Hackers levaram US$ 6,3 bilhões da Binance — e concentraram o roubo em cerca de 20 minutos

Cerca de 20 minutos bastaram para movimentar a maior parte dos fundos no maior roubo de criptomoedas já registrado. Em 29 de outubro, invasores retiraram aproximadamente US$ 6,3 bilhões de carteiras da Binance, segundo as estimativas iniciais. A velocidade das transferências desencadeou uma corrida entre os responsáveis pelo ataque e as empresas que tentavam bloquear os ativos antes que eles mudassem de endereço ou de formato.

A investigação ainda busca esclarecer toda a cadeia de comprometimento. Entretanto, os primeiros levantamentos indicam uma operação preparada com antecedência e capaz de atingir diferentes blockchains quase simultaneamente.

A execução foi rápida, mas a preparação levou mais tempo

De acordo com a análise da TRM Labs, os preparativos começaram pelo menos 36 horas antes das principais transferências. Os responsáveis fizeram movimentações pequenas e testaram código antes de executar a operação em maior escala.

A empresa calculou aproximadamente US$ 6,36 bilhões retirados de carteiras em dez redes. A maior parte saiu em cerca de 20 minutos, embora outras movimentações tenham ocorrido depois.

Os alvos incluíam as chamadas hot wallets: carteiras conectadas à internet que as corretoras utilizam para processar saques. Segundo a TRM, o padrão observado aponta para um comprometimento da infraestrutura usada pela Binance para autorizar transações em diferentes redes. Essa é a avaliação dos investigadores, enquanto a causa completa permanece sob apuração.

Por que a suspeita recai sobre a Coreia do Norte?

A TRM atribui o ataque ao TraderTraitor, grupo ligado à Coreia do Norte, com alto grau de confiança. A conclusão considera informações obtidas dentro e fora das blockchains.

A Elliptic também considera provável essa ligação. Entre os indícios estão semelhanças com operações anteriores e a mistura de parte dos valores com recursos de outro ataque associado a agentes norte-coreanos.

Ainda assim, a empresa ressalta que esses vínculos não encerram a investigação. Redes de lavagem podem atender mais de um cliente, e nenhuma autoridade governamental havia confirmado publicamente a autoria na atualização consultada.

O grupo já apareceu em outro caso de grande repercussão: em 2025, o FBI atribuiu a agentes norte-coreanos ligados ao TraderTraitor o roubo de aproximadamente US$ 1,5 bilhão da Bybit. Essa atribuição anterior não comprova, por si só, a responsabilidade pelo novo episódio.

Parte do dinheiro foi bloqueada, mas há limites

Na atualização de 31 de outubro, a Elliptic informou ter verificado cerca de US$ 2,85 bilhões em ativos congelados ou apreendidos. Quase todo esse montante correspondia a stablecoins, principalmente USDT e USDC.

Alguns desses tokens possuem emissores capazes de bloquear sua movimentação. Bitcoin e ether, por outro lado, não têm uma entidade central que possa congelá-los diretamente nas respectivas redes.

Por isso, os investigadores acompanham as transferências e alertam serviços que possam receber os valores. Uma corretora pode bloquear recursos sob sua custódia quando identifica uma ligação com o roubo.

Binance afirma ter recomposto 90% dos ativos

Em uma atualização divulgada neste sábado, 31 de outubro, a Binance afirmou ter recomposto aproximadamente 90% dos ativos afetados. Os 10% restantes envolviam tokens menos líquidos, que poderiam exigir mais tempo para aquisição.

Segundo a Reuters, a empresa separou cerca de US$ 6,34 bilhões em recursos próprios para cobrir as perdas. A recomposição também incluiu o uso parcial do fundo de proteção SAFU. A previsão anunciada era retomar os saques no domingo, 1º de novembro.

Recompor os saldos e recuperar as criptomoedas roubadas são processos diferentes. A primeira medida utiliza recursos da corretora para cobrir o prejuízo; a segunda depende do rastreamento, de bloqueios e da investigação.

O caso deixa duas questões em aberto: como os invasores conseguiram autorizar movimentações em tantas redes e quanto do dinheiro ainda poderá ser recuperado. As respostas serão decisivas para avaliar a extensão da falha e as medidas necessárias para evitar outra operação semelhante.