O Federal Bureau of Investigation (FBI, a agência federal de investigação dos EUA) atribuiu oficialmente o roubo de mais de US$ 6 bilhões em ativos virtuais da Binance ao TraderTraitor, um grupo de hackers de elite alinhado à Coreia do Norte, também monitorado como Jade Sleet, Pressure Chollima, PUKCHONG, Slow Pisces e UNC4899.
O FBI, junto com o Serviço Secreto dos EUA (USSS, U.S. Secret Service) e a Divisão de Investigação Criminal da Receita Federal dos EUA (IRS-CI, Internal Revenue Service Criminal Investigation), afirmou ter observado o invasor convertendo os ativos roubados principalmente em Ethereum (ETH).
“Espera-se que esses ativos sejam posteriormente lavados, convertidos por meio de finanças descentralizadas (DeFi) e serviços de troca instantânea, enquanto se preparam para novas etapas de lavagem”, afirmou o FBI em comunicado.
A agência também divulgou uma lista de endereços de carteiras que os invasores teriam usado para lavar os ativos roubados.
O desdobramento ocorre enquanto a Binance afirmou ter retomado a primeira fase dos saques a partir de hoje, entre 6h e 9h no horário UTC (Tempo Universal Coordenado), depois que eles foram suspensos após o incidente.
“Desde o incidente, nossas equipes adotaram medidas de precaução para proteger a plataforma, realizaram avaliações de segurança e trabalharam para verificar a prontidão dos serviços afetados”, disse a Binance em comunicado.
“Pretendemos restabelecer os saques progressivamente à medida que concluirmos as verificações de segurança e de prontidão. Os serviços de depósito seguem abertos e não foram afetados pelo incidente.”
O volume ultrapassa os US$ 1,46 bilhão desviados da Bybit em fevereiro de 2025, o que torna este o maior roubo de criptomoedas da história. Os fundos foram roubados em 11 blockchains, sendo 82% deles em Ethereum e Bitcoin.
“Este único incidente quase dobra o total de criptoativos roubados pelo regime”, afirmou a empresa de análise de blockchain Elliptic. “Acredita-se que agentes ligados à Coreia do Norte, oficialmente a República Popular Democrática da Coreia (DPRK, na sigla em inglês), tenham roubado mais de US$ 6,5 bilhões em criptoativos nos últimos anos.”
Dos US$ 6,43 bilhões roubados pelo TraderTraitor, US$ 2,85 bilhões dos ativos foram congelados na blockchain pela Tether, Circle, Ripple, Arbitrum e Optimism.
O TraderTraitor é o nome atribuído a um grupo norte-coreano com histórico de orquestrar roubos de criptomoedas contra o setor Web3, induzindo vítimas a baixar aplicativos infectados com software malicioso. O grupo é conhecido por estar ativo desde pelo menos 2020.
Nos últimos anos, o grupo tem sido associado a roubos de criptomoedas contra as plataformas DMM Bitcoin, Bybit, KelpDAO e Bitget.
Relatórios da SentinelOne, da Zscaler ThreatLabz e da Microsoft revelaram que o TraderTraitor continua aprimorando suas táticas, usando provedores do Terraform adulterados como vetor de distribuição de malware e explorando empresas de fachada para conduzir ações direcionadas, com temática de vagas de emprego, contra pessoas que atuam em cibersegurança, inteligência artificial, blockchain e empresas de recrutamento de talentos.
O provedor do Terraform contaminado é usado para entregar um carregador Bash, que seleciona e baixa malware adaptado ao sistema operacional da vítima. Isso inclui um implante multiplataforma chamado FLATROOF, que extrai dados sensíveis da vítima por meio de um infostealer baseado em Python e, em seguida, instala a porta dos fundos (backdoor) ROOFDECK para obter controle remoto completo.
A atividade mais uma vez mostra como agentes norte-coreanos continuam abusando de fluxos de trabalho confiáveis de desenvolvedores, por meio de provedores do Terraform adulterados, para distribuir malware multiplataforma em sistemas macOS, Linux e Windows e obter acesso persistente.
O modo de operação do TraderTraitor, assim como o de outras campanhas ligadas à Coreia do Norte, como a Operation Dream Job, do Lazarus Group, e o Contagious Interview, do Famous Chollima, emprega iscas com temática de recrutamento como pretexto para convencer as vítimas a executar código malicioso. A fase de engenharia social é reforçada pelo uso de inteligência artificial (IA) para criar iscas convincentes, perfis falsos e evitar detecção.
“O agente usou domínios personalizados, perfis em redes sociais e conhecimento específico do setor para se passar por recrutadores de uma empresa falsa de inteligência em blockchain com IA, usando oportunidades de vagas de engenheiro de software para iniciar contato e agendar entrevistas com pessoas que responderam à abordagem”, afirmou a Microsoft.
“Nesse curto intervalo de tempo, o Jade Sleet conduziu ações semelhantes, com temática de emprego, usando duas outras empresas de fachada, com infraestrutura comparável e conhecimento de domínio relevante.”
Atualização
A Binance informou ter retomado os saques em todas as 15 redes, após começar a restabelecê-los por fases às 06h00 (UTC) de 1º de novembro de 2026, depois do roubo recorde de criptomoedas.
“Entre 06h00 e 15h30 (UTC) de 1º de novembro, processamos US$ 4,649 bilhões em saques e US$ 1,01 bilhão em depósitos, resultando em uma saída líquida de aproximadamente US$ 3,64 bilhões”, afirmou a Binance em publicação na rede X. “Nossa equipe continua testando rigorosamente as redes e os ativos restantes.”
