FBI atribui à Coreia do Norte o roubo de US$ 6,3 bilhões da Binance

O FBI afirmou em comunicado divulgado no sábado, 31 de outubro de 2026, que o grupo norte-coreano TraderTraitor está por trás do roubo de cerca de US$ 6,3 bilhões em criptoativos da Binance, ocorrido na quinta-feira, 29 de outubro de 2026, e que a empresa de análise Elliptic considera o maior roubo já registrado de qualquer tipo.

O que o FBI declarou

Segundo a descrição do comunicado feita pela Al Jazeera e pela ABC australiana, a unidade converteu os ativos roubados principalmente em ether, e o órgão espera que eles sejam lavados em novas etapas.

O FBI também prevê que o grupo tente converter os fundos por finanças descentralizadas (DeFi) e serviços de troca instantânea, e pediu aos provedores de serviços de ativos virtuais que bloqueiem as transações ligadas aos endereços que indicou.

A Binance, em comunicado separado, afirmou ter reposto 90% do valor com recursos próprios e disse que segue comprando o restante, formado por tokens menos líquidos que levam mais tempo para ser adquiridos.

Os indícios que a Elliptic apontou antes

Antes da atribuição oficial, a Elliptic já considerava o grupo o provável responsável e apoiava essa avaliação em três tipos de indícios, que precisam ser lidos separadamente.

O primeiro é a infraestrutura de lavagem, porque a Elliptic identificou serviços usados em comum por quem movimenta os fundos da Binance e por quem lavou o produto de três roubos anteriores atribuídos ao mesmo grupo, nas corretoras BigONE, WOO X e AFX.

O segundo é a mistura de fundos, já que parte dos recursos roubados da Binance foi lavada junto com o produto do ataque à Bitget de setembro de 2026, que a própria Elliptic considera muito provavelmente ligado à Coreia do Norte, ligação que o pesquisador ZachXBT reportou primeiro.

O terceiro é o método, porque a Elliptic vê semelhança entre a preparação prolongada, a aparente escolha de funcionários como alvo e o uso dos sistemas de assinatura da própria corretora para autorizar as transferências, e o ataque à Bybit, de cerca de US$ 1,5 bilhão em fevereiro de 2025.

Por que o método pesa tanto

No caso da Bybit, os invasores comprometeram a máquina de um desenvolvedor da Safe{Wallet}, fornecedora da carteira, e manipularam a transação que os signatários de uma carteira multiassinatura, sistema em que várias chaves precisam aprovar a mesma operação, aprovaram.

A Elliptic diz que, na Binance, o que foi comprometido foi a infraestrutura e as pessoas ao redor das carteiras, e não a criptografia, o que segue o mesmo padrão.

Segundo a mesma análise, as carteiras quentes da Binance, conectadas à internet, foram esvaziadas em 11 blockchains em cerca de três horas, e parte dos fundos passou por pontes entre blockchains, serviços que levam ativos de uma rede a outra.

Para a Elliptic, poucos atores conseguiriam coordenar um ataque desse porte em tão pouco tempo.

Onde a atribuição oficial se separa das análises

A diferença entre as duas etapas está em quem assume a afirmação, porque as empresas trabalham com probabilidades construídas sobre dados públicos da blockchain, enquanto o FBI assume a acusação em nome do governo dos Estados Unidos.

Os textos que lemos sobre a atribuição descrevem o comunicado, mas não detalham as evidências que o órgão tem fora da blockchain, e por isso não é possível medir o peso delas na conclusão.

A semelhança com a Bybit, atribuída ao mesmo grupo em 2025, reforça o padrão, mas não identifica pessoas nem prova autoria sozinha neste caso.

O que ainda não foi comprovado

A Binance também não explicou como o computador do engenheiro de DevOps foi comprometido, nem quais foram os outros pontos de invasão que disse ter encontrado, e afirma apenas que o ataque não foi feito por uma pessoa só.

A Elliptic admite que os dados da blockchain não permitem dizer se a automação das transferências usa agentes de inteligência artificial ou scripts convencionais.

Por fim, a Elliptic estima que cerca de US$ 3,25 bilhões ainda estão sob controle do invasor, em ativos que os emissores de stablecoins não conseguem congelar, espalhados por mais de 800 endereços, a preços da data da atualização do texto.

Uma atribuição oficial é, portanto, a posição de um governo sustentada por evidências que os textos consultados não detalham, e o que se pode verificar hoje é a coerência entre os indícios da blockchain, o método do ataque e os casos anteriores.