Em 29 de outubro de 2026, a Binance sofreu um incidente de segurança grave e altamente sofisticado. Isso não deveria ter acontecido, e pedimos desculpas pela preocupação, pelas interrupções e pela incerteza que isso causou aos nossos usuários, parceiros e ao setor em geral.
Nossa principal responsabilidade é proteger os usuários. A Binance assumirá o impacto financeiro dos fundos roubados, não os nossos usuários. Já reservamos mais de 100% dos fundos necessários para cobrir as perdas. Em 31 de outubro de 2026, 98% dos ativos em tokens afetados já haviam sido restituídos, o que pode ser verificado em nossa página de Prova de Reservas (Proof of Reserves). No momento, estamos em processo de aquisição dos ativos restantes, que têm menor liquidez.
O incidente afetou aproximadamente USD 6.340 milhões em ativos digitais. Até a data desta atualização, aproximadamente USD 2.850 milhões em ativos digitais foram congelados ou interceptados, sujeitos a reconciliação e à volatilidade dos preços de mercado.
Tomamos medidas imediatas para conter o incidente e reforçar os sistemas envolvidos. Fechamos os pontos de acesso identificados como tendo sido usados no ataque. Reconstruímos ou substituímos os sistemas envolvidos no caminho do ataque. Também implementamos controles mais rigorosos nos dispositivos, reforçamos os controles de risco dos serviços de carteira e ampliamos a detecção de anomalias comportamentais baseada em inteligência artificial (IA).
Este é nosso relatório inicial. Nele, apresentamos o que sabemos até o momento e as melhorias que já implementamos. A investigação continua, e nossas conclusões estarão sujeitas a uma revisão independente adicional. Alguns detalhes técnicos permanecerão confidenciais para evitar que agentes maliciosos possam usá-los para planejar ataques. Estamos trabalhando com empresas independentes especializadas em segurança para realizar uma revisão adicional.
As informações mais recentes publicadas pelo Departamento Federal de Investigação dos Estados Unidos (FBI) indicam que a República Popular Democrática da Coreia é responsável por este incidente.
Compartilhamos este relatório inicial porque a segurança melhora quando o setor aprende e compartilha conhecimento em conjunto.
O que aconteceu em 29 de outubro
O ataque se desenvolveu rapidamente por várias redes.
O invasor aproveitou o acesso não autorizado a um serviço interno de assinatura de transações de carteiras para iniciar operações fora do processo habitual de saques.
Entre 20:05 e 20:09 UTC, cinco carteiras quentes da Binance enviaram 233,46 milhões de XRP para um endereço controlado pelo invasor.
As carteiras quentes da Binance na Solana e na Optimism enviaram aproximadamente 970.500 SOL e 44,2 milhões de OP para endereços controlados pelo invasor.
Posteriormente, a Binance recebeu um alerta interno relacionado a transferências de grandes volumes e iniciou imediatamente uma investigação.
Uma carteira quente da Binance enviou 18.270 BTC para um endereço controlado pelo invasor.
Em seguida, o invasor usou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor sua chave privada. Neste caso, o invasor usou esse mecanismo para conceder a um contrato inteligente sob seu controle direitos parciais de execução sobre uma carteira quente da Binance.
A Binance iniciou imediatamente várias medidas de contenção, incluindo a suspensão dos saques para limitar novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e a implementação de medidas para revogar as permissões não autorizadas. Esses esforços permitiram congelar um total de USD 2.850 milhões em ativos.
No entanto, a suspensão dos saques, por si só, não podia interromper todas as movimentações de ativos não autorizadas. As autorizações maliciosas do EIP-7702 já existiam na blockchain (on-chain) e operavam independentemente da infraestrutura habitual de saques da Binance.
Os invasores enviaram 50 transações de assinatura para manipular o nonce da conta e estabelecer autorizações de delegação maliciosas. Depois de estabelecidas, essas autorizações permitiram que continuassem transferindo ativos independentemente da infraestrutura habitual de saques da Binance. Por isso, a Binance teve que executar transações adicionais para revogar essas autorizações na blockchain.
O processo de contenção envolveu complexidades técnicas adicionais. Como a carteira quente usava computação multipartidária (MPC), não havia uma única chave privada que pudesse ser usada para revogar imediatamente as autorizações maliciosas do EIP-7702. Por isso, a equipe desenvolveu e executou um procedimento especializado para revogar essas autorizações, o que levou mais tempo. Além disso, a suspensão dos saques e o encerramento dos serviços de carteiras quentes não invalidavam automaticamente as autorizações existentes na blockchain.
Esses desafios prolongaram o tempo necessário para conter completamente as movimentações de ativos não autorizadas. Estamos revisando o processo de resposta ao incidente, a cobertura das políticas de assinatura e os controles das carteiras quentes, além de identificar oportunidades para reforçar nossa capacidade de responder rapidamente a ameaças futuras.
A última transferência não autorizada, no total de 2.961,9 ETH, foi confirmada na blockchain às 23:56 UTC. A transação havia sido transmitida anteriormente e permaneceu pendente antes de ser confirmada. Depois dessa operação, não foram observadas novas transferências não autorizadas.
Às 00:10 UTC de 30 de outubro de 2026, a Binance executou uma nova autorização da carteira quente Binance14 para o endereço zero, removendo assim o código de delegação EIP-7702.
Preparação do ataque
Nossa investigação atual indica que se tratou de uma campanha sofisticada e com várias etapas. Não foi uma invasão isolada nem um simples incidente de falsificação de identidade (phishing). Os invasores combinaram várias técnicas, incluindo engenharia social por meio de falsas entrevistas de emprego, downloads de software malicioso, ferramentas internas de IA comprometidas, comprometimento de dispositivos e um método avançado de autorização de transações.
