A Binance, maior corretora de criptomoedas do mundo, teve cerca de US$ 6,3 bilhões em criptoativos desviados de suas carteiras em 29 de outubro de 2026. O valor faz do caso o maior roubo de criptoativos já registrado, mais de quatro vezes acima do recorde anterior: os US$ 1,5 bilhão levados da Bybit em fevereiro de 2025.
A empresa diz que vai arcar com todas as perdas dos clientes e que quase metade do valor já foi congelada com a ajuda de parceiros. Empresas de inteligência em blockchain apontam para um grupo de atores maliciosos ligado à Coreia do Norte.
Como o ataque aconteceu
O roubo foi o desfecho de uma campanha de meses. No relatório preliminar divulgado em 3 de novembro, a Binance descreve uma sequência que começou com engenharia social contra engenheiros da empresa e terminou no serviço interno que assina as transações de criptoativos.
| Quando | O que aconteceu |
|---|---|
| Junho de 2026 | Um engenheiro baixou um pacote de software adulterado ao configurar uma ferramenta de programação com IA. A Binance detectou o malware e trocou o equipamento, mas os atores maliciosos já tinham levantado informações sobre a equipe de carteiras. |
| Setembro | Passando-se por recrutadores, os agentes maliciosos enviaram a outro engenheiro um arquivo malicioso disfarçado de teste técnico. O malware comprometeu o computador de trabalho e driblou as proteções da empresa. |
| 20 de outubro | A partir dessa máquina, e com ajuda de uma ferramenta interna de IA, os atores maliciosos chegaram aos sistemas de mais dois engenheiros e obtiveram credenciais de implantação (deploy). |
| 29 de outubro | Com essas credenciais, instalaram código malicioso na infraestrutura de carteiras e acessaram o serviço de assinatura de transações, movimentando fundos por fora do fluxo normal de saques. |
Segundo a TRM Labs, cerca de US$ 6,36 bilhões saíram de carteiras da Binance em dez blockchains, a maior parte em uns 20 minutos. A carteira atingida foi uma hot wallet, conectada à internet. O co-CEO Richard Teng explicou que a maioria dos ativos dos clientes fica em cold wallets, offline, e só passa para a hot wallet quando há um pedido de saque.
O grupo também explorou o EIP-7702, mecanismo do Ethereum que permite a uma carteira delegar permissões de transação a contratos inteligentes. Assim, as transferências indevidas continuaram mesmo depois da suspensão dos saques, e o modelo de carteiras MPC (computação multipartidária) da Binance dificultou a revogação dessas permissões. O malware ainda tinha um mecanismo de autodestruição para apagar vestígios, segundo Teng.
A Binance afirma que não houve vazamento de chaves privadas. Já a Security Alliance (SEAL), organização sem fins lucrativos de segurança, estima que o grupo circulava pelos sistemas da corretora havia cerca de oito semanas quando executou o roubo.
FBI confirma autoria norte-coreana
As empresas de inteligência em blockchain foram as primeiras a apontar um suspeito. A TRM Labs atribuiu o ataque, com alto grau de confiança, ao TraderTraitor, unidade de elite de operações cibernéticas da Coreia do Norte e a mesma que o FBI responsabilizou pelo roubo à Bybit. Segundo a TRM, o ator malicioso conseguiu fazer com que o próprio sistema da Binance aprovasse as transferências. A Chainalysis e a Elliptic chegaram à mesma conclusão.
Em 31 de outubro, o FBI tornou a atribuição oficial: a agência afirmou que a Coreia do Norte é responsável pelo roubo e que os responsáveis vêm convertendo os ativos principalmente em Ether. O FBI publicou uma lista de endereços usados na lavagem e pediu que corretoras, serviços DeFi, operadores de nós e empresas de análise bloqueiem transações ligadas a eles.
A Binance não nomeou o autor e diz trabalhar com as autoridades para identificá-lo. Pyongyang negou envolvimento: em comunicado divulgado pela agência estatal KCNA, Kim Yo Jong, irmã do líder Kim Jong Un, classificou a acusação como provocação política.
Ressarcimento e retomada dos saques
A Binance suspendeu os saques logo após o ataque e reservou cerca de US$ 6,34 bilhões em recursos próprios para cobrir o prejuízo. Com a ajuda de parceiros do setor, conseguiu congelar ou interceptar cerca de US$ 2,85 bilhões dos ativos desviados, segundo o balanço mais recente da empresa.
