A gigante de criptomoedas afirmou nesta quinta-feira que um "incidente de segurança" em sua plataforma afetou cerca de US$ 6,3 bilhões em ativos.
A maior exchange de criptomoedas do mundo disse que quase US$ 3 bilhões desses ativos já foram congelados na blockchain até o momento. Ao todo, a Tether e a Circle afirmaram ter congelado mais de 1,567 bilhão de USDT (token atrelado ao dólar emitido pela Tether) e 800 milhões de USDC (stablecoin atrelada ao dólar emitida pela Circle), respectivamente, relacionados ao incidente. O Conselho de Segurança da Arbitrum teria executado uma transação para congelar cerca de US$ 30,5 milhões provenientes da invasão à Binance.
"A investigação inicial sugere que o incidente de segurança pode ter envolvido o notebook comprometido de um engenheiro de DevOps, o que permitiu que um invasor acessasse um contêiner de serviço e enviasse transações de saque não autorizadas", afirmou a Binance em atualização.
A empresa disse não haver evidências de vazamento de chaves privadas de carteiras e acrescentou que cobrirá todas as perdas com o Fundo de Ativos Seguros para Usuários (SAFU) e com recursos próprios.
Por precaução, a Binance também adotou as seguintes medidas:
- Suspendeu temporariamente depósitos e saques enquanto as verificações de segurança são concluídas;
- Revogou a autorização do endereço afetado;
- Acionou autoridades policiais e parceiros de inteligência em blockchain para rastrear e recuperar os fundos.
"Estamos trabalhando em estreita colaboração com nossos parceiros das autoridades policiais para confirmar a identidade desses criminosos e levá-los à Justiça", disse a Binance.
Em nova atualização, a Binance afirmou esperar que os saques sejam retomados em 48 horas, após sua equipe "concluir uma revisão de segurança do serviço de saques e dos endereços relacionados".
O episódio se torna o maior roubo de criptomoedas já registrado, superando o furto de cerca de US$ 1,5 bilhão da Bybit em fevereiro de 2025. O incidente foi posteriormente atribuído à Coreia do Norte.
"Nossa estimativa atual para o valor roubado é de aproximadamente US$ 5,912 bilhões no momento do furto, quase quatro vezes o montante roubado no segundo maior roubo de criptomoedas", afirmou a empresa de inteligência em blockchain Chainalysis em publicação na rede X.
Atribuído ao TraderTraitor, da Coreia do Norte
A TRM Labs atribuiu o recorde de invasão contra a Binance a agentes de ameaça da Coreia do Norte, com alto grau de confiança. A empresa de análise de blockchain vinculou o ataque ao grupo TraderTraitor, que também esteve por trás do roubo à Bybit em 2025, com base no que chamou de "fontes robustas de inteligência, dentro e fora da blockchain".
"Vários aspectos deste ataque coincidem com roubos anteriores ligados à Coreia do Norte, incluindo o ataque à Bybit e a invasão à KelpDAO em abril de 2026: pequenos saques pelo Tornado Cash financiando uma carteira operacional, uma preparação que começou muito antes do furto e assinaturas obtidas antecipadamente e executadas em um único lote", afirmou a TRM Labs.
"A lavagem observada até agora, baseada em grandes trocas por meio de formadores de mercado e protocolos de empréstimo, difere do padrão com forte uso de pontes que se seguiu ao ataque à Bybit."
A TRM Labs afirmou que a preparação do ataque começou pelo menos 36 horas antes do furto, com os invasores assumindo o controle de uma carteira quente da Binance para enviar seu "saldo total para um endereço controlado pelo atacante" -
Às 20h20 UTC, o operador enviou uma única transação contendo 50 autorizações. Cada uma foi assinada pela carteira quente da Binance e apontava para um contrato varredor que aceita instruções apenas do operador. Toda carteira mantém uma contagem contínua de suas transações, chamada nonce, e uma autorização só funciona no número que a carteira tiver alcançado no momento em que for executada. A carteira quente da Binance processa um fluxo constante de saques, então sua contagem avança continuamente. Ao preparar assinaturas para 50 contagens consecutivas, o atacante garantiu que uma delas ainda estaria válida quando a transação fosse executada. Uma coincidiu, e isso era tudo o que o atacante precisava. As assinaturas foram produzidas antecipadamente, em lote.
Três minutos e 24 segundos após a delegação, o operador instruiu a carteira quente da Binance a enviar todo o seu saldo para um endereço controlado pelo atacante. Essa única transação movimentou 167.464 ETH e 63 tokens, incluindo 1,615 bilhão de USDT.
A explicação mais provável é que o atacante ganhou a capacidade de fazer o sistema de assinatura da carteira quente da Binance assinar transações de sua escolha entre diferentes redes. O lote de 50 autorizações pré-assinadas sugere que o acesso pode ter sido limitado no tempo ou que as assinaturas precisavam ser solicitadas por meio de um sistema. A Binance ainda não divulgou a causa raiz.
A Chainalysis também vinculou o ataque à República Popular Democrática da Coreia (RPDC, ou Coreia do Norte) com alto grau de confiança, afirmando ter "observado fundos roubados pela RPDC no ataque à Bitget do mês passado se misturando a fundos roubados da Binance".
"A capacidade de identificar e compreender rapidamente atividades ilícitas é cada vez mais importante, já que a Coreia do Norte utiliza automação sofisticada para mover e ocultar fundos roubados", afirmou a empresa em publicação no início deste mês. "Os investigadores precisam acompanhar essas táticas, aplicando o discernimento e a experiência necessários para interpretar atividades complexas na blockchain."
