Ataque à Binance: Novas pistas apontam para a Coreia do Norte

A Coreia do Norte seria a origem do hackeamento de 6,3 bilhões de dólares sofrido pela Binance em 29 de outubro. A TRM Labs atribui o ataque ao grupo TraderTraitor com um alto nível de confiança. O investigador cripto ZachXBT descobriu outra pista: fundos roubados da Binance e da Bitget teriam acabado em um mesmo endereço. A plataforma ainda não confirmou a identidade dos hackers.

TraderTraitor se torna o principal suspeito do hackeamento da Binance

A TRM Labs publicou suas primeiras conclusões sobre o ataque de 29 de outubro. A empresa especializada em análise de blockchain designa o TraderTraitor, uma unidade de hackers associada ao regime norte-coreano. O nome não é novidade. Em fevereiro de 2025, o FBI já havia atribuído a este grupo o hackeamento da Bybit, estimado em 1,5 bilhão de dólares.

A Binance representa uma operação muito maior. Segundo a TRM Labs, os atacantes moveram 6,36 bilhões de dólares desde carteiras da Binance espalhadas por dez blockchains. A maior parte dos fundos foi transferida em cerca de vinte minutos, a partir das 20h05 UTC.

Os preparativos começaram pelo menos 36 horas antes. Em 28 de outubro, uma carteira usada na operação recebeu três pequenas transferências vindas do Tornado Cash. Os hackers testaram seu dispositivo em vários endereços depois.

A TRM Labs observa semelhanças com operações anteriores da Coreia do Norte: preparação antecipada, assinaturas obtidas antes do ataque e execução rápida das transferências. A empresa considera sua atribuição ao TraderTraitor altamente confiável. Porém, destaca que se baseia em informações da blockchain e de outras fontes.

A Binance mantém cautela. Sua primeira investigação técnica menciona a possível comprometimento do computador de um engenheiro DevOps. Os hackers teriam assim acessado um contêiner de serviço que permite submeter retiradas não autorizadas. A plataforma afirma não ter encontrado nenhuma prova de vazamento de chaves privadas.

ZachXBT encontra fundos ligados ao hackeamento da Bitget

É outra pista que pode fazer a investigação avançar. ZachXBT afirma ter encontrado fundos de ataques contra Binance e Bitget no mesmo endereço, após transferências que passaram especialmente pela THORChain.

Este protocolo permite converter criptomoedas entre diferentes blockchains sem passar por uma plataforma centralizada. A conexão é interessante, já que o ataque anterior contra a Bitget já havia sido associado ao grupo TraderTraitor.

Em setembro, a Bitget sofreu um hackeamento estimado em 387,5 milhões de dólares. A presença de fundos provenientes de dois ataques na mesma carteira constitui uma pista de coordenação ou uso de uma infraestrutura comum. Contudo, isso não prova por si só que as duas operações foram executadas pelas mesmas pessoas.

ZachXBT favorece essa hipótese. Os investigadores da MistTrack também identificaram TRX roubados da Binance que teriam passado pela Bitget Wallet Swap Bridge antes de chegar a um endereço já usado pelos hackers da Phemex.

As conexões entre vários hackeamentos começam a se multiplicar. Esse cenário lembra as investigações realizadas após o roubo da Bybit em 2025. ZachXBT então identificou um endereço comum aos fundos roubados da Bybit e da Phemex.

Os hackers ainda manteriam 2,4 bilhões de dólares

As investigações técnicas também trazem detalhes sobre o método empregado. Na Ethereum, os atacantes teriam explorado o EIP-7702, um mecanismo introduzido com a atualização Pectra em maio de 2025. Essa funcionalidade permite que uma carteira comum delegue certas operações a um contrato inteligente.

Segundo a TRM Labs, os hackers dispunham de 50 autorizações assinadas antecipadamente. Uma única correspondência com o contador de transações da carteira Binance bastou para ativar seu contrato malicioso. Três minutos e 24 segundos depois, a carteira transferiu 167.464 ETH e 63 outros tokens para um endereço controlado pelo atacante.

Outras carteiras da Binance enviaram simultaneamente fundos através de várias redes por meio de transações válidas e assinadas. A TRM Labs suspeita de comprometimento da infraestrutura de assinatura da plataforma.

Enquanto isso, os emissores de stablecoins tentavam bloquear os ativos. Tether, Circle, Ripple e World Liberty Financial bloquearam cerca de 2,67 bilhões de dólares. O conselho de segurança da Arbitrum também interveio sobre ETH e tokens ARB, elevando o montante total bloqueado para quase 2,7 bilhões de dólares no primeiro balanço da TRM Labs.

A Binance anunciou depois cerca de 3 bilhões de dólares congelados nas blockchains. Os hackers manteriam, porém, mais de 420.000 ETH e 18.270 BTC, avaliados juntos em aproximadamente 2,4 bilhões de dólares na análise. A recuperação desses ativos será mais complicada. Diferente dos stablecoins centralizados, Bitcoin e Ether não podem ser congelados diretamente por um emissor. A investigação segue, portanto, em duas frentes: identificar os responsáveis e impedir a conversão dos fundos roubados. Para a Binance, a atribuição ao TraderTraitor ainda precisa ser confirmada oficialmente. As pistas deixadas entre Bitget, Phemex e Binance, no entanto, dão aos investigadores várias linhas concretas para seguir.