Em 29 de outubro de 2026, a Binance sofreu um incidente de segurança grave e altamente sofisticado. Isso não deveria ter acontecido, e pedimos desculpas pela preocupação, pelas interrupções e pela incerteza que causou aos nossos usuários, parceiros e ao setor em geral.
Nossa principal responsabilidade é proteger os usuários. A Binance assumirá o impacto financeiro dos fundos roubados, não os nossos usuários. Já reservamos mais de 100% dos fundos necessários para cobrir as perdas. Em 31 de outubro de 2026, 98% dos ativos em tokens afetados já haviam sido restituídos, o que pode ser verificado na nossa página de Prova de Reservas (Proof of Reserves). Atualmente, estamos em processo de aquisição dos ativos restantes, cuja liquidez é menor.
O incidente afetou aproximadamente USD 6,340 milhões em ativos digitais. Até a data desta atualização, aproximadamente USD 2,850 milhões em ativos digitais foram congelados ou interceptados, sujeitos a conciliação e à volatilidade dos preços de mercado.
Tomamos medidas imediatas para conter o incidente e reforçar os sistemas envolvidos. Os pontos de acesso identificados como tendo sido usados no ataque foram fechados. Os sistemas envolvidos na rota do ataque foram reconstruídos ou substituídos. Também implementamos controles mais rigorosos sobre os dispositivos, reforçamos os controles de risco dos serviços de carteira e ampliamos a detecção de anomalias comportamentais baseada em inteligência artificial (IA).
Este é nosso relatório inicial. Nele, apresentamos o que sabemos até o momento e as melhorias que já implementamos. A investigação continua, e nossas conclusões estarão sujeitas a uma revisão independente adicional. Alguns detalhes técnicos permanecerão confidenciais para evitar que agentes maliciosos possam usá-los para planejar ataques. Estamos colaborando com empresas independentes especializadas em segurança para realizar uma revisão adicional.
As informações mais recentes publicadas pelo Departamento Federal de Investigação dos Estados Unidos (FBI) indicam que a República Popular Democrática da Coreia é responsável por este incidente.
Compartilhamos este relatório inicial porque a segurança melhora quando o setor aprende e compartilha conhecimentos em conjunto.
O que aconteceu em 29 de outubro
O ataque se desenrolou rapidamente por várias redes.
O atacante aproveitou o acesso não autorizado a um serviço interno de assinatura de transações de carteiras para iniciar operações fora do processo habitual de saques.
Entre 20:05 e 20:09 UTC, cinco carteiras quentes da Binance enviaram 233.46 milhões de XRP para um endereço controlado pelo atacante.
As carteiras quentes da Binance na Solana e na Optimism enviaram aproximadamente 970,500 SOL e 44.2 milhões de OP para endereços controlados pelo atacante.
Posteriormente, a Binance recebeu um alerta interno relacionado a transferências de grandes volumes e iniciou imediatamente uma investigação.
Uma carteira quente da Binance enviou 18,270 BTC para um endereço controlado pelo atacante.
Em seguida, o atacante usou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor sua chave privada. Neste caso, o atacante usou esse mecanismo para conceder a um contrato inteligente sob seu controle direitos parciais de execução sobre uma carteira quente da Binance.
A Binance iniciou imediatamente várias medidas de contenção, incluindo a suspensão dos saques para limitar novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e a implementação de medidas para revogar as permissões não autorizadas. Esses esforços permitiram congelar um total de USD 2,850 milhões em ativos.
No entanto, a suspensão dos saques, por si só, não podia deter todos os movimentos não autorizados de ativos. As autorizações maliciosas de EIP-7702 já existiam na blockchain (on-chain) e operavam independentemente da infraestrutura habitual de saques da Binance.
Os atacantes enviaram 50 transações de assinatura para manipular o nonce da conta e estabelecer autorizações de delegação maliciosas. Uma vez estabelecidas, essas autorizações permitiram que os atacantes continuassem transferindo ativos independentemente da infraestrutura habitual de saques da Binance. Por isso, a Binance precisou executar transações adicionais para revogar essas autorizações na blockchain.
O processo de contenção envolveu complexidades técnicas adicionais. Como a carteira quente usava computação multipartidária (MPC), não havia uma única chave privada que pudesse ser usada para revogar imediatamente as autorizações maliciosas de EIP-7702. Portanto, a equipe desenvolveu e executou um procedimento especializado para revogar essas autorizações, o que exigiu tempo adicional. Além disso, a suspensão dos saques e o encerramento dos serviços de carteiras quentes não invalidavam automaticamente as autorizações existentes na blockchain.
Esses desafios prolongaram o tempo necessário para conter completamente os movimentos não autorizados de ativos. Estamos revisando o processo de resposta ao incidente, a cobertura das políticas de assinatura e os controles das carteiras quentes, além de identificar oportunidades para reforçar nossa capacidade de responder rapidamente a ameaças futuras.
A última transferência não autorizada, totalizando 2,961.9 ETH, foi confirmada na blockchain às 23:56 UTC. A transação havia sido transmitida anteriormente e permaneceu pendente antes de ser confirmada. Depois dessa operação, não foram observadas novas transferências não autorizadas.
Às 00:10 UTC de 30 de outubro de 2026, a Binance executou uma nova autorização da carteira quente Binance14 para o endereço zero, removendo assim o código de delegação EIP-7702.
Preparação do ataque
Nossa investigação atual indica que se tratou de uma campanha sofisticada e com várias etapas. Não foi uma invasão isolada nem um simples incidente de phishing. Os atacantes combinaram diversas técnicas, entre elas engenharia social por meio de falsas entrevistas de emprego, downloads de software malicioso, ferramentas internas de IA comprometidas, comprometimento de dispositivos e um método avançado de autorização de transações.
