Em 30 de outubro de 2026 (horário UTC+8), a Binance sofreu um incidente de segurança grave e altamente complexo. Isso não deveria ter acontecido. Pedimos sinceras desculpas pela preocupação, pelas interrupções e pela incerteza que esse incidente causou aos usuários, parceiros e a todo o setor.
Proteger os usuários é nossa principal responsabilidade. A Binance assumirá integralmente as perdas dos fundos roubados, e não os usuários. Mantivemos fundos superiores a 100% do valor necessário para cobrir as perdas causadas por esse incidente. Até 31 de outubro de 2026 (horário UTC+8), 98% dos ativos em tokens afetados já haviam sido repostos. Os usuários podem verificar isso em nossa página de Prova de Reservas. Estamos comprando os ativos restantes, que têm menor liquidez.
O valor dos ativos digitais envolvidos neste incidente é de aproximadamente 6,34 bilhões de dólares. Até esta atualização, cerca de 2,85 bilhões de dólares em ativos digitais foram congelados ou interceptados; o valor exato ainda precisa ser verificado e pode ser प्रभावितado por flutuações de preço de mercado.
Tomamos medidas imediatas para conter o impacto do incidente e reforçar a segurança dos sistemas relacionados. Todos os pontos de intrusão explorados neste ataque foram bloqueados, e os sistemas envolvidos na cadeia de ataque já foram reconstruídos ou substituídos. Além disso, reforçamos ainda mais o controle de dispositivos, o sistema de controle de risco dos serviços de carteira e expandimos a capacidade de detecção de comportamento anômalo com base em IA.
Este é o nosso relatório preliminar de investigação, que abrange o que sabemos até o momento e as melhorias que já concluímos. A investigação ainda está em andamento, e os resultados continuarão a passar por revisão independente adicional. Para impedir que atacantes maliciosos usem as informações relacionadas para planejar novos ataques, alguns detalhes técnicos permanecerão em sigilo. Estamos convidando uma empresa independente de segurança para realizar uma revisão adicional.
De acordo com as informações mais recentes divulgadas pelo FBI, a República Popular Democrática da Coreia (DPRK) é responsável por este incidente.
Divulgamos este relatório porque só com todo o setor aprendendo em conjunto e trocando experiências é possível elevar continuamente o nível de segurança.
Resumo do incidente de 30 de outubro
Este ataque se espalhou rapidamente por várias redes de blockchain.
Os atacantes exploraram acesso não autorizado obtido aos serviços internos de assinatura de carteiras para contornar o processo normal de saque e iniciar transações.
Entre 04:05 e 04:09 (horário do fuso UTC+8), cinco hot wallets da Binance transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes.
As hot wallets da Binance nas redes Solana e Optimism transferiram, respectivamente, cerca de 970.500 SOL e 44,2 milhões de OP para endereços controlados pelos atacantes.
Em seguida, a Binance recebeu um alerta interno sobre as transferências de grande valor e iniciou imediatamente uma investigação.
As hot wallets da Binance transferiram 18.270 BTC para endereços controlados pelos atacantes.
Posteriormente, os atacantes usaram o serviço de assinatura para abusar do mecanismo de autorização EIP-7702 da Ethereum. O EIP-7702 permite que uma conta delegue parte de sua capacidade de execução a contratos inteligentes sem expor a chave privada. Neste incidente, os atacantes usaram esse mecanismo para conceder aos contratos inteligentes sob seu controle parte da capacidade de execução das hot wallets afetadas da Binance.
A Binance então acionou várias medidas de resposta a incidentes, incluindo a suspensão dos saques para impedir novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e ações para revogar as permissões não autorizadas. Essas ações congelaram ativos no valor de cerca de 2,85 bilhões de dólares.
No entanto, apenas suspender os saques não era suficiente para impedir todas as transferências não autorizadas de ativos. As autorizações maliciosas do EIP-7702 já existiam na blockchain e operavam de forma independente da infraestrutura normal de saques da Binance. Os atacantes submeteram 50 transações assinadas para manipular o nonce da conta e estabelecer autorizações de delegação maliciosas. Uma vez estabelecidas essas autorizações, os atacantes puderam contornar a infraestrutura normal de saques da Binance e continuar transferindo ativos. A Binance precisou realizar transações adicionais na blockchain para revogar essas autorizações.
