Assalto à Binance: FBI liga TraderTraitor, da Coreia do Norte, ao maior roubo de criptomoedas de que há registo
Na noite de 29 de outubro de 2026, levantamentos não autorizados começaram a esvaziar as hot wallets da Binance em onze blockchains ao longo de poucas horas. As estimativas da perda vão de cerca de 6,3 mil milhões de dólares, número da própria exchange, a 6,43 mil milhões, onde assentou a contabilidade on-chain da Elliptic após dias de contas — o que a empresa de análise classifica como, quase com toda a certeza, o maior roubo isolado de qualquer tipo na história. Os levantamentos foram suspensos na própria noite, e a maior exchange de criptomoedas do mundo passou os dias seguintes a tranquilizar os seus cerca de 335 milhões de utilizadores registados: o dinheiro nunca chegou a sair.
Os números por trás de um roubo recorde
Há poucos precedentes onde agarrar. O espólio é mais de quatro vezes os 1,46 mil milhões de dólares roubados à Bybit em fevereiro de 2025 — que era então o recorde — e mais de seis vezes os cerca de mil milhões de dólares que Saddam Hussein retirou do banco central do Iraque em 2003, sublinha a comparação da Elliptic. A partir das contas do FBI, a The Hacker News contabiliza onze blockchains afetadas, com 82 por cento do valor em Ethereum e Bitcoin. A maior fatia estava em Ethereum: cerca de 3,8 mil milhões de dólares em 186 tokens, além de 18.270 BTC avaliados em cerca de 1,48 mil milhões de dólares.Coreia do Norte, com elevada confiança
No dia 31 de outubro, o FBI atribuiu formalmente o roubo ao TraderTraitor, um cluster alinhado com a Coreia do Norte também acompanhado como Jade Sleet e Slow Pisces, em articulação com o Serviço Secreto dos EUA e a IRS Criminal Investigation. Os mesmos atores estão ligados aos assaltos à Bybit e à DMM Bitcoin e a incidentes menores na KelpDAO e na Bitget. Os analistas privados apontaram no mesmo sentido em poucas horas: o investigador ZachXBT disse que o atacante era "provavelmente Lazarus", e a TRM Labs publicou uma avaliação com "elevada confiança" de que o TraderTraitor estava por trás — uma unidade que a CoinDesk descreve como um subcluster do grupo Lazarus."Já repusemos 90% dos ativos roubados e estamos empenhados em cobrir os restantes 10%." — Richard Teng, co-CEO da Binance, 31 de outubro de 2026A Binance suspendeu os levantamentos e depois comprometeu-se a cobrir todas as perdas dos clientes na íntegra. A empresa reservou cerca de 6,34 mil milhões de dólares em fundos próprios — retirados do seu fundo de garantia Secure Asset Fund for Users de mil milhões de dólares, do fundo de seguros de futuros e do tesouro corporativo, segundo a NBC News —, com os dez por cento restantes sobretudo em tokens menos líquidos, cuja recompra demorará mais. Os levantamentos regressaram por fases a partir das 06:00 UTC de 1 de novembro, e o assalto bancário temido manteve-se contido. A The Block contou cerca de 3,64 mil milhões de dólares em saídas líquidas nas primeiras nove horas e meia — cerca de 2 por cento dos ativos sob gestão — e citou a exchange a dizer que os volumes tinham "estabilizado como esperado" após o pico inicial, com depósitos a manterem-se substanciais. O bitcoin já tinha caído 5 por cento, para um mínimo de seis semanas nos 77.380 dólares, nas horas a seguir à notícia, mostra a reportagem do Guardian.
Como as wallets foram esvaziadas
A primeira leitura pública da Binance apontava o portátil comprometido de um engenheiro de DevOps como porta de entrada; a empresa falou depois de um ataque complexo com pontos adicionais de intrusão e malware desenhado para apagar vestígios. A reconstrução da Elliptic mostra o atacante a abusar da delegação EIP-7702, uma funcionalidade introduzida com a atualização Pectra do Ethereum em 2025: uma única transação com cinquenta autorizações validamente assinadas delegou o controlo da wallet etiquetada "Binance 14" num contrato sweeper, que a esvaziou de 167.464 ETH e 63 tokens três minutos e meio depois. Os fundos circularam pela infraestrutura de assinatura da própria Binance e não por chaves privadas roubadas — nas palavras da Elliptic, foram a infraestrutura e as pessoas à volta das wallets que ficaram comprometidas, não a criptografia.O trilho do branqueamento
O FBI mapeou as suas expectativas com antecedência. Tendo observado o atacante converter os ativos roubados sobretudo em Ethereum, o gabinete antecipa que os fundos serão ainda mais branqueados através de DeFi e de serviços de troca instantânea, e já publicou os endereços das wallets contra os quais os serviços devem filtrar. O registo on-chain até agora segue o manual: stablecoins trocadas por ETH e TRX com perdas de 12 a 26 por cento, a velocidade a valer mais do que o valor; 59,9 milhões de USDT estacionados na Aave para pedir ETH contra eles; TRX movido por pelo menos seis pontes diferentes.- Cerca de 2,85 mil milhões de dólares estavam congelados ou apreendidos on-chain em poucos dias — 44 por cento do roubo, quase tudo stablecoins, segundo a Elliptic; a estimativa da própria Binance ronda os 3 mil milhões.
- Nada foi congelado em Bitcoin, XRP Ledger, Solana ou NEAR, deixando o atacante com cerca de 3,25 mil milhões de dólares em ativos impraticáveis espalhados por mais de 800 endereços.
- A Elliptic publicou uma blocklist gratuita com mais de 8.000 endereços associados para exchanges e fornecedores de wallets.
- Atores ligados à Coreia do Norte terão roubado mais de 6,5 mil milhões de dólares em criptomoedas nos últimos anos, e a Elliptic nota que este incidente quase duplica esse total.