Junho de 2026: ataque à cadeia de suprimentos de software
O engenheiro A, da equipe de DevOps de Carteiras, baixou uma instalação modificada do Homebrew para instalar uma popular ferramenta de programação baseada em IA, depois de pesquisá-la em um mecanismo de busca.
Nossa equipe de segurança detectou a anomalia, substituiu o dispositivo e renovou todas as credenciais relacionadas como medida preventiva de segurança. No entanto, o posto de trabalho do engenheiro A e o de seus colegas ligados à equipe de infraestrutura de carteiras ficaram expostos ao atacante.
Em 2026, a equipe de segurança da Binance detectou e evitou 57 possíveis ameaças cibernéticas ligadas à Coreia do Norte. Essas tentativas refletem a ameaça persistente que atores patrocinados por Estados representam para o setor de criptomoedas.
Entre as técnicas usadas estão entrevistas de emprego fraudulentas, software malicioso disfarçado de ferramentas populares para desenvolvedores, pacotes de software e extensões de navegador comprometidos, aplicativos falsos de videoconferência e campanhas de engenharia social elaboradas para roubar credenciais ou instalar programas maliciosos de acesso remoto.
Setembro de 2026: engenharia social
O engenheiro de software B foi contatado por meio de uma plataforma legítima de busca de emprego por uma pessoa que se passou por gerente de projetos. O engenheiro B tinha um perfil nessa plataforma que mencionava sua experiência na Binance.
O suposto gerente de projetos organizou uma primeira entrevista com um representante de Recursos Humanos, seguida de uma segunda entrevista com uma pessoa que afirmou ser o diretor executivo de uma empresa fictícia.
Durante a primeira entrevista, o suposto representante de Recursos Humanos fez uma videochamada ao vivo com o engenheiro de software B. Para criar confiança, o entrevistador compartilhou com ele uma conta de rede social que incluía fotos e vídeos pessoais publicados na plataforma. Esse método foi mais avançado e enganoso do que as técnicas de engenharia social observadas anteriormente.
A segunda entrevista foi realizada por meio de um popular aplicativo de mensagens sociais. Perto do fim da entrevista, o engenheiro B foi instruído a baixar em seu computador de trabalho um “teste técnico” que continha um repositório de código malicioso. O repositório incluía código malicioso que foi executado durante o processo de configuração e iniciou uma série de atividades não autorizadas.
O malware empregava técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo atacante.
O malware de dia zero (zero-day) não foi detectado naquele momento pelas ferramentas de proteção de segurança dos dispositivos. O atacante também tomou medidas para ocultar a atividade maliciosa e apagar vestígios da invasão, dificultando tanto sua detecção quanto a investigação posterior.
O script executou as seguintes etapas usando técnicas de ofuscação para escapar dos mecanismos de detecção de segurança:
texto
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B)
← remover o arquivo pyenv legítimo
RENAME pyenv_ → pyenv (3,414 B)
← substituí-lo por uma versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (criar um novo link simbólico) + spawn zsh
20 de outubro de 2026: uso de uma ferramenta interna de IA como ponto de entrada
O atacante aproveitou o computador comprometido do engenheiro B e usou uma ferramenta interna de IA para obter controle sobre o engenheiro A, de DevOps de Carteiras, e outro engenheiro de software de Carteiras, identificado como engenheiro C.
Pouco depois, o atacante descobriu que o engenheiro A tinha em seu computador um token com permissões para implantar contêineres.
29 de outubro de 2026: acesso às operações de assinatura de carteiras
Em 29 de outubro, entre 17:15 e 19:56 UTC, o atacante fez login no computador do engenheiro de software C, usou as credenciais roubadas do engenheiro A, de DevOps de Carteiras, implantou um contêiner e executou um script malicioso para iniciar o ataque.
Medidas que implementamos
Em 3 de novembro de 2026, realizamos as seguintes ações:
Reconstruímos o sistema de carteiras afetado em um novo ambiente.
Reconstruímos a ferramenta interna de IA afetada e reforçamos seus controles de acesso.
Substituímos os dispositivos afetados.
Desativamos as credenciais e os tokens relacionados aos engenheiros afetados.
Concluímos análises de segurança reforçadas nos dispositivos de todos os funcionários.
Aprimoramos a detecção de anomalias comportamentais baseada em IA.
Reforçamos os controles de risco dos serviços de carteira.
Colaboramos com autoridades, empresas de inteligência de blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
Continuaremos reforçando nossas medidas à medida que a investigação avançar. Implementamos e estamos implementando diversas medidas de segurança que permanecerão confidenciais para evitar que agentes maliciosos possam comprometer nossos sistemas.
Próximas medidas
Estamos tomando imediatamente as seguintes medidas:
1. Revisão independente de cibersegurança
Estamos contratando especialistas independentes em cibersegurança para realizar uma revisão abrangente do incidente, validar nossas conclusões e recomendar medidas adicionais.
O escopo e os resultados desta revisão orientarão nossas atividades contínuas de correção e aprimoramento.
2. Maior investimento em segurança e prevenção por meio de IA
Estamos aumentando nosso investimento em detecção baseada em inteligência artificial, proteção de dispositivos, segurança dos ambientes de desenvolvimento e monitoramento de anomalias comportamentais.
3. Fundo de pesquisa em segurança e iniciativas para o setor
Estamos trabalhando na criação de um fundo de pesquisa em segurança e no desenvolvimento de iniciativas específicas junto a empresas líderes de IA, participantes do setor e empresas especializadas em segurança, com foco especial na segurança da IA em ambientes de blockchain.
Continuaremos compartilhando informações de forma proativa à medida que estiverem disponíveis.