Na noite de 29 de outubro de 2026, a Binance, a maior corretora de criptomoedas do mundo, sofreu o maior ataque cibernético da sua história. De acordo com dados de várias empresas de análise de blockchain, como TRM Labs, Chainalysis e Elliptic, os atacantes retiraram das carteiras quentes da Binance ativos avaliados em cerca de 6,3 a 6,4 bilhões de dólares, distribuídos por pelo menos 10 blockchains, em aproximadamente 20 minutos. A dimensão do ataque superou em muito o roubo de 1,5 bilhão de dólares sofrido pela Bybit em 2025.
A investigação preliminar oficial da Binance indicou que o incidente pode ter começado com a invasão do laptop de um engenheiro de DevOps. Os hackers conseguiram então acessar um contêiner de serviço e enviar transações de saque não autorizadas. A empresa ressaltou que, até o momento, não encontrou indícios de vazamento das chaves privadas das carteiras. Investigações posteriores identificaram «mais pontos de invasão», e a Binance afirmou que não se tratou de uma operação individual executada com um único clique. A empresa se comprometeu a ressarcir integralmente as perdas dos usuários com recursos do fundo SAFU e da própria empresa. Cerca de 3 bilhões de dólares em ativos já foram congelados na blockchain.
I. Pelo menos 36 horas de preparação revelam um elevado grau de organização
A análise on-chain da TRM Labs mostra que não se tratou de um ataque improvisado:
• A partir da manhã de 28 de outubro, o atacante fez com que a sua carteira recebesse três pequenos montantes do Tornado Cash.
• Na manhã de 29 de outubro, implementou a primeira versão do código do ataque e testou-a em duas carteiras.
• Mais tarde, nesse mesmo dia, ensaiou a versão final numa terceira carteira e, em seguida, transferiu de volta os fundos de teste.
• Cerca de 4 horas após o ensaio, o mesmo código foi instalado na carteira quente da Binance.
Na Ethereum, o atacante usou o mecanismo de delegação EIP-7702 e preparou antecipadamente 50 autorizações pré-assinadas com nonces consecutivos, garantindo que uma delas entrasse em vigor. Três minutos depois, começou a drenagem em larga escala das carteiras. Este processo de «testar primeiro, ensaiar depois e, por fim, recolher os fundos de uma só vez» é muito semelhante ao de vários incidentes anteriores atribuídos a organizações ligadas à Coreia do Norte.
II. Fluxo dos fundos e atribuição
A TRM Labs e a Chainalysis atribuíram este caso, com «elevado grau de confiança», à unidade de hackers de elite norte-coreana TraderTraitor, uma ramificação associada ao Lazarus Group. Entre os principais indícios estão os métodos de preparação, o padrão de financiamento através do Tornado Cash e as características dos levantamentos simultâneos em várias blockchains, compatíveis com o ataque à Bybit em 2025, que o FBI já atribuiu ao mesmo grupo.
Mais notável ainda: o investigador on-chain ZachXBT e a Chainalysis descobriram que parte dos fundos roubados à Binance passou pela THORChain e chegou ao mesmo endereço que recebeu fundos relacionados com o roubo de cerca de 388 milhões de dólares à Bitget, em setembro de 2026. Várias entidades já tinham atribuído o caso da Bitget à mesma organização.
III. O momento anómalo das operações no mercado de opções
Este é, neste momento, o aspeto que mais chama a atenção. Segundo Nicolas Quatravaux, responsável pela região EMEA da Paradigm (uma rede de liquidez institucional), em declarações ao CoinDesk:
• A primeira operação em bloco de grande dimensão com opções de venda ocorreu às 20:38 UTC, cerca de 15 minutos após a primeira saída de fundos da carteira da Binance, quando a notícia ainda não era pública.
• A operação consistiu na compra de 250 opções de venda de BTC com vencimento a 31 de outubro e preço de exercício de 78.000 dólares (cerca de 20 milhões de dólares em valor nocional).
• Três minutos depois, foi negociado novamente o mesmo contrato, na mesma quantidade, e o comprador pagou um prémio cerca de 35% superior.
• Nas 8 horas seguintes ao incidente, a Paradigm intermediou operações em bloco de opções de BTC com um valor nocional de cerca de 590 milhões de dólares, claramente pessimistas.
• As compras concentraram-se sobretudo na faixa próxima do preço de 74.000–78.000 dólares, e o período de maior atividade ocorreu antes mesmo de a Binance emitir um comunicado.
Este grande volume de compras de opções de venda de curto prazo, que surgiu após a saída de fundos on-chain e antes de as notícias se disseminarem amplamente, pode ter sido uma rápida operação de cobertura por traders profissionais que detetaram transferências anormalmente elevadas, ou uma posição montada por alguém com informação privilegiada. Não há provas públicas que confirmem diretamente a segunda hipótese, mas a janela temporal é, de facto, extremamente estreita.
IV. Questões que ainda precisam de esclarecimento
• Como foi comprometido o portátil do engenheiro?
• Quais são os detalhes técnicos do «ponto de intrusão adicional»?
• Qual foi o percurso completo do abuso do sistema de assinatura?
• Quem comprou aquelas opções tão cedo e qual foi a origem dos fundos?
• Qual será o destino dos cerca de 2,4 mil milhões de dólares que não foram congelados (sobretudo em ETH e BTC)?
A Binance afirmou que publicará um relatório técnico detalhado após a conclusão da investigação e atualizará a sua Prova de Reservas.
Em termos de preparação técnica, ritmo de execução e ligações dos fundos a incidentes anteriores, este caso apresenta características de elevada organização e planeamento prévio. O momento anómalo das operações no mercado de opções é a parte mais evidente e também a mais difícil de explicar apenas como uma coincidência. Não é necessariamente uma prova irrefutável de negociação com informação privilegiada, mas constitui certamente um sinal de alerta que merece ser acompanhado de perto.
No mercado das criptomoedas, a segurança e a transparência da informação são sempre fundamentais. Este incidente volta a lembrar-nos que importa acompanhar continuamente os controlos de acesso interno das corretoras, as infraestruturas de assinatura e o comportamento do mercado antes e depois de acontecimentos importantes.
Na sua opinião, o que merece ser mais investigado neste incidente: a vulnerabilidade técnica ou a coincidência do momento? Deixe a sua opinião nos comentários abaixo.
#幣安 #Binance #加密貨幣 #安全事件 #鏈上分析