Havia também outras complexidades técnicas no processo de contenção do impacto do incidente. Como as hot wallets afetadas utilizavam tecnologia de computação multipartidária segura (MPC), não existia uma única chave privada que pudesse ser usada diretamente para revogar imediatamente as autorizações maliciosas do EIP-7702. Portanto, a equipe precisou de tempo adicional para projetar e executar individualmente um processo especial de revogação. Além disso, suspender os saques e desligar o serviço de hot wallet não faz com que as autorizações já existentes na blockchain sejam invalidadas automaticamente.
Os desafios acima prolongaram o tempo necessário para que conseguíssemos controlar integralmente as transferências não autorizadas de ativos. Estamos revisando o processo de resposta a incidentes deste evento, a cobertura da estratégia de assinaturas e os mecanismos de controle das hot wallets, bem como identificando áreas que podem ser fortalecidas para melhorar nossa capacidade de resposta rápida a ameaças de segurança no futuro.
A última transferência não autorizada de 2.961,9 ETH foi confirmada de forma final na blockchain às 07:56 (horário do fuso UTC+8). Essa transação já havia sido transmitida à rede e permaneceu em estado pendente de confirmação até ser finalmente confirmada. Desde então, nenhuma outra transferência não autorizada foi detectada.
Em 30 de outubro de 2026 às 08:10 (horário do fuso UTC+8), a Binance realizou uma nova operação de autorização a partir da hot wallet Binance14 para um endereço vazio, removendo o código de delegação EIP-7702.
Processo de preparação do ataque
Os resultados da investigação até o momento mostram que este incidente foi uma ação de ataque complexa em múltiplas fases, não um intrusão isolada e pontual, nem um simples ataque de phishing. Os atacantes combinaram diversas técnicas, incluindo engenharia social por meio de falsas entrevistas de emprego, download de software malicioso, invasão de ferramentas internas de IA, comprometimento de dispositivos de terminal e métodos avançados de autorização de transações.
Junho de 2026 — ataque à cadeia de suprimentos. O engenheiro A da equipe de desenvolvimento e operações de uma carteira, para instalar uma ferramenta popular de programação com IA, pesquisou em um mecanismo de busca e baixou um instalador do Homebrew adulterado. Nossa equipe de segurança detectou proativamente essa anomalia, substituiu o dispositivo e renovou todas as credenciais relacionadas. Ainda assim, as informações de cargo do engenheiro A, bem como as de seus colegas relevantes na equipe de infraestrutura da carteira, já haviam sido expostas aos atacantes.
Desde o início de 2026, a equipe de segurança da Binance detectou e impediu 57 incidentes de ameaças cibernéticas suspeitas de relação com a Coreia do Norte. Esses ataques refletem a ameaça contínua que atacantes apoiados por Estados representam para o setor de criptomoedas. Os métodos incluem falsas entrevistas de emprego, malware disfarçado de ferramentas populares de desenvolvimento, pacotes de software e extensões de navegador adulterados, aplicativos falsos de videoconferência e ataques de engenharia social destinados a roubar credenciais de conta ou implantar malware de acesso remoto.
Setembro — ataque de engenharia social. O engenheiro de software B recebeu contato, por meio de uma plataforma legítima de busca de emprego, de alguém se passando por diretor de projeto. No perfil pessoal que o engenheiro B mantinha na plataforma, havia menção à sua experiência de trabalho na Binance. A outra parte, apresentando-se como diretor de projeto, agendou a primeira rodada de entrevistas, com a participação de um representante de RH; em seguida, marcou uma segunda entrevista, na qual o entrevistador se dizia CEO da empresa fictícia.
Na primeira rodada de entrevistas, a pessoa se passando por representante de recursos humanos realizou uma entrevista por vídeo em tempo real com o engenheiro B. Para construir confiança, o entrevistador também compartilhou com o engenheiro B sua conta em uma rede social, cujo perfil continha fotos e vídeos da vida pessoal. Esse método era mais complexo e mais enganoso do que as técnicas anteriores de engenharia social.
