Em 29 de outubro de 2026, a Binance sofreu um incidente de segurança grave e altamente sofisticado. Isso não deveria ter acontecido, e pedimos desculpas pelos inconvenientes, pela interrupção e pela incerteza que causou aos nossos usuários, parceiros e ao setor em geral.Nossa primeira responsabilidade é proteger os usuários. A Binance está absorvendo o impacto financeiro dos fundos roubados, não nossos usuários. Já reservamos mais de 100% dos fundos necessários para cobrir a perda. Até hoje, 3 de novembro de 2026, 98% dos ativos em tokens impactados haviam sido repostos e podem ser verificados em nossa página de Prova de Reservas. Estamos no processo de compra dos ativos restantes, que são menos líquidos.Aproximadamente US$ 6,34 bilhões em ativos virtuais foram impactados pelo incidente. Até esta atualização, aproximadamente US$ 2,85 bilhões em ativos virtuais foram congelados ou interceptados, sujeitos à conciliação e à volatilidade dos preços de mercado.Tomamos medidas imediatas para conter o incidente e fortalecer os sistemas envolvidos. Os pontos de entrada identificados como utilizados no ataque foram fechados. Os sistemas alcançados pelo caminho do ataque foram reconstruídos ou substituídos. Também implementamos controles de dispositivos mais rigorosos, controles de risco aprimorados para os serviços de carteira e ampliamos a detecção de anomalias comportamentais baseada em IA.Este é nosso relatório inicial. Ele abrange o que sabemos hoje e o que já melhoramos. A investigação continua em andamento, e nossas constatações estarão sujeitas a uma análise independente adicional. Alguns detalhes técnicos permanecerão confidenciais para impedir que agentes mal-intencionados os utilizem para planejar ataques. Estamos contratando empresas de segurança independentes para uma análise adicional.As informações mais recentes divulgadas pelo Federal Bureau of Investigation (FBI) indicam que a República Popular Democrática da Coreia é responsável por este incidente.Estamos compartilhando este relatório preliminar porque a segurança melhora quando o setor aprende em conjunto.O que aconteceu em 29 de outubroO ataque se desenrolou rapidamente em várias redes.O atacante explorou o acesso não autorizado a um serviço interno de assinatura de carteiras para iniciar transações fora do processo normal de saques.Entre 17:05 e 17:09 (horário de Brasília), cinco carteiras quentes da Binance enviaram 233,46 milhões de XRP para um endereço controlado pelo atacante.Carteiras quentes da Binance na Solana e na Optimism enviaram aproximadamente 970.500 SOL e 44,2 milhões de OP para endereços controlados pelo atacante.A Binance então recebeu um alerta interno sobre transferências de grande volume e imediatamente começou a investigar.Uma carteira quente da Binance enviou 18.270 BTC para um endereço controlado pelo atacante.O atacante então utilizou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor a chave privada. Neste caso, o atacante utilizou esse mecanismo para conceder a um contrato inteligente sob seu controle direitos parciais de execução sobre uma carteira quente da Binance.A Binance iniciou imediatamente diversas medidas de contenção, incluindo a suspensão de saques para restringir novas saídas de fundos, a coordenação com parceiros para congelar os tokens afetados e a adoção de medidas para revogar permissões não autorizadas. Esses esforços congelaram um total de US$ 2,85 bilhões em ativos.No entanto, a suspensão de saques, por si só, não foi capaz de interromper todas as movimentações não autorizadas de ativos. As autorizações maliciosas do EIP-7702 existiam on-chain e operavam independentemente da infraestrutura normal de saques da Binance. Os atacantes submeteram 50 transações de assinatura para manipular o NONCE da conta e estabelecer autorizações maliciosas de delegação. Uma vez estabelecidas, essas autorizações permitiram que os atacantes continuassem movimentando ativos independentemente da infraestrutura normal de saques da Binance. A Binance precisou de transações adicionais para revogar essas autorizações on-chain.O processo de contenção envolveu complexidades técnicas adicionais. Como a carteira quente utilizava Computação Multipartidária (MPC), não havia uma única chave privada que pudesse ser utilizada para revogar imediatamente as autorizações maliciosas do EIP-7702. Portanto, a equipe desenvolveu e executou um procedimento especializado para revogar essas autorizações, o que exigiu tempo adicional. Além disso, a suspensão de saques e o desligamento dos serviços de carteiras quentes não invalidavam automaticamente as autorizações on-chain existentes.Esses desafios prolongaram o tempo necessário para conter totalmente as movimentações não autorizadas de ativos. Estamos revisando o processo de resposta a incidentes, a cobertura das políticas de assinatura, os controles de carteiras quentes e identificando oportunidades para fortalecer ainda mais nossa capacidade de responder rapidamente a ameaças semelhantes no futuro.A última transferência não autorizada, de 2.961,9 ETH, foi finalizada on-chain às 20:56 (Brasília). A transação havia sido transmitida anteriormente e permanecido pendente antes de ser posteriormente finalizada. Nenhuma outra transferência não autorizada foi observada depois disso.Às 21:10 (Brasília) de 29 de outubro de 2026, a Binance executou uma nova autorização da carteira quente Binance 14 para o endereço zero, removendo o código de delegação do EIP-7702.Preparação do AtaqueNossa investigação atual indica que esta foi uma campanha de ataque sofisticada, com múltiplas etapas. Não foi uma única violação isolada nem um simples incidente de phishing. Os atacantes combinaram uma variedade de técnicas, incluindo engenharia social por meio de entrevistas de recrutamento falsas, downloads de software malicioso, comprometimento de ferramentas internas de IA, comprometimento de endpoints e um método avançado de autorização de transações.