O que há de mais assustador no relatório preliminar de investigação da Binance não é o valor de US$ 6,34 bilhões, mas o fato de os hackers terem passado de junho a 29 de outubro se preparando antes de agir — um download de ferramenta de IA e uma entrevista de emprego falsa bastaram para chegar ao serviço de assinatura de carteiras.
Vamos primeiro aos argumentos a favor: o relatório de 3 de novembro afirma que o incidente afetou cerca de US$ 6,34 bilhões e que, até a publicação, aproximadamente US$ 2,85 bilhões haviam sido congelados ou bloqueados; em 31 de outubro, 98% dos tokens afetados já tinham sido repostos, o que pode ser verificado na página de prova de reservas. O sistema de carteiras afetado foi reconstruído em um novo ambiente, as credenciais e os tokens de acesso relacionados foram desativados, todos os dispositivos dos funcionários passaram por uma verificação de segurança e os saques foram, em grande parte, restabelecidos. O relatório também apresenta uma cronologia completa: em junho, o engenheiro A, da equipe de DevOps de carteiras, procurou uma ferramenta popular de programação com IA e baixou um pacote de instalação adulterado do Homebrew; na época, a equipe de segurança já havia substituído o computador e as credenciais. Em setembro, o engenheiro B foi abordado em uma plataforma legítima de empregos por alguém que se identificou como “diretor de projeto”; após duas rodadas de entrevistas falsas e um programa apresentado como “tarefa”, componentes de ferramentas de desenvolvimento foram substituídos e passaram a se conectar a um servidor externo. Em 20 de outubro, os atacantes usaram o computador de B e um conjunto de ferramentas internas de IA para acessar os computadores de A e de outro engenheiro de carteiras, C, e também encontraram no computador de A um token de acesso com permissões de implantação de contêineres.
Também há argumentos sólidos contra: primeiro, este ainda é um relatório preliminar; a investigação não terminou e as conclusões aguardam revisão independente. Dos US$ 6,34 bilhões, menos os US$ 2,85 bilhões congelados ou bloqueados, ainda há cerca de US$ 3,49 bilhões que não foram congelados nem bloqueados. Os pouco mais de 2% restantes ainda não repostos são, em sua maioria, ativos de baixa liquidez, e o processo de reposição continua. Segundo, a suspensão dos saques não interrompeu o ataque de imediato: os atacantes usaram o serviço de assinatura para enviar 50 transações e manipular os números de sequência das transações; com uma autorização EIP-7702 da Ethereum, obtiveram controle parcial sobre a execução de uma carteira quente. A delegação só foi removida da carteira quente número 14 em 30 de outubro, às 00:10 UTC. Entre 29 de outubro, às 20:05, e 20:09 UTC, cinco carteiras quentes transferiram 233,46 milhões de XRP; carteiras quentes de Solana e Optimism também transferiram cerca de 970 mil SOL e 44,2 milhões de OP. Terceiro, a Binance afirma ter impedido 57 ataques suspeitos de estarem ligados à Coreia do Norte desde o início de 2026, e o relatório cita informações do FBI que atribuem a responsabilidade à Coreia do Norte. Isso mostra que não foi um incidente isolado: a empresa está sob vigilância constante. Ainda falta explicar, em detalhes, como o serviço de assinatura pôde ser abusado dessa forma.
Minha avaliação: o relatório conta a favor — apresentar a cronologia, os valores e o montante congelado é melhor do que ser evasivo. Mas “98% repostos” não significa risco zero. Há dois pontos a acompanhar: se a segunda fotografia das reservas da Binance, que vence hoje, vai corresponder aos novos endereços; e se a análise completa posterior explicará as mudanças no isolamento do serviço de assinatura. A leitura do mercado não muda: o $BTC continua preso na faixa de 76.500 a 79.400. Enquanto não recuperar e se mantiver acima de 79.400, trate a alta como um repique: não persiga o preço nem aumente a posição. Se romper 76.500 para baixo, o próximo nível é 75.000. A tese fica invalidada se o preço voltar acima de 79.400 com volume e se mantiver lá por um dia, ou se a fotografia das reservas não corresponder, ou ainda se as saídas líquidas voltarem a aumentar.
