Em 30 de outubro de 2026 (horário UTC+8), a Binance sofreu um incidente de segurança grave e altamente complexo. Isso não deveria ter acontecido. Pedimos sinceras desculpas pela preocupação, pelas interrupções e pela incerteza que esse incidente causou aos usuários, parceiros e a todo o setor.
Proteger os usuários é nossa principal responsabilidade. A Binance arcará com a totalidade das perdas dos fundos roubados, e não os usuários. Mantivemos reservas superiores a 100% dos fundos para cobrir as perdas causadas por esse incidente. Até 31 de outubro de 2026 (horário UTC+8), 98% dos ativos em tokens afetados já haviam sido repostos, e os usuários podem verificar isso em nossa página de Prova de Reservas. Estamos comprando os ativos restantes, que têm menor liquidez.
Os ativos digitais envolvidos neste incidente valiam aproximadamente 6,34 mil milhões de dólares. Até à data desta atualização, foram congelados ou intercetados ativos digitais no valor de aproximadamente 2,85 mil milhões de dólares. O montante exato ainda precisa de ser verificado e poderá ser afetado pelas flutuações do mercado.
Agimos imediatamente para conter o impacto do incidente e reforçar a segurança dos sistemas relacionados. Todos os pontos de intrusão explorados neste ataque foram bloqueados, e os sistemas envolvidos no percurso do ataque foram reconstruídos ou substituídos. Além disso, reforçámos os controlos dos dispositivos e os sistemas de gestão de risco dos serviços de carteiras, e expandimos as capacidades de deteção de anomalias comportamentais baseadas em IA.
Este é o nosso relatório preliminar de investigação, que abrange as informações de que dispomos até ao momento e as melhorias já concluídas. A investigação continua em curso e os resultados serão sujeitos a uma análise independente adicional. Para impedir que atacantes maliciosos utilizem estas informações para planear novos ataques, alguns detalhes técnicos continuarão a ser confidenciais. Estamos a convidar empresas de segurança independentes a realizar uma análise adicional.
De acordo com as informações mais recentes divulgadas pelo Federal Bureau of Investigation (FBI) dos Estados Unidos, a República Popular Democrática da Coreia (RPDC) é responsável por este incidente.
Publicamos este relatório porque só através da aprendizagem e da partilha de experiências em todo o setor podemos continuar a melhorar a segurança.
Reconstituição do incidente de 30 de outubro
O ataque desenrolou-se rapidamente em várias redes blockchain.
Os atacantes utilizaram o acesso não autorizado ao serviço interno de assinatura de carteiras para contornar os processos normais de levantamento e iniciar transações.
Entre as 04:05 e as 04:09 (hora UTC+8), cinco carteiras quentes da Binance transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes.
As carteiras quentes da Binance nas redes Solana e Optimism transferiram, respetivamente, cerca de 970.500 SOL e 44,2 milhões de OP para endereços controlados pelos atacantes.
Em seguida, a Binance recebeu um alerta interno sobre uma transferência de grande valor e iniciou imediatamente uma investigação.
As carteiras quentes da Binance transferiram 18.270 BTC para endereços controlados pelos atacantes.
Posteriormente, os atacantes abusaram do mecanismo de autorização EIP-7702 da Ethereum através do serviço de assinatura. O EIP-7702 permite que uma conta delegue parte das suas permissões de execução a um contrato inteligente sem expor a chave privada. Neste incidente, os atacantes utilizaram este mecanismo para conceder aos contratos inteligentes que controlavam permissões de execução parciais sobre as carteiras quentes afetadas da Binance.
A Binance ativou imediatamente várias medidas de controlo de emergência, incluindo a suspensão dos levantamentos para impedir novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e ações para revogar as permissões não autorizadas. Estas ações permitiram congelar ativos no valor de aproximadamente 2,85 mil milhões de dólares.
