Às 20h05 UTC de 29 de outubro (17h05 em Brasília) alguém começou a mover dinheiro de carteiras da Binance em dez blockchains diferentes. Em cerca de 20 minutos saíram US$ 6,36 bilhões, segundo a TRM Labs. É quase quatro vezes o roubo da Bybit em 2025 (US$ 1,5 bilhão) e o maior desvio de cripto já registrado.

Como entraram. A primeira versão da Binance apontava para o notebook de um engenheiro de DevOps comprometido: com ele o invasor chegou a um container de serviço e passou a enviar saques não autorizados. Na sexta o co-CEO Richard Teng confirmou que a investigação achou outros pontos de invasão e que o ataque passou por cima do fluxo normal de aprovação usando o EIP-7702 da Ethereum, o recurso de delegação de conta. Dá para autorizar outro endereço a agir na sua carteira sem trocar a chave, e foi assim que uma carteira quente da exchange foi tomada sem passar pelos aprovadores. A Binance diz que não achou prova de vazamento de chave privada. O grupo também usou um mecanismo de autodestruição para apagar o rastro das ferramentas enquanto agia.

Quem foi. Ninguém foi acusado oficialmente. A TRM Labs atribuiu o ataque ao TraderTraitor, unidade norte-coreana também chamada Lazarus ou APT38, com "alto grau de confiança"; a Chainalysis concordou com a mesma confiança. A Binance não confirma autor e diz trabalhar com a polícia. Nos EUA o Secret Service lidera a apuração, o FBI diz estar ciente e Trump respondeu que o governo "está olhando" a Coreia do Norte.

O que já foi travado. Emissoras de stablecoin bloquearam cerca de US$ 2,7 bilhões: Tether US$ 1,56 bi, Circle US$ 800 mi, mais Ripple e World Liberty. O conselho de segurança da Arbitrum travou 8.426 ETH e 74,6 milhões de ARB. O que nenhuma emissora alcança continua com o invasor: mais de 420 mil ETH e 18.270 BTC, perto de US$ 2,4 bilhões. Enquanto os bloqueios saíam, ele vendia USDT para market makers e tomava ETH emprestado na Aave usando USDT como garantia.

A conta da Binance. A exchange diz que cobre tudo com o SAFU e caixa próprio. Reservou US$ 6,34 bilhões e já tem US$ 5 bilhões nas mesmas moedas roubadas, cerca de 80%; o resto compra no mercado e em OTC. Saques seguem suspensos e voltam em fases, com meta de 34 horas. Depósitos nunca pararam. Prova de reservas até segunda, 2 de novembro, e o relatório técnico em cerca de 48 horas.

O mercado. Medi na Binance agora: o BTC saiu de US$ 81.343 na abertura de 29/10 para US$ 77.424, queda de 4,8%, com mínima de US$ 76.326, 6,2% abaixo. O ETH caiu 4,9% e tocou US$ 2.174, o SOL 6,7% e o token da própria casa, o BNB, 8,1% no dia do ataque. A capitalização total está em US$ 2,60 trilhões, 2,85% menor em 24h, com dominância do BTC em 59,85%. Não foi pânico: o volume das últimas 24h é de US$ 72,4 bilhões. A Reuters registrou a queda junto com a notícia e também o escorregão de Coinbase, Strategy e Robinhood na bolsa.

O que eu olho agora. Dois pontos. A prova de reservas vai ser tirada depois da recompra, então ela mostra que o buraco foi fechado, não o tamanho do buraco no dia. Quem fala em serviço interno usa exatamente esse argumento, e a resposta da Binance só vem no relatório técnico. O segundo é o EIP-7702: é padrão da rede, não falha da casa. Qualquer conta que delegue permissão fica exposta do mesmo jeito, e carteira quente é hot wallet com nome bonito. O ataque não tocou chave privada, não tocou carteira fria, e ainda assim US$ 6,3 bilhões andaram em 20 minutos.

Eu mudei uma coisa na minha rotina: saldo parado em corretora passou a ter prazo de validade. Se você quiser conferir os números do dia, toca no $BTC aqui no texto e compara com o que está escrito acima.