O ataque hacker de US$ 6,3 bilhões à Binance acelerou as preocupações de que a próxima onda de roubos de criptomoedas possa ser ainda mais coordenada — e mais prejudicial — do que tudo o que o setor viu até agora. Após o ataque, a empresa de inteligência em blockchain TRM Labs afirma ter agido rapidamente para identificar os responsáveis, apontando evidências que ligam o incidente ao grupo de hackers TraitorTrader, associado ao Estado norte-coreano.
Enquanto isso, a Binance descreveu o caminho da invasão em uma análise pós-incidente publicada em 3 de novembro. Segundo a empresa, os invasores se passaram por recrutadores para instalar malware no computador de trabalho de um engenheiro e, em seguida, usaram uma ferramenta interna de IA comprometida para acessar as funções de assinatura de carteiras. Ari Redbord, chefe de políticas da TRM Labs, disse ao Cointelegraph que, embora a resposta coordenada do setor tenha sido excepcionalmente rápida, as organizações devem esperar mais tentativas desse tipo.
Principais conclusões
A TRM Labs atribui o ataque à Binance ao grupo norte-coreano TraitorTrader, citando evidências on-chain e off-chain.
A Binance afirmou que os invasores usaram “falsas entrevistas de emprego” para instalar malware e, em seguida, recorreram a uma ferramenta interna de IA comprometida para chegar à assinatura de carteiras.
A Tether e outros emissores de stablecoins congelaram cerca de US$ 2,67 bilhões em tokens após a principal movimentação de fundos, e a Tether congelou 971,1 milhões de USDT em 37 minutos.
Segundo relatos, a Beacon Network da TRM permitiu imobilizar fundos muito mais rapidamente do que o habitual em incidentes anteriores.
A TRM alerta que, mesmo com uma coordenação sólida, talvez não seja possível evitar futuros ataques, e defende que os responsáveis pela defesa adotem medidas ofensivas e apoiadas pelo governo.
Por que o debate sobre atribuição importa
Em ataques de grande repercussão no setor cripto, a atribuição não é apenas uma manchete: ela pode influenciar a forma como corretoras, emissores de stablecoins e autoridades policiais avaliam a exposição e pressionam a rede de lavagem de dinheiro. A TRM Labs afirmou ter sido uma das primeiras a atribuir o ataque à Binance ao TraitorTrader e já havia associado o mesmo grupo a um grande roubo na Bybit, em fevereiro de 2025.
Em sua cobertura do incidente da Binance, a TRM afirmou que sua conclusão se baseava em evidências on-chain e off-chain “indiscutíveis”. Isso importa para os participantes do mercado porque ajuda a embasar avaliações de risco e prioridades de resposta a incidentes, especialmente quando os fundos roubados ainda estão em circulação e as contrapartes precisam decidir com que rigor vão congelar, monitorar ou cooperar.
O relato da Binance sobre como os invasores conseguiram entrar
A Binance afirmou que a invasão começou por meio de engenharia social. De acordo com sua análise pós-incidente, datada de 3 de novembro, os invasores se passaram por recrutadores para infectar com malware o computador de trabalho de um engenheiro. A partir daí, supostamente usaram uma ferramenta interna de IA comprometida para obter acesso ao serviço de assinatura de carteiras da corretora.
Essa sequência de eventos destaca um padrão que se tornou uma preocupação central para a infraestrutura cripto de grande porte: os invasores estão combinando cada vez mais táticas direcionadas a pessoas com o acesso a ferramentas internas, em vez de dependerem apenas da exploração direta de sistemas expostos ao público.
Coordenação rápida — e a escala dos congelamentos de stablecoins
Segundo Ari Redbord, da TRM, um dos aspectos mais impressionantes da resposta da Binance foi a rapidez e a dimensão do esforço para impedir que os fundos roubados fossem movimentados off-chain. Segundo relatos, a Tether congelou 971,1 milhões de USDT apenas 37 minutos após a principal movimentação de fundos. A TRM também estimou que, em conjunto, os emissores de stablecoins congelaram tokens no valor de aproximadamente US$ 2,67 bilhões.
Redbord classificou a ação coordenada envolvendo stablecoins como sem precedentes e acrescentou que os congelamentos iniciais permitiram que o setor recuperasse cerca de 40% “logo de cara”. Na prática, a rápida imobilização pode dar tempo aos responsáveis pela defesa — tanto para as investigações quanto para as medidas operacionais necessárias para conter os fundos antes que possam ser convertidos, transferidos entre redes ou dispersos.
