Pirataria da Binance: Os fatos estabelecidos e as questões ainda em aberto

O setor de criptomoedas enfrenta um ataque sem precedentes. Quase 6,4 bilhões de dólares teriam sido roubados durante uma intrusão visando a Binance, uma das principais plataformas de troca mundiais. O incidente levanta questões sobre a segurança das infraestruturas, a responsabilidade dos atacantes e a proteção dos fundos. Enquanto vários bilhões já foram congelados, uma parte importante do botim permanece nas mãos dos hackers. Aqui estão os fatos conhecidos e as principais áreas de incerteza.

Como ocorreu a pirataria da Binance?

O ataque contra a Binance começou na quinta-feira por volta das 16h05, horário da costa leste dos Estados Unidos, após o fechamento dos mercados financeiros. Os hackers então lançaram várias transferências a partir das carteiras quentes da plataforma. Eles distribuíram os fundos em cerca de dez blockchains, principalmente durante um período de aproximadamente vinte minutos. Essa operação rapidamente desencadeou uma investigação em várias redes e jurisdições. As primeiras estimativas revelaram uma escala excepcional.

As empresas de análise blockchain, Chainalysis e TRM Labs, estimam o valor do roubo em cerca de 6,4 bilhões de dólares. Esse número supera largamente o recorde anterior, estabelecido durante o ataque à Bybit em fevereiro de 2025. Esse ataque resultou no desaparecimento de cerca de 1,5 bilhão de dólares em criptomoedas. O novo incidente representa assim mais de quatro vezes esse montante. Ele constitui agora o maior roubo já registrado na história do setor.

No entanto, as primeiras conclusões direcionam a investigação para uma violação interna de informática, em vez de uma falha nas blockchains. A análise inicial menciona um laptop comprometido pertencente a um engenheiro DevOps. Esse acesso teria permitido aos atacantes entrarem em um contêiner de serviço e iniciar saques não autorizados.

Posteriormente, a empresa identificou outros pontos de vulnerabilidade. Seu diretor-geral, Richard Teng, mencionou especialmente um processo mais complexo, que não envolvia apenas as autorizações de um engenheiro. A plataforma também afirma que os hackers usaram um mecanismo de autodestruição para apagar suas ferramentas e rastros. No entanto, indica que não descobriu nenhuma pista de vazamento das chaves privadas de suas carteiras.

Ethereum e EIP-7702: o mecanismo técnico utilizado

Na rede Ethereum, os atacantes exploraram EIP-7702, uma funcionalidade introduzida em 2025. Essa evolução permite que uma carteira comum execute temporariamente código associado a um contrato inteligente. Ela oferece, portanto, novas possibilidades técnicas aos usuários. Porém, seu uso neste ataque revelou riscos ligados à má gestão das autorizações. O problema identificado refere-se principalmente à forma como os sistemas internos validaram certas operações.

Segundo as análises da TRM Labs, os hackers usaram cinquenta autorizações pré-assinadas. Essas autorizações lhes permitiram transformar temporariamente uma carteira quente da plataforma em um contrato responsável por esvaziar seus ativos. O mecanismo facilitou assim a transferência dos fundos sem seguir os controles usuais. Esse método mostra como uma função técnica legítima pode servir para realizar uma operação maliciosa quando os procedimentos de segurança falham. Constitui um dos elementos centrais da investigação técnica.

Richard Teng reconheceu que essa delegação não respeitou os procedimentos normais de aprovação. Essa declaração oferece uma visão adicional sobre o funcionamento do ataque. No entanto, não significa que o Ethereum apresenta uma vulnerabilidade fundamental. A TRM Labs coloca o problema no nível da infraestrutura de assinatura usada pela plataforma. Em outras palavras, os elementos disponíveis apontam para a gestão das autorizações e acessos internos. Os investigadores ainda precisam estabelecer com precisão como os hackers obtiveram as permissões necessárias.