Em 31 de outubro, a empresa informou já ter reposto mais de US$ 6 bilhões comprando tokens equivalentes aos roubados, o que corresponde a 98% dos ativos afetados. O restante corresponde a ativos de menor liquidez, mais difíceis de adquirir no volume necessário. O dinheiro veio de parte do SAFU, fundo de emergência em bitcoin de cerca de US$ 1 bilhão, do fundo de seguro de contratos futuros e do caixa da companhia. A Binance se comprometeu a recompor o SAFU.
Os saques foram retomados de forma gradual em 1º de novembro. A corretora também fez um novo registro de suas reservas para que clientes de dez criptoativos, entre eles BTC, ETH e USDT, possam confirmar que seus saldos têm lastro de pelo menos 1 para 1.
O que dizem os especialistas
Para Kok Tin Gan, cofundador e CEO da empresa de cibersegurança NyxLab, o caso levanta dúvidas sobre a ausência de controles de aprovação mais rígidos. Na leitura dele, uma única assinatura parece ter dado ao ator malicioso um token de acesso total, sem prazo de expiração, a uma hot wallet da Binance.
A lavagem do dinheiro não congelado começou rápido. Segundo a Elliptic, em menos de quatro dias os fundos já tinham passado por mais de 12 mil carteiras e 40 mil transações em 11 blockchains. Diferentemente do caso Bybit, em que a movimentação seguia um ritmo de expediente humano, desta vez o processo é automatizado, e a empresa espera que a conversão em dinheiro leve meses, via corretoras de balcão (OTC).
O fundador da Binance, Changpeng Zhao, ponderou que o caso é o maior em dólares, mas que o ataque à Mt. Gox envolveu uma quantidade maior de bitcoins. Andy Ward, vice-presidente da Absolute Security, avalia que ataques dessa escala tendem a se repetir, impulsionados pelo avanço da IA.
Um risco que vai além das criptomoedas
O TraderTraitor não mira apenas corretoras. Em 2026, a SentinelOne encontrou backdoors do grupo em uma empresa sem relação com criptoativos, alcançada por meio de um profissional de infraestrutura. As mesmas técnicas usadas contra o setor, portanto, atingem organizações de outros ramos.
A própria Binance diz ter barrado 57 ameaças suspeitas de ligação com a Coreia do Norte só em 2026, entre entrevistas de emprego falsas, pacotes de software maliciosos e tentativas de engenharia social. As técnicas abaixo aparecem em ataques anteriores a empresas de criptoativos, a maioria atribuída a grupos norte-coreanos. Duas delas, as falsas ofertas de emprego com testes técnicos e os pacotes de software adulterados, constam do relatório preliminar da Binance.
TTPs comuns em ataques a empresas de criptoativos
- • Falsas vagas e trabalhos freelance: testes técnicos e projetos com código malicioso enviados por LinkedIn, Telegram ou GitHub (T1566.003, T1204).;
- • Personificação de contatos confiáveis: supostos ex-prestadores de serviço enviam arquivos maliciosos pedindo uma revisão ou opinião (T1566, T1204.002);
- • Reuniões falsas de Zoom ou Teams: às vezes com deepfakes de executivos, a vítima é levada a instalar uma “atualização” ou colar um comando no terminal (T1204);
- • Falsos profissionais de TI remotos: contratados com identidades roubadas, usam o acesso interno para desviar fundos (T1585, T1078);
- • Comprometimento de fornecedores e da cadeia de suprimentos: pacotes npm maliciosos, atualizações adulteradas e exploração de falhas em produtos de terceiros (T1195, T1199);
- • Roubo de cookies e tokens de sessão: usado para contornar o MFA e operar contas legítimas na nuvem (T1539, T1550, T1078.004);
- • Manipulação do fluxo de aprovação: uma interface adulterada ou infraestrutura comprometida exibe uma transação legítima enquanto outra é assinada (T1565);
- • Evasão: uso de VPN comercial, atividade no horário de trabalho da vítima e limpeza de rastros (T1090, T1070).
Recomendações estratégicas
- • Tratar como ativos críticos as estações de trabalho de equipes de DevOps, administradores de nuvem e aprovadores de pagamentos, com EDR e restrição à execução de código de terceiros;
- • Orientar as equipes sobre falsas ofertas de emprego, convites inesperados para reuniões e pedidos para instalar atualizações ou colar comandos, permitindo que código externo rode apenas em ambiente isolado;
- • Reforçar a verificação de identidade na contratação remota de funcionários e prestadores de serviço;
- • Encurtar a validade das sessões em nuvem e monitorar acessos fora do padrão, como desativação de MFA e ações administrativas incomuns;
- • Exigir validação por outra pessoa, e por outro canal, para operações financeiras e mudanças críticas.
Para saber mais, clique aqui.