Até agora, Tether, Circle, Ripple e World Liberty Financial congelaram cerca de US$ 2,67 bilhões em stablecoins, enquanto o Conselho de Segurança da Arbitrum congelou cerca de US$ 30 milhões em ETH e ARB. O atacante continua com o controle de mais de 420 mil ETH e 18.270 BTC (bitcoin), avaliados em cerca de US$ 2,4 bilhões, além de montantes menores em outras redes.
O cientista-chefe e fundador da Elliptic, Dr. Tom Robinson, disse ao The Hacker News que criptoativos com valor total de US$ 6,43 bilhões foram roubados da Binance. Ele atribuiu o furto a agentes ligados à Coreia do Norte, citando técnicas semelhantes e a mistura de fundos de outro ataque atribuído ao mesmo grupo.
"Em vez de roubar as chaves privadas da Binance, o atacante aparentemente conseguiu fazer os próprios sistemas da Binance assinarem transações em seu nome", afirmou a Elliptic.
"Isso se parece muito com o roubo à Bybit, em que hackers norte-coreanos comprometeram o computador de um desenvolvedor no provedor de carteiras Safe{Wallet} e manipularam a transação que os signatários da Bybit aprovaram. Nos dois casos, foram comprometidas a infraestrutura e as pessoas ao redor das carteiras, e não a criptografia."
A empresa também observou que 2,84 bilhões em fundos foram congelados, enquanto o atacante mantém sob controle cerca de US$ 3,33 bilhões em ativos que não podem ser congelados por um emissor, distribuídos em cerca de 43 endereços de carteiras. Isso inclui 511.861 ETH (1,15 bilhão), 18.270 BTC (US$ 1,43 bilhão), 233 milhões de XRP e 670 milhões de TRX.
Os vínculos com a Coreia do Norte se baseiam nos seguintes fatores:
- Fundos roubados da Binance e fundos ligados à invasão à Bitget foram enviados para o mesmo endereço Ethereum, 0x15104a9ce0f08a8f0075a0869ae80e795fe0feb7.
- Os atacantes financiaram sua carteira com três pequenos saques pelo Tornado Cash, testaram o código do ataque antecipadamente e executaram transações pré-assinadas em um único lote, de forma semelhante ao observado nas invasões à Bybit e à KelpDAO.
- O provável uso de engenharia social para enganar funcionários e levá-los a executar malware sob o pretexto de um teste de programação ou de um projeto falso, técnica empregada nos ataques à DMM Bitcoin e à Bybit.
Apesar dessas semelhanças, a Elliptic recomendou cautela ao atribuir a atividade à Coreia do Norte, citando desvios em relação a padrões de lavagem anteriormente observados, tanto na velocidade quanto na metodologia, além da ausência de uma causa raiz.
"Os lavadores ligados à RPDC normalmente trocam stablecoins roubadas por ativos nativos em questão de minutos", disse Robinson. "O atacante manteve o USDT roubado por 37 minutos na Ethereum e por 46 minutos na Tron sem converter a maior parte dele. Grupos ligados à Coreia do Norte costumam movimentar os fundos de forma mais rápida e eficiente. O uso de formadores de mercado e de protocolos de empréstimo de DeFi (finanças descentralizadas) difere da lavagem baseada em pontes observada após o ataque à Bybit."
Quando questionado sobre a existência de indicadores que poderiam ter ajudado a identificar e prevenir o ataque com antecedência, Robinson disse que isso só seria possível em retrospecto.
"No dia anterior ao ataque, o atacante financiou sua carteira pelo mixer Tornado Cash", acrescentou Robinson. "Algumas horas antes, testou o código em três carteiras. Nada disso teria chamado atenção na época."
Considerando que a invasão à Binance foi orquestrada pela Coreia do Norte, o episódio mais uma vez evidencia como os agentes de ameaça seguem atuando com impunidade, apesar dos esforços contínuos das autoridades policiais e das pressões por sanções.
"As recompensas são enormes e os riscos para eles são pequenos", disse Robinson. "Os hackers estão fora do alcance das autoridades policiais. A Coreia do Norte já sofre sanções pesadas, e o roubo de criptomoedas é uma das poucas formas que ainda lhe permitem arrecadar bilhões."
"Eles têm como alvo pessoas, e não tecnologia, por meio de falsas ofertas de emprego e malware, e basta um notebook comprometido. Depois, lavam os fundos por meio de mixers, pontes e corretoras de balcão (OTC), em grande parte fora do alcance das autoridades ocidentais. No entanto, o rastreamento e o congelamento de fundos melhoraram, o que torna cada roubo menos lucrativo."
A Binance revelou que sua investigação em andamento "identificou pontos adicionais de violação" que vão além do notebook comprometido, e que a empresa está "fazendo tudo o que pode, em coordenação com as autoridades policiais, para resolver o problema".
A empresa também divulgou que está "recuperando ativos afetados para os usuários e segue trabalhando com autoridades policiais, emissores, empresas de inteligência em blockchain e parceiros do setor para rastrear, congelar e recuperar fundos adicionais".
"Nossa investigação inicial sugere que este incidente de segurança pode ter começado com o notebook comprometido de um engenheiro de DevOps", disse o copresidente-executivo da Binance, Richard Teng, em publicação. "Isso deu ao atacante acesso a um contêiner de serviço, onde ele enviou transações de saque não autorizadas."
"Para ser claro: o atacante não usou simplesmente as permissões de um único engenheiro, e isso não foi uma ação de 'um clique'. Envolveu um processo de ataque mais complexo. Nossa investigação não atribuiu responsabilidade a nenhum indivíduo."
(A matéria foi atualizada após a publicação para refletir os desdobramentos mais recentes e as informações adicionais da Elliptic.)
