A corretora de criptomoedas Binance está cooperando com o Federal Bureau of Investigation (FBI) dos Estados Unidos para recuperar cerca de US$ 3 bilhões em ativos congelados no maior roubo de criptomoedas da história. Uma fonte familiarizada com o caso informou à imprensa que a Binance já reservou mais de US$ 6,34 bilhões em fundos da empresa para cobrir as perdas. Desse total, US$ 5 bilhões já correspondem exatamente aos tokens roubados, e o restante está sendo obtido por meio de canais de mercado e de negociação de balcão (OTC).
O ataque, ocorrido em 29 de outubro às 20h05 UTC, transferiu cerca de US$ 6,36 bilhões de endereços controlados pela Binance em aproximadamente 20 minutos, atravessando 10 blockchains. A empresa de análise de blockchain TRM Labs atribuiu o ataque, com alto grau de confiança, ao grupo de hackers norte-coreano TraderTraitor — identificado anteriormente pelo FBI como responsável pelo roubo de US$ 1,5 bilhão da Bybit em fevereiro de 2025. Em comunicado oficial de 30 de outubro, a Binance confirmou que cerca de US$ 3 bilhões já foram congelados por parceiros do setor e que está cooperando com as autoridades para recuperá-los. A empresa também prometeu que, no fim, todos os fundos dos usuários serão verificados publicamente por meio da Prova de Reservas (Proof of Reserves, PoR).
20 minutos, 10 blockchains: como o sistema de assinatura de carteiras quentes foi comprometido
Segundo dados da TRM Labs, a partir das 20h05 UTC de 29 de outubro, os atacantes transferiram cerca de US$ 6,36 bilhões de endereços controlados pela Binance para um único endereço dos atacantes, ao longo de uma janela de aproximadamente 20 minutos e envolvendo 10 blockchains. Este é o maior roubo de criptomoedas já registrado, superando os US$ 1,5 bilhão em perdas sofridas pela Bybit em fevereiro de 2025 e ficando muito acima do roubo de US$ 625 milhões da Ronin, sidechain da Axie Infinity, em fevereiro de 2022.
Em uma publicação oficial no X, a Binance afirmou que a investigação preliminar "indica que o incidente de segurança pode ter envolvido o comprometimento do notebook de um engenheiro de DevOps", o que permitiu que os atacantes acessassem um contêiner de serviço e enviassem transações de saque não autorizadas. A corretora também ressaltou que não foram encontrados indícios de vazamento das chaves privadas das carteiras. Esse detalhe aponta para uma falha nos controles de acesso do processo de assinatura de carteiras quentes, e não para um colapso do sistema subjacente de custódia de chaves — os atacantes obtiveram "permissão para enviar transações", não "as chaves para gerar assinaturas".
A análise da TRM Labs traça um panorama mais completo do ataque: os preparativos dos atacantes começaram pelo menos 36 horas antes. Primeiro, testaram o código em duas carteiras e ensaiaram em uma terceira; depois, esperaram cerca de quatro horas antes de lançar o ataque principal. Os fundos iniciais do endereço dos atacantes podem ser rastreados até um depósito feito pelo Tornado Cash na manhã do dia anterior ao ataque. Esses indícios apontam para um ataque coordenado e cuidadosamente ensaiado contra o sistema de assinatura de carteiras quentes em várias blockchains, e não para um incidente isolado causado por um erro de um funcionário. Para as corretoras, a verdadeira lição não é "quem clicou em um link malicioso", mas por que a aprovação por múltiplas assinaturas, os limites de saque e o monitoramento de comportamentos anômalos falharam simultaneamente na mesma janela de tempo.
Por trás do congelamento de US$ 3 bilhões: o "freio de emergência" dos emissores de stablecoins
Dos US$ 6,36 bilhões em fundos transferidos, cerca de US$ 3 bilhões foram congelados. De acordo com um instantâneo da TRM Labs às 00h30 UTC de 31 de outubro, cerca de US$ 2,7 bilhões foram bloqueados principalmente por emissores de stablecoins — incluindo Tether, Circle, Ripple e World Liberty Financial. Esses emissores podem congelar stablecoins em endereços específicos diretamente na blockchain, como se acionassem um "freio de emergência" no fluxo dos fundos. Mais tarde, a Binance atualizou o valor congelado para cerca de US$ 3 bilhões.
