Em 29 de outubro de 2026, a Binance sofreu um incidente de segurança grave e altamente sofisticado. Isto não deveria ter acontecido, e pedimos desculpa pela preocupação, perturbação e incerteza que causou aos nossos utilizadores, parceiros e ao setor em geral.
A nossa primeira responsabilidade é proteger os utilizadores. A Binance assumirá o impacto financeiro dos fundos roubados, e não os nossos utilizadores. Já reservámos mais de 100% dos fundos necessários para cobrir a perda. Em 31 de outubro de 2026, 98% dos ativos em tokens afetados tinham sido repostos e podem ser verificados na nossa página de Prova de Reservas. Estamos a comprar os ativos em falta, que são mais ilíquidos.
O incidente afetou aproximadamente USD 6.34 bilhões em ativos digitais. Até esta atualização, aproximadamente USD 2.85 bilhões em ativos digitais foram congelados ou interceptados, sujeitos a reconciliação e à volatilidade dos preços de mercado.
Agimos imediatamente para conter o incidente e reforçar os sistemas envolvidos. Os pontos de entrada identificados como tendo sido usados no ataque foram fechados. Os sistemas afetados pelo percurso do ataque foram reconstruídos ou substituídos. Também implementamos controles mais rigorosos para dispositivos, reforçamos os controles de risco dos serviços de carteira e ampliamos a detecção de anomalias comportamentais baseada em IA.
Este é nosso relatório inicial. Ele abrange o que sabemos até o momento e as melhorias que já implementamos. A investigação continua em andamento e nossas conclusões serão submetidas a uma análise independente adicional. Alguns detalhes técnicos permanecerão confidenciais para evitar que agentes maliciosos os utilizem no planejamento de ataques. Estamos contratando empresas independentes de segurança para uma análise adicional.
As informações mais recentes divulgadas pelo Federal Bureau of Investigation indicam que a República Popular Democrática da Coreia é responsável por este incidente.
Estamos compartilhando este relatório inicial porque a segurança melhora quando o setor aprende em conjunto.
O que aconteceu em 29 de outubro
O ataque se desenrolou rapidamente em várias redes.
O atacante explorou o acesso não autorizado a um serviço interno de assinatura de carteiras para iniciar transações fora do processo normal de saque.
Entre 20:05 UTC e 20:09 UTC, cinco carteiras quentes da Binance enviaram 233.46 milhões de XRP para um endereço controlado pelo atacante.
Carteiras quentes da Binance na Solana e na Optimism enviaram aproximadamente 970,500 SOL e 44.2 milhões de OP para endereços controlados pelo atacante.
A Binance recebeu então um alerta interno sobre transferências de grande volume e iniciou imediatamente uma investigação.
Uma carteira quente da Binance enviou 18,270 BTC para um endereço controlado pelo atacante.
Em seguida, o atacante usou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor a chave privada. Neste caso, o atacante usou esse mecanismo para conceder a um contrato inteligente sob seu controle direitos parciais de execução sobre uma carteira quente da Binance.
A Binance iniciou imediatamente várias medidas de contenção, incluindo a suspensão dos saques para restringir novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e ações para revogar permissões não autorizadas. Essas medidas congelaram um total de $2.85 bilhões em ativos.
No entanto, suspender os saques, por si só, não foi suficiente para impedir todas as movimentações não autorizadas de ativos. As autorizações maliciosas EIP-7702 existiam na blockchain e operavam independentemente da infraestrutura normal de saques da Binance. Os atacantes enviaram 50 transações de assinatura para manipular o nonce da conta e estabelecer autorizações de delegação maliciosas. Uma vez estabelecidas, essas autorizações permitiram que os atacantes continuassem movimentando ativos independentemente da infraestrutura normal de saques da Binance. A Binance precisou de transações adicionais para revogar essas autorizações na blockchain.
O processo de contenção envolveu complexidades técnicas adicionais. Como a carteira quente usava Computação Multipartidária (MPC), não havia uma única chave privada que pudesse ser usada para revogar imediatamente as autorizações maliciosas EIP-7702. Por isso, a equipe desenvolveu e executou um procedimento especializado para revogar essas autorizações, o que exigiu tempo adicional. Além disso, suspender os saques e desligar os serviços de carteira quente não invalidava automaticamente as autorizações existentes na blockchain.
Esses desafios prolongaram o tempo necessário para conter totalmente as movimentações não autorizadas de ativos. Estamos revisando o processo de resposta a incidentes, a cobertura das políticas de assinatura e os controles de carteiras quentes, além de identificar oportunidades para reforçar ainda mais nossa capacidade de responder rapidamente a ameaças futuras.
A última transferência não autorizada de 2,961.9 ETH foi finalizada na blockchain às 23:56 UTC. A transação havia sido transmitida anteriormente e permaneceu pendente antes de ser finalizada. Não foram observadas outras transferências não autorizadas depois disso.
Às 00:10 UTC de 30 de outubro de 2026, a Binance executou uma nova autorização da carteira quente Binance14 para o endereço zero, removendo o código de delegação EIP-7702.
Preparação do ataque
Nossa investigação atual indica que esta foi uma campanha sofisticada e realizada em várias etapas. Não foi uma violação isolada nem um simples incidente de phishing. Os atacantes combinaram diversas técnicas, incluindo engenharia social por meio de falsas entrevistas de recrutamento, downloads de software malicioso, ferramentas internas de IA comprometidas, comprometimento de endpoints e um método avançado de autorização de transações.
