O ataque hacker à Binance não quebrou a criptografia. Quebrou o controle
Em 29 de outubro de 2026, por volta das 20h05 UTC, cerca de 6,3 bilhões de dólares em criptomoedas saíram das hot wallets da Binance por meio de aproximadamente dez blockchains. É o maior roubo de criptomoedas registrado até agora.
A Binance confirmou que absorverá 100% do impacto. Já reservou mais de 6,34 bilhões de dólares em fundos próprios e do fundo SAFU. Desse total, 5 bilhões já estão nos mesmos ativos afetados, e cerca de 3 bilhões foram congelados on-chain. Os usuários não perderão seus saldos.
Mas o dado mais importante não é o valor. É como aconteceu.
Segundo a própria investigação da Binance, não há evidências de que as chaves privadas das carteiras tenham sido vazadas. A investigação inicial apontou para um laptop comprometido de um engenheiro de DevOps, mas outros pontos de acesso foram identificados posteriormente. O que foi confirmado on-chain é que o sistema de assinaturas da Binance gerou assinaturas válidas que o invasor utilizou.
No Ethereum, o invasor usou a EIP-7702, uma melhoria ativada em maio de 2025 com a atualização Pectra. Essa funcionalidade permite que uma conta comum delegue temporariamente sua execução a um contrato inteligente. O invasor obteve 50 autorizações assinadas com a chave de uma hot wallet da Binance, cada uma com um nonce consecutivo diferente. Uma delas correspondeu. Três minutos depois, uma única transação esvaziou centenas de milhares de $ETH e mais de 1,6 bilhão de USDT.
A EIP-7702 não é o problema. É um amplificador. Quando o sistema que gera as assinaturas é comprometido, uma ferramenta criada para melhorar a experiência do usuário se torna um multiplicador de danos. A delegação permaneceu ativa por horas, e os sistemas automatizados da Binance continuaram enviando depósitos para a mesma carteira enquanto o invasor os retirava. $XRP
Esse padrão não é novo. A TRM Labs e a Chainalysis atribuíram o ataque, com alto grau de confiança, ao TraderTraitor, a unidade do Lazarus Group especializada em criptomoedas. O mesmo grupo foi responsabilizado pelo FBI pelo ataque à Bybit em 2025. Meses antes, a Bitget sofreu um ataque de natureza semelhante (comprometimento do backend de assinaturas, não das chaves). O valor foi de cerca de 387 milhões, não de 6.300. A diferença não foi apenas de tamanho: foi de arquitetura de controle e de capacidade de contenção entre as camadas hot, warm e cold.
As cold wallets da Binance não foram afetadas. O dano se concentrou onde o sistema de assinaturas precisa operar todos os dias para processar saques. Esse é o verdadeiro ponto fraco: não a criptografia, mas o controle operacional que decide o que é assinado e quando.
A Binance disse que espera compartilhar mais descobertas técnicas e um relatório post-mortem. Também planeja retomar os saques gradualmente e publicar uma Proof of Reserves atualizada. Esses dados ajudarão a verificar a cobertura das reservas. Mas o mecanismo que tornou o ataque possível continuará sendo importante meses depois.
A lição não é que as corretoras sejam inseguras por definição. É que a segurança de uma plataforma centralizada depende tanto de suas chaves offline quanto dos controles que protegem o sistema que as utiliza. Quando esse sistema é comprometido, o tamanho do saldo e a velocidade de execução se tornam o maior risco.
Entender esse padrão é mais útil do que acompanhar o valor do dia.