TraderTraitor é a pista norte-coreana

As empresas Chainalysis e TRM Labs atribuem ambas a operação ao grupo TraderTraitor. Esse coletivo mantém ligações com o Estado norte-coreano e já figura entre os suspeitos pelo roubo da Bybit. Essa atribuição baseia-se em suas análises dos movimentos de fundos e dos métodos empregados. Constitui um elemento importante para entender a possível origem do ataque. No entanto, as conclusões das empresas especializadas não substituem os resultados definitivos das investigações oficiais.

Após o roubo, os atacantes começaram a mover parte dos ativos roubados. Converteram cerca de 84% dos ethers roubados em bitcoins. Para realizar essa operação, usaram a Thorchain, uma rede que permite transferências entre diferentes blockchains. Essa conversão complica o rastreamento dos fundos e multiplica as redes envolvidas nas investigações. Também ilustra a rapidez com que os autores podem modificar a composição de seu botim.

Essa operação eleva para mais de um bilhão de dólares os ganhos em criptomoedas atribuídos à Coreia do Norte para 2026. Segundo as estimativas divulgadas, o montante ligado a esse único ataque supera amplamente outras quantias envolvidas. A dimensão financeira do caso reforça o interesse das autoridades nas atividades do grupo. Contudo, várias questões permanecem em aberto sobre a identidade precisa dos operadores e sua organização. Os investigadores precisam especialmente determinar as responsabilidades individuais por trás dessa operação.

As medidas de segurança e o congelamento dos fundos

Diante do ataque, Richard Teng anunciou em um vídeo postado no X que a Binance cobriria integralmente as perdas com seus próprios recursos e seu Fundo de Segurança de Ativos para os usuários. Essa reserva serve precisamente para responder a situações excepcionais. O executivo também afirma que os fundos dos clientes nunca foram afetados. Para financiar essa resposta, a empresa anunciou ter reservado mais de 6,34 bilhões de dólares. Esse montante deve permitir cobrir as perdas estimadas e manter a proteção dos usuários.

Cerca de cinco bilhões de dólares já estavam disponíveis em forma de ativos envolvidos no hack. Essa reserva incluía especialmente BTC, ETH, BNB, USDC e USDT. Para completar o valor necessário, a Binance recompra os ativos faltantes nos mercados tradicionais e no mercado de balcão. Paralelamente, suspendeu os saques para reconstruir e testar seus sistemas. Os depósitos continuam, no entanto, funcionando normalmente. A plataforma também planeja uma auditoria completa de segurança e a publicação de uma prova de reservas.

Os emissores de stablecoins, por sua vez, reagiram rapidamente às primeiras alertas. A Tether congelou mais de 1,5 bilhão de dólares em ativos ligados ao ataque. A Circle também bloqueou cerca de 823 milhões de dólares em USDC. Essas duas empresas podem imobilizar fundos bloqueando determinados endereços em suas redes respectivas. No total, cerca de três bilhões de dólares foram assim congelados ou localizados. Essa intervenção mostra o papel particular das empresas privadas na gestão dos stablecoins.

Contudo, uma parte importante do botim ainda escapa a essas medidas. Os hackers ainda controlam mais de 420.000 ETH e 18.270 BTC, além de outros tokens. O conjunto representa um valor superior a três bilhões de dólares, segundo as estimativas disponíveis. Esses ativos não podem ser congelados de forma comparável ao dos stablecoins centralizados. Os atacantes continuam também suas transferências por Tron e outras redes. A Elliptic estima que eles ainda detêm cerca de 3,3 bilhões de dólares. A recuperação completa dos fundos dependerá, portanto, amplamente das próximas operações de rastreamento.

Investigação internacional e reação dos mercados

A investigação agora ultrapassa o âmbito da plataforma somente. A Binance coopera com vários serviços de polícia internacionais, incluindo o FBI e os serviços secretos americanos. O FBI confirmou que está ciente do incidente e trabalha com seus parceiros. O Secret Service, que também investiga crimes financeiros ligados às moedas digitais, não quis comentar publicamente o caso. Essa cooperação lembra operações internacionais anteriores contra a lavagem de criptomoedas.