Junho de 2026 — ataque à cadeia de suprimentos. O Engenheiro A, da equipe de Wallet DevOps, baixou uma instalação adulterada do Homebrew para instalar uma ferramenta popular de programação com IA, após encontrá-la em um mecanismo de busca. Nossa equipe de segurança detectou a anomalia, substituiu o dispositivo e rotacionou todas as credenciais relacionadas como medida proativa de segurança. No entanto, o cargo do Engenheiro A e o de colegas relacionados da nossa equipe de infraestrutura de carteiras foram expostos ao hacker.
Ao longo de 2026, a equipe de segurança da Binance detectou e impediu 57 casos suspeitos de ameaças cibernéticas ligados à Coreia do Norte. Essas tentativas refletem a ameaça persistente representada por agentes patrocinados por Estados que visam o setor de criptomoedas. As técnicas incluem entrevistas de emprego fraudulentas, software malicioso disfarçado de ferramentas populares para desenvolvedores, pacotes de software e extensões de navegador comprometidos, aplicativos falsos de videoconferência e campanhas de engenharia social destinadas a roubar credenciais ou instalar malware de acesso remoto.
Setembro — engenharia social. O Engenheiro de Software B foi contatado por meio de uma plataforma legítima de busca de emprego por alguém que se passava por diretor de projetos. O Engenheiro de Software B tinha um perfil na plataforma que mencionava sua experiência na Binance. O suposto diretor de projetos marcou uma primeira entrevista com um representante de RH, seguida de uma segunda entrevista com alguém que afirmava ser o CEO de uma empresa fictícia.
Na primeira etapa, o suposto representante de RH realizou uma entrevista por vídeo ao vivo com o Engenheiro de Software B. Para ganhar sua confiança, o entrevistador compartilhou com ele uma conta de rede social, com fotos e vídeos pessoais publicados na plataforma. Essa abordagem foi mais sofisticada e enganosa do que as técnicas de engenharia social observadas anteriormente.
A segunda entrevista foi realizada em um aplicativo popular de bate-papo social. Perto do fim da entrevista, o Engenheiro B recebeu instruções para baixar no computador de trabalho uma “tarefa” que continha um repositório de código malicioso. O repositório continha código malicioso que era executado durante o processo de configuração, iniciando uma série de atividades não autorizadas.
O malware empregava técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo atacante. Na ocasião, as ferramentas de proteção de endpoints não detectaram o malware de dia zero. O atacante também tomou medidas para ocultar a atividade maliciosa e remover vestígios do comprometimento, dificultando a detecção e a investigação subsequente.
O script executou as etapas abaixo, aplicando técnicas de ofuscação para escapar da detecção de segurança.
CRIAR /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFICAR pyenv_ → 3,414 B
EXCLUIR .../libexec/pyenv (3,344 B) ← remover o pyenv legítimo
RENOMEAR pyenv_ → pyenv (3,414 B) ← substituí-lo por uma versão maliciosa
EXCLUIR /opt/homebrew/bin/pyenv (3,414 B)
ln (criar um novo link simbólico) + iniciar o zsh
20 de outubro — uso de uma ferramenta interna de IA como trampolim. O atacante explorou o computador comprometido do Engenheiro B e usou uma ferramenta interna de IA para obter controle sobre o Engenheiro A, da equipe de Wallet DevOps, e outro engenheiro de software de carteiras, o Engenheiro C. O atacante logo descobriu que o Engenheiro A, da equipe de Wallet DevOps, tinha um token de permissão para implantação de contêineres em seu computador.
29 de outubro — acesso às operações de assinatura de carteiras. Em 29 de outubro, entre 17:15 e 19:56, o atacante acessou o computador do Engenheiro de Software C, usou as credenciais roubadas do Engenheiro A, da equipe de Wallet DevOps, implantou um contêiner e acionou um script malicioso para iniciar o ataque.
O que fizemos
Até 3 de novembro de 2026, tomamos as seguintes medidas:
Reconstruímos o sistema de carteiras afetado em um novo ambiente.
Reconstruímos a ferramenta interna de IA afetada e os controles de acesso.
Substituímos os dispositivos afetados.
Desativamos as credenciais e os tokens relacionados aos engenheiros afetados.
Concluímos verificações de segurança aprimoradas em todos os dispositivos dos funcionários.
Aprimoramos a detecção de anomalias comportamentais baseada em IA.
Reforçamos os controles de risco dos serviços de carteira.
Trabalhamos com autoridades policiais, empresas de inteligência em blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
Continuaremos a reforçar nossas medidas à medida que a investigação avançar. Implementamos e estamos implementando diversas medidas de segurança que permanecerão privadas para evitar que agentes maliciosos comprometam nossa segurança.
Próximas medidas
Estamos tomando imediatamente as seguintes medidas.
Análise independente de cibersegurança
Estamos contratando especialistas independentes em cibersegurança para realizar uma análise abrangente do incidente, validar nossas conclusões e recomendar medidas adicionais. O escopo e as conclusões dessa análise orientarão nosso trabalho contínuo de correção. Ampliação dos investimentos em segurança e prevenção com IA
Estamos aumentando os investimentos em detecção baseada em IA, proteção de endpoints, segurança de ambientes de desenvolvimento e monitoramento de anomalias comportamentais. Fundo de pesquisa em segurança e iniciativas do setor
Estamos trabalhando para criar um fundo de pesquisa em segurança e iniciativas direcionadas com empresas líderes de IA, participantes do setor e empresas de segurança, com foco na segurança de IA em ambientes de blockchain.
Continuaremos a compartilhar informações proativamente sempre que as tivermos.
Fonte: conta oficial da Binance no X (@binance)
#safu #BinanceIncidentReport #BinanceReopensWithdrawalsForMoreAssets