● Junho de 2026 — Ataque à cadeia de suprimentos. O Engenheiro A, da equipe de DevOps de Carteiras, baixou uma instalação adulterada do Homebrew para instalar uma ferramenta popular de programação com IA após procurá-la em um mecanismo de busca. Nossa equipe de segurança detectou a anomalia, substituiu o dispositivo e rotacionou todas as credenciais relacionadas como uma medida proativa de segurança. No entanto, a função do Engenheiro A e a identidade de seus colegas relacionados na nossa equipe de infraestrutura de carteiras foram expostos ao hacker.● Ao longo de 2026, a equipe de segurança da Binance detectou e impediu 57 casos de ameaças cibernéticas com suspeita de ligação com a Coreia do Norte. Essas tentativas refletem a ameaça persistente representada por agentes patrocinados por Estados que têm como alvo o setor de criptomoedas. As técnicas incluem entrevistas de emprego fraudulentas, software malicioso disfarçado de ferramentas populares para desenvolvedores, como Claude e Codex, pacotes de software e extensões de navegador comprometidos, aplicativos falsos de videoconferência e campanhas de engenharia social projetadas para roubar credenciais ou implantar malware de acesso remoto.● Setembro — engenharia social. O Engenheiro de Software B foi contatado por meio de uma plataforma legítima de busca de emprego por uma pessoa que se passava por Diretor de Projetos. O Engenheiro de Software B tinha um perfil na plataforma que mencionava sua experiência na Binance. O suposto Diretor de Projetos organizou uma primeira rodada de entrevista com um representante de RH, seguida de uma segunda rodada com uma pessoa que alegava ser o CEO de uma empresa fictícia.○ Na primeira rodada, o suposto representante de RH realizou uma entrevista por vídeo ao vivo com o Engenheiro de Software B. O entrevistador compartilhou com ele uma conta de rede social, incluindo fotos e vídeos pessoais publicados na plataforma, a fim de construir confiança. Isso foi mais avançado e enganoso do que as abordagens de engenharia social observadas anteriormente.○ A segunda entrevista foi realizada em um aplicativo popular de mensagens sociais. Perto do final da entrevista, o Engenheiro B foi instruído a baixar uma “tarefa” contendo um repositório de código malicioso em seu computador de trabalho. O repositório continha código malicioso que foi executado durante o processo de configuração, iniciando uma série de atividades não autorizadas.○ O malware empregou técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo atacante. O malware de dia zero não foi detectado pelas ferramentas de proteção de segurança de endpoints naquele momento. O atacante também tomou medidas para ocultar a atividade maliciosa e remover vestígios do comprometimento, tornando a detecção e a investigação subsequente mais desafiadoras.○ O script executou as etapas abaixo, aplicando técnicas de ofuscação para evitar a detecção de segurança.CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_MODIFY pyenv_ → 3,414 BDELETE .../libexec/pyenv (3,344 B) ← remove o pyenv válidoRENAME pyenv_ → pyenv (3,414 B) ← substitui por uma versão maliciosaDELETE /opt/homebrew/bin/pyenv (3,414 B)ln (cria um novo link simbólico) + spawn zsh● 20 de outubro — uso de uma ferramenta interna de IA como ponto de apoio. O atacante se aproveitou do computador comprometido do Engenheiro B e utilizou uma ferramenta interna de IA para obter controle sobre o Engenheiro A de DevOps de Carteiras e outro Engenheiro de Software de Carteiras, C. O atacante logo descobriu que o Engenheiro A de DevOps de Carteiras tinha um token de permissão de implantação de contêineres em seu computador.● 29 de outubro — acesso às operações de assinatura de carteiras. Em 29 de outubro, entre 17:15 e 19:56, o atacante acessou o computador do Engenheiro de Software C, utilizou as credenciais roubadas do Engenheiro A de DevOps de Carteiras, implantou um contêiner e acionou um script malicioso para iniciar o ataque.O que fizemosAté 2 de novembro de 2026, tomamos as seguintes medidas:● Reconstruímos o sistema de carteiras afetado em um novo ambiente.● Reconstruímos a ferramenta interna de IA afetada e os controles de acesso.● Substituímos os dispositivos afetados.● Desativamos as credenciais e os tokens relacionados aos engenheiros afetados.● Concluímos varreduras de segurança aprimoradas em todos os dispositivos dos funcionários.● Aprimoramos a detecção de anomalias comportamentais baseada em IA.● Fortalecemos os controles de risco dos serviços de carteira.● Trabalhamos com autoridades policiais, empresas de inteligência em blockchain e parceiros do setor para rastrear e congelar os ativos afetados.Continuaremos fortalecendo nossas medidas à medida que a investigação avançar. Há diversas medidas de segurança que implementamos e estamos implementando que permanecerão privadas para impedir que agentes mal-intencionados comprometam nossa segurança.Ações AdicionaisEstamos tomando as seguintes medidas imediatamente.Análise independente de segurança cibernéticaEstamos contratando especialistas independentes e empresas em segurança cibernética para realizar uma análise abrangente do incidente, validar nossas constatações e recomendar medidas adicionais. O escopo e as constatações dessa análise orientarão nosso trabalho contínuo de remediação.Ampliação do investimento em segurança de IA e prevençãoEstamos aumentando o investimento em detecção baseada em IA, proteção de endpoints, segurança do ambiente de desenvolvimento e monitoramento de anomalias comportamentais.Fundo de pesquisa em segurança e iniciativas do setorEstamos trabalhando para estabelecer um fundo de pesquisa em segurança e iniciativas direcionadas com empresas líderes de IA, participantes do setor e empresas de segurança, com foco na segurança de IA em ambientes blockchain.Continuaremos compartilhando informações proativamente à medida que as tivermos.