A Binance afirmou explicitamente em seu comunicado: "Até o momento, US$ 3 bilhões foram congelados. Agradecemos aos nossos parceiros do setor. Estamos trabalhando com parceiros e autoridades policiais para recuperar os ativos congelados." Esses fundos ainda não foram contabilizados no montante de US$ 6,34 bilhões em recursos corporativos reservados pela Binance — a corretora ressaltou que o valor reservado "não inclui ativos congelados ou protegidos, que ainda estão sendo objeto de recuperação e verificação". Em outras palavras, se os US$ 3 bilhões em ativos congelados forem recuperados e devolvidos aos usuários, o montante de recursos corporativos efetivamente utilizado pela Binance poderá ser significativamente inferior a US$ 6,34 bilhões.
Os cerca de US$ 2,4 bilhões restantes continuam nas mãos dos atacantes, sob a forma de Ethereum (ETH) e Bitcoin (BTC), incluindo mais de 420 mil ETH e 18.270 BTC. Como nenhum emissor pode intervir para congelar esses dois ativos, recuperá-los é significativamente mais difícil do que recuperar stablecoins. Em geral, isso depende do rastreamento on-chain pelas autoridades, da cooperação das corretoras e de apreensões judiciais. Isso também explica por que a Binance precisa envolver autoridades como o FBI: stablecoins podem ser congeladas pelos emissores, mas ativos nativos só podem ser interceptados pelas autoridades.
Suspeitas sobre a Coreia do Norte: TraderTraitor e os indícios que ligam o grupo ao caso Bybit
A TRM Labs atribuiu o ataque, com alto grau de confiança, ao TraderTraitor, um grupo de hackers ligado à Coreia do Norte. Em fevereiro de 2025, o FBI declarou publicamente que o grupo era responsável pelo roubo de US$ 1,5 bilhão da Bybit. Se essa atribuição for confirmada pelas autoridades, este será o segundo ano consecutivo em que um grupo de hackers norte-coreano realiza um roubo de criptomoedas na casa dos bilhões de dólares. Isso também significaria que as táticas de ataque a carteiras quentes de corretoras centralizadas estão evoluindo rapidamente.
O investigador on-chain ZachXBT apontou outra possível ligação: fundos roubados da Binance e os do roubo de US$ 388 milhões da Bitget em setembro apareceram no mesmo endereço após circularem pelo protocolo de transferências entre blockchains THORChain. "É muito provável que o mesmo agente tenha orquestrado os dois incidentes." A mistura de fundos entre blockchains e a agregação de endereços são métodos típicos de lavagem de dinheiro usados por grupos de hackers norte-coreanos, com o objetivo de ocultar o fluxo dos fundos e dificultar o rastreamento. O THORChain, um protocolo de liquidez entre blockchains sem permissão, também acabou no centro da atenção pública — segundo relatos, o token RUNE do THORChain chegou a subir 13% após a notícia do roubo à Binance.
É preciso ter cautela: a Binance ainda não identificou oficialmente nenhum atacante, limitando-se a dizer que está trabalhando com as autoridades para identificar os responsáveis. A atribuição da TRM Labs é uma avaliação de uma empresa de análise terceirizada; a confirmação definitiva ainda depende do respaldo das autoridades ou de documentos judiciais. Em incidentes de segurança envolvendo criptomoedas, uma atribuição incorreta pode acarretar riscos diplomáticos e jurídicos, razão pela qual corretoras e órgãos reguladores costumam agir com cautela.
A promessa de reembolso da Binance e o teste de reservas comprovadas
Diante de perdas recordes, a Binance optou por cobrir o prejuízo integralmente. A corretora anunciou que reservou mais de US$ 6,34 bilhões em recursos corporativos para cobrir as perdas. Desse total, US$ 5 bilhões já correspondem exatamente aos ativos roubados, e os cerca de US$ 1,34 bilhão restantes estão sendo adquiridos por meio do mercado e de operações OTC. A Binance explicou que essa etapa leva mais tempo porque alguns tokens têm baixa liquidez e a liquidação de operações OTC exige tempo. A corretora também afirmou que continuará utilizando recursos corporativos para cobrir o déficit confirmado e fornecerá novas atualizações, com verificações adicionais, à medida que a recuperação avançar.
