Ataque à Binance começou no notebook de um engenheiro, diz a corretora, e empresas de rastreamento em blockchain ligam o caso à Coreia do Norte

A Binance, maior corretora de criptomoedas do mundo, afirmou na noite de 29 de outubro de 2026 que a investigação preliminar do ataque sofrido naquele dia aponta para o notebook comprometido de um engenheiro de DevOps, que teria dado ao invasor acesso a um contêiner de serviço onde ele enviou transações de saque não autorizadas, segundo o comunicado reproduzido pelo Cointelegraph.

O que a corretora disse sobre a intrusão

No mesmo comunicado, a Binance estimou o impacto total em cerca de US$ 6,3 bilhões, disse que não encontrou evidência de vazamento das chaves privadas das carteiras, que revogou a autorização do endereço afetado e que vai publicar uma análise técnica detalhada (post-mortem) quando a investigação terminar e os fatos estiverem verificados.

Na madrugada de 30 de outubro de 2026, o co-CEO Richard Teng escreveu na rede X que o invasor não usou simplesmente as permissões de um engenheiro, que o caso envolveu “um processo de ataque mais complexo” e não uma única ação de “um clique”, e que a investigação “não atribuiu responsabilidade a nenhuma pessoa”.

Pouco depois, a corretora informou que encontrou “pontos adicionais de invasão” além do notebook e que continua levantando os fatos com as autoridades policiais, mas ainda não explicou como o computador foi comprometido, como o acesso chegou ao contêiner nem quais controles deixaram as transações passar, como observou o site CyberInsider.

O que a blockchain mostra

O primeiro alerta público veio do pesquisador conhecido como Spreek, que apontou na rede X a saída de ativos de uma carteira de Ethereum ligada à Binance para um endereço recém-criado, por meio de uma chamada de contrato que teria sido financiada pelo misturador Tornado Cash.

A empresa de segurança Blockaid descreveu, na análise publicada na rede X, uma transação com 50 autorizações do padrão EIP-7702 dirigidas à carteira quente Binance 14, das quais uma coincidia com o contador de transações da conta e foi aceita, delegando a carteira a um contrato não verificado que permitia a um operador esvaziar tokens e ether.

O CEO da Blockaid, Ido Ben-Natan, disse ao Cointelegraph que a avaliação preliminar indicava “uso indevido de chave”, isto é, o comprometimento da infraestrutura de assinatura para autorizar transações maliciosas sem extrair a chave privada, e que a empresa não acredita que uma chave tenha vazado.

A Chainalysis afirma que os fundos começaram a sair das carteiras quentes da Binance por volta das 16h20 no horário da costa leste dos Estados Unidos (17h20 em Brasília), que no Ethereum uma carteira operacional abastecida pelo Tornado Cash enviou autorizações assinadas válidas para a carteira da corretora rodar o código do invasor e que outras carteiras afetadas mandaram os fundos por transferências assinadas comuns.

A TRM Labs, segundo o crypto.news, rastreou as saídas em 10 blockchains, calculou US$ 6,36 bilhões pelo preço de cada transferência e registrou que a maior parte saiu em cerca de 20 minutos, a partir das 20h05 em UTC (17h05 em Brasília), enquanto a plataforma Arkham Intelligence passou a marcar um conjunto de carteiras como “binance-hacker-1029”, com saldo de cerca de US$ 5,84 bilhões, valor que o Cointelegraph ressalva ser o saldo das carteiras e não o total confirmado do roubo.

Congelamento e rastreabilidade

O fundador da Binance, Changpeng Zhao, agradeceu na rede X à Tether pelo congelamento de cerca de US$ 971 milhões e à Circle por cerca de US$ 823 milhões, enquanto o CEO da Tether, Paolo Ardoino, informou ter congelado mais de US$ 1,567 bilhão em USDT e o CEO da Circle, Jeremy Allaire, disse ter congelado mais de US$ 800 milhões em USDC em coordenação com as autoridades policiais.

O total verificado de ativos congelados divulgado pela Binance passou de US$ 2,54 bilhões, às 20h35 de Brasília, para US$ 3 bilhões, às 21h52, depois que o Conselho de Segurança da rede Arbitrum transferiu US$ 30,5 milhões do invasor, em 74,6 milhões de ARB e 8.425 ETH, para uma carteira intermediária congelada, e o congelamento incluiu também tokens de Ripple, World Liberty Financial e First Digital, entre outros.

A Chainalysis relata que o invasor tentou correr contra os bloqueios, levando US$ 500 milhões em stablecoins para uma carteira que, em cerca de 20 minutos, trocou US$ 325 milhões por US$ 285 milhões em ETH e, dez minutos depois, mandou os US$ 175 milhões restantes para carteiras de passagem, mas os congelamentos começaram às 17h14 no horário da costa leste (18h14 em Brasília), e a empresa contava cerca de US$ 2,8 bilhões congelados na manhã de 30 de outubro de 2026.

O emissor de uma stablecoin pode bloquear o saldo de um endereço, recurso que não existe para bitcoin e ether, cujas movimentações continuam visíveis na blockchain sem que isso dê a alguém o poder de revertê-las, como explica o crypto.news.

O chefe de pesquisa da CryptoQuant, Julio Moreno, acompanhou 18.270 BTC saídos de uma carteira da Binance para 19 endereços novos, 17 deles com exatamente 1.000 BTC cada, e escreveu que nada havia passado por corretora centralizada, ponte entre blockchains ou misturador até a publicação, segundo a Forbes.

A Chainalysis também descreve um padrão de lavagem que diz não ter visto antes, com milhares de transações em pouco tempo, fundos que voltam a endereços usados no início da sequência e endereços que recebem exatamente 1 TRX antes de receber e repassar outros valores, o que indica, para a empresa, um processo automatizado.

Atribuição

A Chainalysis atribui o ataque ao grupo norte-coreano TraderTraitor e diz que a evidência mais forte foi ver, em tempo real, fundos da Binance misturados a fundos do ataque de setembro à corretora Bitget, já atribuído a agentes da Coreia do Norte, e o investigador independente ZachXBT afirmou que os dois conjuntos de fundos se juntaram no mesmo endereço depois de passar pela THORChain.

A TRM Labs também atribui o ataque ao TraderTraitor com “alta confiança”, com base em informações obtidas dentro e fora da blockchain, segundo Ari Redbord, da empresa, enquanto a Binance afirma que ainda trabalha com as autoridades para identificar os autores.

O precedente da Bybit

O FBI apontou o mesmo TraderTraitor como autor do ataque de fevereiro de 2025 à Bybit, de US$ 1,5 bilhão, cuja atualização pericial relatou que os invasores comprometeram as credenciais de um desenvolvedor da Safe, entraram na infraestrutura do fornecedor da carteira e enganaram os signatários para aprovar uma transação maliciosa, e Ben-Natan classificou os dois casos como “muito, muito parecidos”, embora tenha ressalvado que a atribuição do ataque à Binance ainda não estava confirmada.

Os números ao longo do dia

A Chainalysis chegou a calcular US$ 5,912 bilhões no momento do roubo e depois US$ 6,4 bilhões, a TRM Labs fala em US$ 6,36 bilhões, e o número oficial mais recente é o da Binance, de cerca de US$ 6,3 bilhões de impacto e US$ 3 bilhões congelados, com a promessa de cobrir as perdas com o fundo de emergência SAFU e recursos próprios.