Em abril, a operação Atlantic permitiu recuperar dezenas de milhões de dólares em ativos digitais roubados. Essa experiência fornece um precedente para as investigações atuais. No entanto, o montante envolvido desta vez representa um desafio muito maior. Os investigadores precisam acompanhar vários ativos, diferentes blockchains e transferências transfronteiriças. A cooperação entre autoridades e empresas especializadas poderá desempenhar um papel decisivo nas próximas semanas.

Apesar da dimensão do roubo da Binance, os mercados reagiram com relativa moderação. O Bitcoin caiu para cerca de 76.400 dólares na sexta-feira, uma baixa de quase 4%. Ao mesmo tempo, mais de 1,3 bilhão de dólares em posições alavancadas foram liquidados. Essa evolução difere, no entanto, da observada em março de 2018. Naquele momento, um ataque fracassado contra a plataforma provocou uma queda de quase 11% do Bitcoin em poucos minutos.

Vários analistas explicam essa reação limitada pela maturidade atual do mercado. A capitalização total das criptomoedas atinge cerca de 2.600 bilhões de dólares. Além disso, os ETFs de Bitcoin à vista detêm quase 1,3 milhão de BTC. Esses investidores institucionais não reagem necessariamente como os operadores individuais face aos incidentes de segurança. Empresas financeiras como Cantor Fitzgerald, TD Cowen e Compass Point até encorajaram alguns clientes a comprar ações ligadas às criptomoedas. Elas apresentaram esse ataque como um problema de segurança próprio da plataforma, mais que uma ameaça direta contra as tecnologias subjacentes.

Regulação, tensões públicas e questões ainda em aberto sobre o caso Binance

O incidente da Binance também reacendeu o debate sobre a supervisão das plataformas offshore. Michael Selig, presidente da CFTC, usou esse caso para defender um maior enquadramento americano. Durante uma entrevista concedida à CNBC, ele considerou que essa falha confirmava os argumentos defendidos por sua agência. Essa declaração ocorre enquanto a CFTC busca reforçar a regulamentação do mercado de criptomoedas. O caso poderia alimentar assim as discussões sobre as obrigações de segurança e controle impostas às plataformas internacionais.

Paralelamente, o caso provocou um embate público entre Changpeng Zhao, fundador da Binance, e Elon Musk. O chefe da SpaceX e Tesla pareceu criticar a plataforma após a divulgação de informações sobre o hack. CZ respondeu mencionando especialmente a participação de sua empresa na SpaceX. Ele lembrou que esse investimento de 500 milhões de dólares na aquisição do Twitter vale agora mais de um bilhão. Também sugeriu que um apoio de Musk seria bem-vindo. Esse embate adicionou uma dimensão pública a um caso já acompanhado pelos atores do setor.

No fundo, Changpeng Zhao adotou uma posição de desafio diante das consequências financeiras do ataque. Ele reconheceu que o roubo representa um recorde em dólares, mas não necessariamente em bitcoins. Insistiu principalmente na capacidade da empresa de absorver as perdas internamente. Essa situação distingue, segundo ele, o incidente de falências anteriores importantes, como as da Mt. Gox ou da FTX. Ele resumiu essa posição declarando que o evento dói, mas que a empresa pode sobreviver.

Várias questões permanecem sem resposta. Os investigadores ainda precisam esclarecer todos os acessos comprometidos e o desenrolar exato das operações. Também devem determinar quantos fundos poderão ser recuperados entre os ativos ainda controlados pelos hackers. Por fim, os resultados da auditoria de segurança permitirão avaliar as mudanças necessárias nos sistemas internos. A publicação anunciada da prova de reservas também constituirá um elemento importante para acompanhar a situação.

Os próximos passos dependerão, portanto, do progresso das investigações, do acompanhamento das carteiras e da retomada completa dos saques. A capacidade das autoridades de identificar os responsáveis e recuperar os ativos ainda disponíveis continuará decisiva. Para o setor, esse caso poderá também acelerar as discussões sobre a segurança operacional e a supervisão das plataformas. O caso lembra assim que a proteção das infraestruturas permanece uma questão central, mesmo quando as blockchains em si não apresentam nenhuma falha.