Junho de 2026: ataque à cadeia de suprimentos de software
O engenheiro A, da equipe de DevOps de Carteiras, baixou uma instalação modificada do Homebrew para instalar uma ferramenta popular de programação baseada em IA, depois de pesquisá-la em um mecanismo de busca.
Nossa equipe de segurança detectou a anomalia, substituiu o dispositivo e renovou todas as credenciais relacionadas como medida preventiva. No entanto, a estação de trabalho do engenheiro A e as de seus colegas da equipe de infraestrutura de carteiras ficaram expostas ao invasor.
Durante 2026, a equipe de segurança da Binance detectou e evitou 57 possíveis ameaças cibernéticas ligadas à Coreia do Norte. Essas tentativas refletem a ameaça persistente que agentes patrocinados por Estados representam para o setor de criptomoedas.
Entre as técnicas utilizadas estão entrevistas de emprego fraudulentas, software malicioso disfarçado de ferramentas populares para desenvolvedores, pacotes de software e extensões de navegador comprometidos, aplicativos falsos de videoconferência e campanhas de engenharia social criadas para roubar credenciais ou instalar programas maliciosos de acesso remoto.
Setembro de 2026: engenharia social
O engenheiro de software B foi contatado por meio de uma plataforma legítima de busca de emprego por uma pessoa que se passou por gerente de projetos. O engenheiro B tinha um perfil nessa plataforma que mencionava sua experiência na Binance.
O suposto gerente de projetos organizou uma primeira entrevista com um representante de Recursos Humanos, seguida de uma segunda entrevista com uma pessoa que afirmou ser o diretor executivo de uma empresa fictícia.
Durante a primeira entrevista, o suposto representante de Recursos Humanos fez uma videochamada ao vivo com o engenheiro de software B. Para gerar confiança, o entrevistador compartilhou com ele uma conta de rede social que incluía fotos e vídeos pessoais publicados na plataforma. Esse método foi mais avançado e enganoso do que as técnicas de engenharia social observadas anteriormente.
A segunda entrevista foi realizada por meio de um aplicativo popular de mensagens sociais. Perto do fim da entrevista, o engenheiro B foi instruído a baixar no computador de trabalho um “teste técnico” que continha um repositório de código malicioso. O repositório incluía código malicioso que foi executado durante o processo de configuração e iniciou uma série de atividades não autorizadas.
O malware empregava técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo invasor.
O malware de dia zero (zero-day) não foi detectado naquele momento pelas ferramentas de proteção dos dispositivos. O invasor também tomou medidas para ocultar a atividade maliciosa e eliminar vestígios da invasão, o que dificultou tanto sua detecção quanto a investigação posterior.
O script executou as seguintes etapas usando técnicas de ofuscação para escapar dos mecanismos de detecção de segurança:
texto
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3.414 B
DELETE .../libexec/pyenv (3.344 B)
← excluir o arquivo pyenv legítimo
RENAME pyenv_ → pyenv (3.414 B)
← substituí-lo por uma versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3.414 B)
ln (criar um novo link simbólico) + spawn zsh
20 de outubro de 2026: uso de uma ferramenta interna de IA como ponto de entrada
O invasor aproveitou o computador comprometido do engenheiro B e usou uma ferramenta interna de IA para obter controle sobre o engenheiro A, de DevOps de Carteiras, e outro engenheiro de software de Carteiras, identificado como engenheiro C.
Pouco depois, o invasor descobriu que o engenheiro A tinha em seu computador um token com permissões para implantar contêineres.
29 de outubro de 2026: acesso às operações de assinatura de carteiras
Em 29 de outubro, entre 17:15 e 19:56 UTC, o invasor fez login no computador do engenheiro de software C, usou as credenciais roubadas do engenheiro A, de DevOps de Carteiras, implantou um contêiner e executou um script malicioso para iniciar o ataque.
Medidas que implementamos
Até 3 de novembro de 2026, realizamos as seguintes ações:
Reconstruímos o sistema de carteiras afetado em um novo ambiente.
Reconstruímos a ferramenta interna de IA afetada e reforçamos seus controles de acesso.
Substituímos os dispositivos afetados.
Desativamos as credenciais e os tokens relacionados aos engenheiros afetados.
Concluímos análises de segurança reforçadas nos dispositivos de todos os funcionários.
Aprimoramos a detecção de anomalias comportamentais baseada em IA.
Reforçamos os controles de risco dos serviços de carteira.
Trabalhamos com as autoridades, empresas de inteligência de blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
Continuaremos reforçando nossas medidas à medida que a investigação avançar. Já implementamos e estamos implementando várias medidas de segurança que permanecerão confidenciais para evitar que agentes maliciosos comprometam nossos sistemas.
Próximas medidas
Estamos tomando imediatamente as seguintes medidas:
1. Revisão independente de cibersegurança
Estamos contratando especialistas independentes em cibersegurança para realizar uma revisão abrangente do incidente, validar nossas conclusões e recomendar medidas adicionais.
O escopo e os resultados desta revisão servirão de base para nossas atividades contínuas de correção e aprimoramento.
2. Maior investimento em segurança e prevenção por meio de IA
Estamos aumentando nosso investimento em detecção baseada em inteligência artificial, proteção de dispositivos, segurança de ambientes de desenvolvimento e monitoramento de anomalias comportamentais.
3. Fundo de pesquisa em segurança e iniciativas para o setor
Estamos trabalhando para criar um fundo de pesquisa em segurança e desenvolver iniciativas específicas junto com empresas líderes de IA, participantes do setor e empresas especializadas em segurança, com foco especial na segurança da IA em ambientes de blockchain.
Continuaremos compartilhando informações proativamente à medida que estiverem disponíveis.