De acordo com dados de classificação das reservas, a Binance ocupa o primeiro lugar entre as corretoras de criptomoedas, com US$ 134 bilhões em ativos totais. Ainda assim, mobilizar de uma só vez US$ 6,34 bilhões em recursos corporativos representa um grande teste. Dados da DeFiLlama mostram que, nas 24 horas após o incidente, a Binance processou saídas líquidas de cerca de US$ 6 bilhões, refletindo a pressão dos usuários para sacar fundos em uma situação extrema. Alguns saques on-chain, como os de Solana e XRP, foram temporariamente suspensos no início do incidente, enquanto os saques de BTC permaneceram disponíveis. Depois, a corretora retomou gradualmente os serviços.
Em seu comunicado, a Binance prometeu: "Em última análise, todos os fundos dos usuários serão verificados publicamente por meio de nossa Prova de Reservas." A PoR será o critério fundamental para avaliar se a corretora realmente cobre o déficit nos ativos dos usuários — sobretudo antes de ser concluída a verificação da titularidade dos US$ 3 bilhões em ativos congelados. Qualquer declaração sobre a "segurança dos fundos" precisa ser respaldada por evidências on-chain. Para o setor, o verdadeiro teste de estresse deste incidente não é se a Binance conseguirá reembolsar os usuários, mas se a PoR conseguirá oferecer transparência verificável em circunstâncias extremas.
Impacto no setor: arquitetura de carteiras quentes, rastreamento entre blockchains e cooperação regulatória
Este incidente voltou a expor os riscos sistêmicos associados à gestão de carteiras quentes por corretoras centralizadas. Seja a falha de controle de acesso decorrente do comprometimento do notebook de um engenheiro de DevOps, seja a falha coordenada do sistema de assinatura em várias blockchains, tudo indica que uma falha de proteção em um único ponto pode desencadear uma reação em cadeia entre blockchains. Para as corretoras, a separação entre carteiras quentes e frias, a aprovação por múltiplas assinaturas, os limites de saque e o monitoramento de comportamentos anômalos deixaram de ser opcionais: são requisitos básicos de sobrevivência. A capacidade dos atacantes de transferir fundos por 10 blockchains em 20 minutos também evidencia a complexidade do gerenciamento de riscos para corretoras na era multichain — um alerta em uma blockchain pode não chegar a tempo de impedir saques nas outras nove.
A eficiência da cooperação com as autoridades foi especialmente importante neste incidente. Em fevereiro de 2022, o Departamento de Justiça dos Estados Unidos anunciou que autoridades, incluindo o FBI, ajudaram a apreender 94 mil BTC, avaliados na época em US$ 3,6 bilhões, relacionados ao roubo da corretora Bitfinex em 2016. O caso Bitfinex, de oito anos atrás, demonstrou que, mesmo depois de os fundos terem sido transferidos por anos, as autoridades ainda podem recuperar grandes quantias por meio do rastreamento on-chain e de medidas judiciais. A capacidade da parceria entre a Binance e o FBI de repetir esse resultado dependerá do andamento da verificação dos ativos congelados e da eficiência da cooperação judicial internacional.
No mercado, o incidente provocou uma reação em cadeia. Além da alta de curto prazo do RUNE, o mercado de Bitcoin registrou cerca de US$ 1,6 bilhão em liquidações após o incidente. Essas oscilações lembram que o impacto de um incidente de segurança em uma corretora nunca se limita à própria plataforma: ele se espalha por todo o ecossistema cripto por meio de protocolos entre blockchains, cadeias de liquidação e contágio do sentimento do mercado.
Entre os próximos pontos a acompanhar estão: o resultado da verificação da titularidade dos US$ 3 bilhões em ativos congelados; a data de divulgação e o escopo do relatório de PoR da Binance; a confirmação oficial da identidade dos atacantes pelas autoridades; e se a corretora divulgará um plano mais detalhado para corrigir o sistema de assinatura de carteiras quentes. Para os usuários, após um incidente de segurança extremo, é mais útil acompanhar a prova de reservas da corretora e o progresso na recuperação dos fundos do que perseguir oscilações de preços de curto prazo.