USDT e 167,464 ETH. Às 20:41 e às 20:59, o contrato também fez outra carteira da Binance enviar 823 milhões de USDC.
Binance 16. Uma segunda carteira quente foi roubada de forma mais simples. O sistema da Binance recebeu nove transferências falsas, que assinou e enviou junto com os pagamentos reais aos clientes. Elas continham 28,005.6 ETH e 55.7 milhões de USDT.
Na Ethereum, 500 milhões de USDT saíram do endereço principal de recebimento em seis minutos. Entre 20:34 e 21:09, o atacante trocou 435 milhões de USDT por ETH na Uniswap, uma corretora descentralizada operada por código. Também depositou 60 milhões de USDT na Aave, um protocolo de empréstimos, e tomou emprestados 19,762 ETH usando esse valor como garantia, deixando para trás a garantia que podia ser congelada.
Na Tron, 612.7 milhões de USDT saíram da carteira Binance-Hot 7. Em 16 trocas na SunSwap, a principal corretora descentralizada da Tron, o atacante converteu 234 milhões de USDT em 638.2 milhões de TRX.
Para congelar USDT, a Tether precisava de três aprovações de sua carteira multisig, uma configuração que exige várias assinaturas. Cada congelamento levava até 2 minutos e 36 segundos, e as solicitações pendentes ficavam visíveis na blockchain. O atacante podia ver que um congelamento estava a caminho e agir primeiro: uma carteira transferiu 130 milhões de USDT apenas 48 segundos antes de ser congelada. Mas, em um endereço, o atacante hesitou e perdeu quase 175 milhões de USDT.
Todos os 823 milhões de USDC ainda estavam em um único endereço e foram congelados em uma só transação.
Congelados pela Tether e CircleMontanteEthereum USDT$1.38 bilhãoEthereum USDC$823 milhõesTron USDT$378.7 milhõesAvalanche USDt$8.4 milhõesTotal$2.59 bilhões
Outros emissores congelaram USD1, XAUt, PAXG, wBETH e FDUSD, e o emissor da BEAM queimou 984 milhões de tokens roubados. O Conselho de Segurança da Arbitrum, um órgão de emergência com 12 membros, confiscou 8,426 ETH e 74.56 milhões de ARB.
No total, cerca de US$ 2.79 bilhões foram congelados, queimados ou confiscados. Ainda assim, 669 milhões de USDT já tinham sido convertidos em ETH e TRX.
21:43–00:10 UTC: a carteira que continuava sendo roubada
A Binance 14 ainda estava sob o controle do atacante.
21:43:59 — uma recarga rotineira da Binance envia 200 milhões de USDT para a Binance 14. Doze segundos depois, o contrato transfere tudo. Os USDT chegam a um endereço já congelado, mas quase 370 ETH escapam.
22:39 — outra transferência leva 128.49 ETH.
23:56 — 2,961.91 ETH são transferidos um minuto depois de chegarem.
00:10:35, 30 de outubro — a Binance finalmente cancela a transferência de controle.
O atacante controlou a carteira por quase quatro horas.
Para onde foram os 18,270 BTC
Às 20:20:06, 11 transações transferiram 18,270.2 BTC de uma carteira quente da Binance, pagando o dobro da taxa habitual. As moedas foram divididas entre 19 endereços, 17 deles com 1,000 BTC cada. Até 30 de outubro, nenhuma tinha sido movimentada. O registro público do Bitcoin permite rastreá-las, mas ninguém pode congelá-las.
A maior descoberta da BitOK: fundos roubados da Binance chegaram ao mesmo endereço Ethereum que já estava recebendo os valores do hack da Bitget de setembro de 2026.
O atacante movimentou TRX e USDT pela THORChain, um protocolo que troca moedas entre blockchains, e recebeu ETH em 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
Esse endereço já havia recebido ETH rastreado até o hack da Bitget. Os fundos vieram de endereços de Bitcoin que constavam na lista publicada pela Bitget de carteiras do atacante, ativas desde 23 de outubro, e originalmente eram ZEC, uma moeda que nunca foi roubada da Binance.
Até às 06:20, o endereço havia recebido oito pagamentos ligados à Bitget (349.46 ETH) e cinco ligados à Binance (13.63 ETH), depois enviou os fundos misturados para novas carteiras. Um endereço compartilhado, por si só, não identifica quem está por trás de nenhum dos dois ataques.
Os dois ataques envolveram invasões a sistemas internos sem roubo de chaves privadas, e a Bitget atribuiu seu hack à Coreia do Norte. A BitOK também observa características que associa a grupos norte-coreanos: ensaios, financiamento por meio da Tornado Cash, trocas instantâneas de tokens que podem ser congelados e preparação durante o horário de trabalho UTC+9.
“O endereço compartilhado de lavagem de dinheiro recém-identificado é uma evidência mais forte de sobreposição operacional do que semelhanças apenas nas táticas. A BitOK avalia que os dois roubos podem estar ligados ao mesmo grupo norte-coreano e que um operador controlou os fluxos de lavagem observados. Isso continua sendo uma atribuição analítica, não uma prova da identidade no mundo real de todos os envolvidos”, afirmou a BitOK.
A resposta da Binance
A Binance pausou os saques de suas carteiras quentes de Bitcoin e Tron por volta das 20:36, enquanto os depósitos continuaram. A empresa se comprometeu a cobrir todas as perdas dos clientes com seu fundo de emergência SAFU e seus próprios recursos.
Quero falar diretamente com vocês sobre o que aconteceu. Em resumo: seu dinheiro está seguro, e vamos cobrir todas as perdas. Nossa investigação inicial sugere que este incidente de segurança pode ter começado com o comprometimento do laptop de um engenheiro de DevOps. Isso deu ao atacante acesso a um…
 — Richard Teng (@_RichardTeng) 30 de outubro de 2026
Em todo o mercado, posições alavancadas no valor de US$ 1.58 bilhão foram liquidadas em 24 horas, segundo a Coinglass.
O que os atacantes ainda têm?
Até às 06:20 de 30 de outubro, a BitOK associava o atacante a:
197,460 ETH,
18,270.2 BTC,
233.46 milhões de XRP,
cerca de 970,500 SOL,
675.9 milhões de TRX,
e 1.61 milhão de AVAX.
Só o ETH, o BTC, o XRP e o SOL valiam cerca de US$ 2.95 bilhões.
Os atacantes sequestraram o sistema que assina os saques da Binance. A BitOK compartilhou lições a serem aprendidas com o hack da Binance para o setor de criptomoedas.
“O incidente da Binance mostra por que a segurança das chaves privadas, por si só, não é suficiente. As corretoras também precisam controlar a autoridade de assinatura, proteger-se contra instruções de saque suspeitas, revogar prontamente permissões comprometidas e monitorar continuamente a movimentação de ativos entre redes.”