Uma única pergunta: o que uma corretora deve corrigir primeiro — os computadores dos funcionários, as ferramentas internas de IA ou o isolamento do serviço de assinatura das carteiras? Se só pudesse escolher uma opção, qual seria?
Vamos primeiro aos argumentos a favor: o relatório de 3 de novembro afirma que o incidente afetou cerca de US$ 6,34 bilhões e que, até a publicação, aproximadamente US$ 2,85 bilhões haviam sido congelados ou bloqueados; em 31 de outubro, 98% dos tokens afetados já tinham sido repostos, o que pode ser verificado na página de prova de reservas. O sistema de carteiras afetado foi reconstruído em um novo ambiente, as credenciais e os tokens de acesso relacionados foram desativados, todos os dispositivos dos funcionários passaram por uma verificação de segurança e os saques foram, em grande parte, restabelecidos. O relatório também apresenta uma cronologia completa: em junho, o engenheiro A, da equipe de DevOps de carteiras, procurou uma ferramenta popular de programação com IA e baixou um pacote de instalação adulterado do Homebrew; na época, a equipe de segurança já havia substituído o computador e as credenciais. Em setembro, o engenheiro B foi abordado em uma plataforma legítima de empregos por alguém que se identificou como “diretor de projeto”; após duas rodadas de entrevistas falsas e um programa apresentado como “tarefa”, componentes de ferramentas de desenvolvimento foram substituídos e passaram a se conectar a um servidor externo. Em 20 de outubro, os atacantes usaram o computador de B e um conjunto de ferramentas internas de IA para acessar os computadores de A e de outro engenheiro de carteiras, C, e também encontraram no computador de A um token de acesso com permissões de implantação de contêineres.
Também há argumentos sólidos contra: primeiro, este ainda é um relatório preliminar; a investigação não terminou e as conclusões aguardam revisão independente. Dos US$ 6,34 bilhões, menos os US$ 2,85 bilhões congelados ou bloqueados, ainda há cerca de US$ 3,49 bilhões que não foram congelados nem bloqueados. Os pouco mais de 2% restantes ainda não repostos são, em sua maioria, ativos de baixa liquidez, e o processo de reposição continua. Segundo, a suspensão dos saques não interrompeu o ataque de imediato: os atacantes usaram o serviço de assinatura para enviar 50 transações e manipular os números de sequência das transações; com uma autorização EIP-7702 da Ethereum, obtiveram controle parcial sobre a execução de uma carteira quente. A delegação só foi removida da carteira quente número 14 em 30 de outubro, às 00:10 UTC. Entre 29 de outubro, às 20:05, e 20:09 UTC, cinco carteiras quentes transferiram 233,46 milhões de XRP; carteiras quentes de Solana e Optimism também transferiram cerca de 970 mil SOL e 44,2 milhões de OP. Terceiro, a Binance afirma ter impedido 57 ataques suspeitos de estarem ligados à Coreia do Norte desde o início de 2026, e o relatório cita informações do FBI que atribuem a responsabilidade à Coreia do Norte. Isso mostra que não foi um incidente isolado: a empresa está sob vigilância constante. Ainda falta explicar, em detalhes, como o serviço de assinatura pôde ser abusado dessa forma.
Minha avaliação: o relatório conta a favor — apresentar a cronologia, os valores e o montante congelado é melhor do que ser evasivo. Mas “98% repostos” não significa risco zero. Há dois pontos a acompanhar: se a segunda fotografia das reservas da Binance, que vence hoje, vai corresponder aos novos endereços; e se a análise completa posterior explicará as mudanças no isolamento do serviço de assinatura. A leitura do mercado não muda: o $BTC continua preso na faixa de 76.500 a 79.400. Enquanto não recuperar e se mantiver acima de 79.400, trate a alta como um repique: não persiga o preço nem aumente a posição. Se romper 76.500 para baixo, o próximo nível é 75.000. A tese fica invalidada se o preço voltar acima de 79.400 com volume e se mantiver lá por um dia, ou se a fotografia das reservas não corresponder, ou ainda se as saídas líquidas voltarem a aumentar.
Uma única pergunta: o que uma corretora deve corrigir primeiro — os computadores dos funcionários, as ferramentas internas de IA ou o isolamento do serviço de assinatura das carteiras? Se só pudesse escolher uma opção, qual seria?