No entanto, suspender os levantamentos, por si só, não foi suficiente para impedir todas as transferências não autorizadas de ativos. As autorizações EIP-7702 maliciosas já estavam registadas na blockchain e operavam independentemente da infraestrutura normal de levantamentos da Binance. Os atacantes submeteram 50 transações assinadas para manipular os nonces das contas e estabelecer autorizações de delegação maliciosas. Uma vez estabelecidas essas autorizações, os atacantes conseguiram contornar a infraestrutura normal de levantamentos da Binance e continuar a transferir ativos. A Binance teve de efetuar transações adicionais na blockchain para revogar essas autorizações.
A contenção do incidente envolveu ainda outras complexidades técnicas. Como as carteiras quentes afetadas utilizavam computação multipartidária (MPC), não existia uma única chave privada que pudesse ser utilizada diretamente para revogar de imediato as autorizações EIP-7702 maliciosas. Por isso, a equipa precisou de mais tempo para conceber e executar um processo especial de revogação. Além disso, suspender os levantamentos e desligar os serviços das carteiras quentes não invalida automaticamente as autorizações já existentes na blockchain.
Estes desafios prolongaram o tempo necessário para controlarmos totalmente as transferências não autorizadas de ativos. Estamos a rever os nossos processos de resposta a emergências, a cobertura das políticas de assinatura e os mecanismos de controlo das carteiras quentes, e a identificar áreas a reforçar para melhorar a nossa capacidade de responder rapidamente a ameaças à segurança no futuro.
A última transferência não autorizada, de 2.961,9 ETH, foi confirmada definitivamente na blockchain às 07:56 (hora UTC+8). A transação tinha sido anteriormente transmitida à rede e permaneceu pendente até ser confirmada. Não foram detetadas outras transferências não autorizadas desde então.
Às 08:10 de 30 de outubro de 2026 (hora UTC+8), a Binance realizou uma nova operação de autorização através da carteira quente Binance14, enviando-a para um endereço nulo e eliminando o código de delegação EIP-7702.
Processo de preparação do ataque
Os resultados da investigação até ao momento indicam que este incidente foi uma operação de ataque complexa e multifásica, e não uma intrusão isolada nem um simples ataque de phishing. Os atacantes combinaram várias técnicas, incluindo engenharia social através de falsas entrevistas de emprego, transferência de software malicioso, intrusão em ferramentas internas de IA, comprometimento de dispositivos e métodos avançados de autorização de transações.
Junho de 2026 — Ataque à cadeia de abastecimento. Para instalar uma popular ferramenta de programação com IA, o engenheiro A, da equipa de desenvolvimento e operações de carteiras, pesquisou num motor de busca e transferiu um instalador do Homebrew adulterado. A nossa equipa de segurança detetou proativamente esta anomalia, substituiu o dispositivo e rodou todas as credenciais relacionadas. Apesar disso, as informações profissionais do engenheiro A e as de colegas da equipa de infraestrutura de carteiras foram expostas aos atacantes.
Desde o início de 2026, a equipa de segurança da Binance detetou e impediu 57 ciberameaças suspeitas de estarem relacionadas com a Coreia do Norte. Estes ataques refletem a ameaça contínua que os atacantes apoiados por Estados representam para o setor das criptomoedas. As táticas utilizadas incluem falsas entrevistas de emprego, malware disfarçado de ferramentas populares para programadores, pacotes de software e extensões de navegador adulterados, aplicações falsas de videoconferência e ataques de engenharia social destinados a roubar credenciais de contas ou a instalar malware de acesso remoto.
Setembro — Ataque de engenharia social. O engenheiro de software B foi contactado por alguém que se fazia passar por diretor de projeto, através de uma plataforma legítima de emprego. O perfil do engenheiro B nessa plataforma mencionava a sua experiência profissional na Binance. A pessoa, apresentando-se como diretor de projeto, marcou uma primeira entrevista com a participação de um representante de recursos humanos; depois, marcou uma segunda entrevista, na qual o entrevistador afirmou ser o CEO de uma empresa fictícia.
Na primeira entrevista, a pessoa que se fazia passar por representante de recursos humanos realizou uma videochamada em direto com o engenheiro B. Para ganhar a sua confiança, o entrevistador partilhou também as suas contas nas redes sociais, que continham fotografias e vídeos da sua vida pessoal. Esta abordagem foi mais sofisticada e enganadora do que as táticas de engenharia social utilizadas anteriormente.
