O rastreamento da blockchain indica que a equipe por trás do grande ataque hacker à Binance em 2026 continuou movimentando e convertendo boa parte dos valores roubados vinculados à Solana, com os fluxos de lavagem sendo cada vez mais direcionados pelo protocolo de swap entre blockchains THORChain.
Segundo dados da Arkham citados em reportagens, carteiras associadas ao grupo de “hackers da Binance” agora detêm 182.443 SOL (cerca de US$ 16,9 milhões), e o grupo mais amplo de invasores já movimentou aproximadamente 81% dos 970.522 SOL supostamente roubados durante o ataque — um montante vinculado a pelo menos parte do fluxo de lavagem descrito pelos investigadores.
Principais conclusões
Clusters de carteiras associados ao ataque à Binance, segundo a Arkham, detêm 182,443 SOL, avaliados em cerca de US$ 16,9 milhões.
O rastreamento citado pela Lookonchain sugere que os invasores seguiram etapas avançadas de conversão, incluindo SOL → USDC → ponte para Ethereum → ETH → BTC via THORChain.
A THORChain retomou as trocas em várias redes após uma interrupção provocada por uma reorganização de bloco na Ethereum, que expôs uma falha no mecanismo de reembolso.
A Chainalysis afirmou que a interrupção atrasou inadvertidamente as atividades de lavagem, enquanto outros analistas on-chain estimam que uma grande parte das transações relacionadas foi automatizada.
As autoridades atribuíram o ataque a agentes ligados à Coreia do Norte, o que autoridades norte-coreanas negaram, enquanto investigadores continuam monitorando o papel da THORChain na lavagem de fundos provenientes de outras grandes invasões.
Fundos dos invasores e a “escada de conversão”
Os padrões mais recentes de movimentação surgem enquanto pesquisadores mapeiam como os ativos roubados são divididos entre carteiras, convertidos e transferidos entre redes. O monitoramento em nível de entidade da Arkham, conforme mencionado no artigo, associa um grupo de carteiras à exploração da Binance e calcula suas reservas de SOL em 182,443 SOL — cerca de 18,8% dos 970,522 SOL atribuídos ao ataque.
Em sua atualização de quarta-feira, a Lookonchain descreveu o caminho de várias etapas usado pelos invasores: os SOL foram distribuídos por várias carteiras e depois vendidos por USDC; em seguida, os fundos em stablecoin foram transferidos para a Ethereum por meio de uma ponte para comprar ether (ETH). A etapa final descrita envolve trocar ETH por bitcoin (BTC) por meio da THORChain, uma exchange entre blockchains projetada para permitir a conversão de ativos sem depender de livros de ordens centralizados tradicionais.
Para investidores e traders, esses detalhes são importantes porque ilustram como hackers podem transformar um grande butim volátil de criptomoedas em várias representações líquidas em diferentes ecossistemas — muitas vezes antes que os responsáveis pela defesa possam reagir ou congelar os fundos. Isso também ajuda a explicar por que redes de liquidez entre blockchains, como a THORChain, frequentemente se tornam foco de monitoramento durante grandes incidentes.
Detalhes da invasão à Binance e busca por atribuição
A Binance divulgou que seus sistemas foram comprometidos depois que invasores obtiveram acesso aos dispositivos de funcionários por meio de falsas propostas de entrevista de emprego e downloads de software malicioso. A exchange caracterizou o incidente como um ataque recorde e afirmou posteriormente que repôs 98% dos tokens afetados e absorveria as perdas restantes.
No âmbito investigativo, o Federal Bureau of Investigation (FBI) dos EUA atribuiu o ataque, no sábado, aos hackers TraderTraitor da Coreia do Norte e pediu que provedores de serviços de criptomoedas — incluindo explicitamente os operadores de THORNode — bloqueassem transações vinculadas aos ativos roubados.
A resposta da Coreia do Norte foi rápida. Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, rejeitou as acusações do FBI como “retórica absurda”, segundo uma reportagem mencionada na fonte.
Embora disputas sobre atribuição não sejam incomuns em casos cibernéticos, o que se destaca aqui é a especificidade operacional: reguladores e investigadores pressionaram pelo bloqueio direcionado de transações em partes da infraestrutura entre blockchains, sugerindo que as autoridades acreditam que a rota de lavagem não é meramente incidental.
A interrupção das trocas na THORChain e por que ela desacelerou (e depois retomou) a lavagem
A capacidade da THORChain de processar trocas passou a fazer parte da história quando os serviços foram pausados e, mais tarde, restabelecidos. Uma reportagem anterior citada no artigo observa que a THORChain interrompeu as negociações de Bitcoin, Ethereum e outras redes após um problema relacionado à Ethereum: uma reorganização de bloco expôs uma falha no mecanismo de reembolso.
Quando a THORChain retomou as negociações na quarta-feira, a reativação permitiu que as trocas entre blockchains continuassem em várias redes. A Chainalysis, conforme citada no artigo, afirmou que a interrupção atrasou inadvertidamente as atividades de lavagem vinculadas aos invasores da Binance — um ponto prático importante. Mesmo quando hackers preparam planos com várias etapas, pausas operacionais nas redes de que dependem podem dar tempo para monitoramento, coordenação e possíveis medidas de controle de risco.
Paralelamente, analistas tentaram quantificar o estilo de execução dos invasores. A SomaXBT estimou que cerca de 54% das mais de 47.600 transações dos invasores na Tron e na Solana foram automatizadas, reforçando a probabilidade de trocas e distribuição feitas por scripts, em vez de movimentações exclusivamente manuais.
Rotas de lavagem ampliadas e o que observar a seguir
O padrão de lavagem relatado também aponta para flexibilidade geográfica e entre redes. Segundo relatos, os hackers da Binance ampliaram suas atividades para a Solana no domingo, após esvaziarem a maior parte de suas carteiras temporárias na Tron. A Chainalysis estimou que cerca de US$ 500 milhões em valor total passaram pela Tron, incluindo transferências repetidas entre carteiras — comportamento compatível com tentativas de ocultar a origem dos fundos por meio de movimentações rápidas e iterativas.
O artigo também situa a THORChain em uma narrativa mais ampla e persistente sobre lavagem de dinheiro. Há suspeitas de que grupos de hackers vinculados à Coreia do Norte tenham usado a THORChain para lavar receitas de outros grandes ataques, incluindo o ataque de US$ 1,4 bilhão à Bybit mencionado na fonte.
Para os leitores, a principal incerteza daqui para a frente é se as autoridades conseguirão interromper efetivamente o fluxo de lavagem sem prejudicar o uso legítimo entre blockchains. Os pontos imediatos a acompanhar são (1) se a conversão de ativos roubados continuará migrando para outros locais de liquidez e (2) com que rapidez os controles operacionais e as ferramentas de monitoramento poderão identificar e impedir o uso repetido de rotas semelhantes entre blockchains.
Este artigo foi publicado originalmente com o título Hackers da Binance transferem 81% dos SOL roubados e usam a THORChain para encaminhar fundos, no Crypto Breaking News — sua fonte confiável de notícias sobre criptomoedas, Bitcoin e atualizações sobre blockchain.