A segunda rodada de entrevistas ocorreu por meio de um aplicativo popular de bate-papo social. Perto do final da entrevista, foi pedido ao engenheiro B que baixasse para o computador de trabalho uma “tarefa” contendo um repositório de código. Esse repositório continha código malicioso, que seria executado durante a instalação e, assim, desencadearia uma série de operações não autorizadas.
O malware empregava técnicas sofisticadas de ofuscação de código e evasão de detecção, incluindo a substituição de um componente legítimo de ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com servidores externos controlados pelos atacantes. Na época, as ferramentas de proteção de segurança do terminal não conseguiram detectar esse malware de dia zero. Os atacantes também adotaram medidas para ocultar o comportamento malicioso e apagar vestígios da intrusão, o que aumentou ainda mais a dificuldade de detecção e da investigação subsequente.
Este script contornou a detecção de segurança por meio de ofuscação de código e executou as seguintes ações:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← remover o pyenv legítimo
RENAME pyenv_ → pyenv (3,414 B) ← substituí-lo por uma versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (criar um novo link simbólico) + iniciar zsh
20 de outubro — uso de ferramentas internas de IA como trampolim do ataque. Os atacantes utilizaram o computador do engenheiro B, já comprometido, para controlar, por meio de ferramentas internas de IA, os dispositivos do engenheiro A, da equipe de desenvolvimento e operações da carteira, bem como de outro engenheiro de software da carteira, o engenheiro C. Os atacantes logo descobriram que o computador do engenheiro A continha um token com permissão para implantação de contêineres.
30 de outubro — infiltração na operação de assinatura da carteira. Entre 01:15 e 03:56 de 30 de outubro (horário do fuso UTC+8), os atacantes acessaram o computador do engenheiro de software C, utilizaram credenciais roubadas do engenheiro A para implantar um contêiner e executaram um script malicioso, iniciando assim este ataque.
Medidas que já tomamos
Até 3 de novembro de 2026, tomamos as seguintes medidas:
Reconstruímos os sistemas de carteira afetados em um novo ambiente.
Reconstruímos as ferramentas internas de IA afetadas e reforçamos os controles de acesso relacionados.
Substituímos os dispositivos afetados.
Desativamos as credenciais e os tokens relacionados aos engenheiros afetados.
Concluímos uma varredura de segurança reforçada em todos os dispositivos dos funcionários.
Reforçamos a capacidade de detecção de comportamento anômalo com base em IA.
Fortalecemos as medidas de controle de risco dos serviços de carteira.
Cooperamos com autoridades policiais, empresas de inteligência de blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
À medida que a investigação avança, continuaremos reforçando as medidas de segurança. Algumas das medidas de segurança que já concluímos ou que estamos implementando permanecerão em sigilo, para evitar que atacantes maliciosos usem essas informações para contornar nossas defesas de segurança.
Próximas ações
Vamos avançar imediatamente com os seguintes trabalhos:
Realizar uma revisão independente de cibersegurança
Estamos convidando especialistas independentes de cibersegurança de terceiros para realizar uma revisão abrangente deste incidente, validar nossas conclusões da investigação e propor recomendações adicionais de melhoria de segurança. O escopo e os resultados dessa revisão servirão de base para avançarmos continuamente nas ações de correção.
Ampliar os investimentos em segurança e prevenção baseadas em IA
Aumentaremos os investimentos em áreas como detecção de ameaças impulsionada por IA, proteção de terminais, segurança de ambientes de desenvolvimento e monitoramento de comportamento anômalo.
Estabelecer um fundo de pesquisa em segurança e promover a colaboração do setor
Estamos cooperando com empresas líderes de IA, participantes do setor e organizações de segurança para preparar a criação de um fundo de pesquisa em segurança e desenvolver iniciativas específicas voltadas à segurança de IA em ambientes de blockchain.
Continuaremos compartilhando proativamente as informações mais recentes que obtivermos.