A TRM também destacou sua Beacon Network, um sistema de compartilhamento de inteligência lançado em 2025, como um elemento fundamental para viabilizar a coordenação rápida. Redbord afirmou que, embora os alertas da Beacon geralmente sejam relativamente infrequentes, nos dias em torno do ataque à Binance houve, segundo relatos, centenas — possivelmente até mil — alertas da Beacon, refletindo um grande aumento na atividade sincronizada entre as organizações participantes.
Da resposta coordenada a uma ameaça persistente
Redbord, da TRM, argumentou que, embora a resposta coordenada tenha sido excepcionalmente forte, talvez não consiga dissuadir, a longo prazo, invasores ligados a Estados. Ele alertou que a capacidade de roubo da Coreia do Norte continua eficaz e tem grande importância econômica.
Ele descreveu o roubo de 29 de outubro como equivalente a cerca de um terço do PIB do país e afirmou que ele representava metade dos US$ 12,5 bilhões roubados por hackers apoiados por Estados desde 2017. Mesmo que apenas US$ 1 bilhão fosse recuperado, argumentou, o potencial de retorno continuaria sendo grande o suficiente para sustentar novas tentativas.
Esse contexto é importante para quem acompanha se as respostas a crises “funcionam”. O setor pode aprimorar as operações de detecção e congelamento, mas, se o modelo dos invasores for resiliente — e se as vulnerabilidades ofensivas continuarem sendo descobertas mais rapidamente do que os responsáveis pela defesa conseguem corrigi-las —, cada grande ataque pode se tornar um modelo de negócio recorrente para os invasores.
O que mudou: ferramentas de coordenação e os limites da defesa
O relato da TRM sugere que a resposta do setor está evoluindo do tratamento isolado de incidentes para o compartilhamento mais rápido de inteligência. A Beacon Network parece estar posicionada como um mecanismo para reduzir o intervalo entre a detecção e a ação, e a descrição de Redbord indica que o ataque à Binance gerou um ritmo operacional excepcionalmente intenso.
Ao mesmo tempo, reportagens externas citadas no artigo indicam que uma colaboração anterior da TRM, chamada T3 Financial Crime Unit — criada com a Tron e a Tether em setembro de 2024 — foi desativada no fim de agosto, segundo uma reportagem da Bloomberg mencionada pela Cointelegraph. A mesma fonte afirmou que fontes atribuíram o encerramento à lentidão nas respostas e à falta de coordenação. Segundo relatos, a Tether afirmou que continuaria trabalhando com a TRM por meio da Beacon.
Em conjunto, a história ressalta uma tensão na abordagem operacional do setor: iniciativas amplas de coordenação podem ser difíceis de manter, mas sistemas de compartilhamento de inteligência mais restritos e rápidos podem ser mais eficazes durante crises que evoluem rapidamente.
Uma mudança em direção a medidas ofensivas
O responsável por políticas públicas da TRM Labs foi além da resposta a incidentes. Ele argumentou que impedir ataques ligados à Coreia do Norte exige ações ofensivas dos governos, e não apenas controles defensivos por parte de empresas privadas. Na visão da TRM, a Coreia do Norte usa hackers como um braço do Estado, o que muda quais contramedidas são apropriadas.
O relatório da TRM sobre a lacuna de capacidade, citado no artigo, descreve um distanciamento crescente entre invasores e defensores. A empresa afirmou que essa lacuna é impulsionada pela adoção precoce de tecnologias de ponta pelos invasores, incluindo IA, e argumentou que as equipes de aplicação da lei e de compliance precisam de recursos de IA para detectar e corrigir vulnerabilidades com rapidez suficiente para acompanhar o ritmo.
A conclusão de Redbord foi contundente: ele pediu que os responsáveis pela defesa “revidem com ataques cibernéticos”, combinando operações cibernéticas ofensivas com ações contra as redes de lavagem de dinheiro e os canais bancários usados pelos invasores para sacar os valores. Em sua visão, não se trata apenas de cibersegurança — é uma “guerra cibernética”.
À medida que o setor assimila a análise pós-incidente da Binance e a atribuição feita pela TRM, as próximas perguntas para investidores e desenvolvedores provavelmente se concentrarão na implementação: se redes de compartilhamento de inteligência como a Beacon conseguem sustentar congelamentos rápidos e em grande escala, e se os formuladores de políticas atenderão ao apelo da TRM por medidas ofensivas, em vez de dependerem principalmente de uma defesa reativa.
Este artigo foi publicado originalmente como TRM Labs Executive Calls Binance Hack “Cyber War” Event no Crypto Breaking News — sua fonte confiável de notícias sobre cripto, Bitcoin e atualizações sobre blockchain.