A segunda entrevista realizou-se através de uma aplicação popular de mensagens e conversação. Perto do fim da entrevista, foi pedido ao engenheiro B que transferisse para o computador de trabalho um «exercício» que continha um repositório de código. O repositório continha código malicioso, que era executado durante a instalação e desencadeava uma série de operações não autorizadas.
O malware utilizava técnicas sofisticadas de ofuscação de código e evasão à deteção, incluindo a substituição de um componente de uma ferramenta legítima para programadores por uma versão maliciosa, com o objetivo de executar comandos e comunicar com um servidor externo controlado pelos atacantes. Na altura, as ferramentas de segurança dos dispositivos não detetaram este malware de dia zero. Os atacantes também ocultaram as atividades maliciosas e eliminaram vestígios da intrusão, dificultando ainda mais a deteção e a investigação subsequente.
O script utilizou técnicas de ofuscação de código para escapar à deteção de segurança e executou as seguintes operações:
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← remover o pyenv legítimo
RENAME pyenv_ → pyenv (3,414 B) ← substituí-lo por uma versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (criar um novo link simbólico) + iniciar zsh
20 de outubro — Utilização de ferramentas internas de IA como trampolim para o ataque. Os atacantes utilizaram o computador comprometido do engenheiro B para controlar, através de uma ferramenta interna de IA, os dispositivos do engenheiro A, da equipa de desenvolvimento e operações de carteiras, e do engenheiro de software de carteiras C. Os atacantes descobriram rapidamente que o computador do engenheiro A continha um token com permissões para implementar contentores.
30 de outubro — Infiltração nas operações de assinatura de carteiras. Entre as 01:15 e as 03:56 de 30 de outubro (hora UTC+8), os atacantes iniciaram sessão no computador do engenheiro de software C, utilizaram credenciais roubadas ao engenheiro A para implementar um contentor e executaram um script malicioso, dando assim início ao ataque.
Medidas que já tomámos
Até 3 de novembro de 2026, tomámos as seguintes medidas:
Reconstruímos os sistemas de carteiras afetados num ambiente novo.
Reconstruímos as ferramentas internas de IA afetadas e reforçámos os respetivos controlos de acesso.
Substituímos os dispositivos afetados.
Desativámos as credenciais e os tokens associados aos engenheiros afetados.
Concluímos uma análise de segurança reforçada de todos os dispositivos dos colaboradores.
Reforçámos as capacidades de deteção de anomalias comportamentais baseadas em IA.
Reforçámos as medidas de gestão de risco dos serviços de carteiras.
Colaborámos com as autoridades policiais, organizações de inteligência em blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
À medida que a investigação prossegue, continuaremos a reforçar as nossas medidas de segurança. Algumas das medidas de segurança já concluídas ou em curso continuarão a ser confidenciais, para impedir que atacantes maliciosos utilizem estas informações para contornar as nossas proteções.
Próximas etapas
Avançaremos de imediato com as seguintes iniciativas:
1. Realizar uma análise independente de cibersegurança
Estamos a convidar especialistas independentes em cibersegurança de terceiros para realizar uma análise abrangente do incidente, validar os resultados da nossa investigação e recomendar melhorias adicionais de segurança. O âmbito e os resultados desta análise orientarão os nossos esforços contínuos de correção.
2. Reforçar o investimento em segurança e prevenção de IA
Aumentaremos o investimento na deteção de ameaças baseada em IA, na proteção de dispositivos, na segurança dos ambientes de desenvolvimento e na monitorização de anomalias comportamentais.
3. Criar um fundo de investigação em segurança e promover a colaboração no setor
Estamos a trabalhar com empresas líderes de IA, intervenientes do setor e organizações de segurança para criar um fundo de investigação em segurança e lançar iniciativas específicas centradas na segurança da IA em ambientes de blockchain.
Continuaremos a partilhar proativamente as informações mais recentes de que dispomos.