Carteiras da Binance, maior corretora de criptomoedas do mundo, foram esvaziadas na noite de 29 de outubro em um ataque que levou cerca de US$ 6,3 bilhões — o maior roubo já registrado no setor. As duas principais empresas de rastreamento de blockchain, TRM Labs e Chainalysis, atribuem a ação ao TraderTraitor, grupo de hackers ligado ao Estado norte-coreano.
A TRM Labs calcula US$ 6,36 bilhões pelo preço de cada ativo no momento em que foi movido, ou US$ 6,23 bilhões pela cotação atual. A Chainalysis fala em cerca de US$ 6,4 bilhões. Qualquer das contas coloca o episódio em outra escala: é cerca de quatro vezes o roubo da Bybit, de US$ 1,5 bilhão, que era o recorde desde fevereiro de 2025.
Vinte minutos, dez blockchains
A saída de recursos começou por volta das 20h de 29 de outubro no horário de Greenwich, e a maior parte ocorreu em aproximadamente 20 minutos. Foram atingidas carteiras quentes — as que ficam conectadas à internet para dar liquidez às operações — em dez blockchains diferentes.
No Ethereum, segundo a TRM Labs, o atacante usou o EIP-7702, recurso introduzido na atualização Pectra da rede, para fazer uma carteira da Binance executar um contrato de varredura sob controle exclusivo dele. Foram submetidas 50 autorizações previamente assinadas, uma para cada um de 50 contadores consecutivos de transação, de modo que uma delas fosse necessariamente válida na hora da execução. A delegação foi então reutilizada para drenar a carteira e capturar novos depósitos nas horas seguintes.
Nas outras nove redes, as carteiras simplesmente enviaram os recursos por transferências assinadas comuns. Para a TRM Labs, isso aponta para o comprometimento da infraestrutura de assinatura da Binance, e não para um golpe de phishing restrito a uma rede — ressalva feita pela própria empresa como avaliação, não como causa confirmada. A Binance não divulgou a causa raiz.
A preparação é anterior ao ataque: a TRM Labs identificou movimentação ao menos 36 horas antes, com pequenos saques no Tornado Cash para financiar a carteira do operador e testes do código em outras carteiras.
Como chegaram à Coreia do Norte
A atribuição não vem de um comunicado oficial, e sim do rastro na própria blockchain. A Chainalysis diz que a evidência mais forte foi observar, em tempo real, os recursos roubados da Binance se misturarem a fundos do ataque à Bitget do mês passado, já atribuído a atores norte-coreanos; a conclusão foi anunciada na madrugada de 30 de outubro.
A TRM Labs afirma ter alta confiança na atribuição e cita semelhanças com o ataque à Bybit e com o golpe contra a KelpDAO, em abril de 2026. O FBI já havia vinculado o TraderTraitor ao caso Bybit.
US$ 2,8 bilhões congelados — e US$ 2,4 bilhões ainda em movimento
Os congelamentos começaram menos de uma hora depois do início dos saques e somavam cerca de US$ 2,8 bilhões na contabilidade da Chainalysis. O levantamento da TRM Labs, fechado às 0h30 (GMT) de 30 de outubro, detalha US$ 2,7 bilhões: cerca de 1,77 bilhão de USDT pela Tether, 825 milhões de USDC pela Circle, 40,5 milhões de RLUSD pela Ripple, 27,8 milhões de USD1 pela World Liberty Financial e o equivalente a US$ 30 milhões em ETH e ARB pelo conselho de segurança da Arbitrum.
A diferença explica por que o número oscila: stablecoin tem emissor, e emissor pode travar o saldo; bitcoin e ether, não. Pelas contas da TRM Labs, o atacante ainda mantém mais de 420 mil ETH e 18.270 BTC, cerca de US$ 2,4 bilhões — e já começou a lavagem. Foram vendidos 325 milhões de USDT a formadores de mercado por aproximadamente 122.300 ETH, com desconto superior a 10%; houve empréstimo de ETH contra USDT no Aave e depósito de USDT no JustLend, protocolo da rede Tron; e os 18.270 BTC passaram por uma cadeia de descascamento, em que o valor é fatiado em saídas de números redondos para dificultar o rastreio.
O que diz a Binance
A corretora confirmou um incidente de segurança, disse estar investigando e suspendeu temporariamente saques em várias redes por precaução. Afirmou também que "os fundos dos usuários estão seguros" e, às 23h35 (GMT) de 29 de outubro, informou que os valores congelados verificados chegavam a US$ 2,54 bilhões.
Há pelo menos um ponto em que a versão da empresa e o rastro público não coincidem: a co-presidente-executiva Yi He afirmou que a Ripple ajudou a impedir a movimentação de cerca de US$ 200 milhões, mas a TRM Labs diz ter confirmado na blockchain apenas o congelamento de 40,5 milhões de RLUSD.
Com informações da TRM Labs e da Chainalysis.
