Atacantes roubaram cerca de US$ 6,34 bilhões da Binance em 10 blockchains em 29 de outubro de 2026, no que a corretora descreveu como o maior hack da história da indústria de criptomoedas. O roubo superou o ataque à Bybit em fevereiro de 2025 e envolveu dispositivos de funcionários comprometidos, o serviço de assinatura de transações da Binance e, na Ethereum, o mecanismo de delegação EIP-7702.

A Binance disse que parceiros congelaram US$ 3 bilhões dos ativos roubados e que separou mais de US$ 6,34 bilhões para cobrir perdas confirmadas de usuários.

Os atacantes se infiltraram nos sistemas internos da Binance após meses de preparação e retiraram ativos de várias carteiras da corretora. A Binance posteriormente restabeleceu alguns saques, enquanto autoridades dos Estados Unidos atribuíram o ataque ao grupo TraderTraitor, da Coreia do Norte, uma acusação rejeitada por Pyongyang.

Meses de preparação

Segundo o relatório preliminar da Binance de 3 de novembro, os preparativos começaram pelo menos vários meses antes do roubo. Uma investigação inicial publicada em 30 de outubro afirmou que o laptop de um engenheiro de DevOps pode ter sido comprometido, embora a Binance tenha dito que uma análise adicional revelou outros pontos de entrada.

A Binance disse que um funcionário de Wallet DevOps baixou um instalador falso do Homebrew em junho, enquanto tentava instalar uma ferramenta de programação com inteligência artificial. A empresa substituiu o dispositivo e atualizou as credenciais, mas afirmou que os atacantes já haviam obtido informações sobre o funcionário e seus colegas.

Em setembro, atacantes que se passavam por funcionários de uma empresa fictícia convenceram outro desenvolvedor, durante uma falsa entrevista de emprego, a baixar um repositório de código infectado por malware. A Binance disse que o malware substituiu um componente do pyenv e evitou suas ferramentas de segurança.

Em 20 de outubro, os atacantes usaram esse computador e uma ferramenta interna de IA da Binance para acessar os sistemas de mais dois funcionários. Eles encontraram um token com permissões de implantação de contêineres e o usaram em 29 de outubro para implantar um contêiner malicioso, segundo as conclusões preliminares da Binance. A empresa disse que isso forneceu acesso não autorizado a um serviço interno de assinatura de transações.

O roubo

A Blockaid disse que a atividade on-chain preparatória começou em 28 de outubro, quando a carteira do operador recebeu três pequenas transferências por meio do Tornado Cash. Posteriormente, o atacante testou a delegação de carteira e implantou um contrato inteligente com uma função de varredura.

A TRM Labs disse que os primeiros saques, em 29 de outubro, passaram pelo XRP Ledger antes de se espalharem para outras blockchains. Na Ethereum, o atacante enviou 50 autorizações EIP-7702 para a carteira quente Binance 14, abrangendo valores de nonce de 18.914.775 a 18.914.824. Uma delas correspondia ao valor atual da carteira.

O atacante então usou a função de varredura para retirar cerca de US$ 2,5 bilhões da Binance 14 em uma única transação, incluindo 167.464 ETH e US$ 1,615 bilhão em USDT. Vinte e quatro segundos depois, 28.005 ETH saíram da Binance 16. Os saques posteriormente se espalharam para as redes Optimism, Arbitrum e Avalanche.

Como a delegação EIP-7702 permaneceu ativa, o atacante continuou retirando mais de US$ 1 bilhão em USDC e USDT recebidos pela Binance 14 nas horas seguintes. A Binance disse que suspender saques não revogou permissões já registradas on-chain. Sua arquitetura de carteira de computação multipartidária também não tinha uma chave privada única que pudesse cancelar imediatamente a delegação.

A transferência não autorizada final, envolvendo 2.961,9 ETH, foi confirmada às 23h56 UTC de 29 de outubro. Às 00h10 UTC de 30 de outubro, a Binance autorizou o endereço zero para a Binance 14, eliminando a delegação. Saques de Bitcoin, XRP Ledger, Tron, Solana e outras redes usaram transações assinadas regulares, em vez de EIP-7702, um padrão que a TRM Labs disse indicar infraestrutura de assinatura de transações comprometida.

Movimentação de ativos e resposta

A TRM Labs disse que o atacante trocou cerca de 325 milhões de USDT por aproximadamente 122.300 ETH por meio da UniswapX e de outros serviços. Outros 60 milhões de USDT foram depositados como garantia na Aave em troca de cerca de 19.760 ETH, então avaliados em US$ 44,6 milhões. A Aave congelou temporariamente centenas de reservas de empréstimos V3 e V4 em várias blockchains.

A Binance suspendeu depósitos e saques e entrou em contato com autoridades policiais, emissoras de stablecoins e empresas de análise de blockchain. O analista on-chain ZachXBT estimou que participantes do setor congelaram cerca de US$ 2,8 bilhões, enquanto a Blockaid disse que a Tether e a Circle congelaram cerca de US$ 1,8 bilhão no principal endereço de coleta. Posteriormente, a Binance elevou o total congelado para US$ 3 bilhões.

A Binance disse que usaria seus recursos e o fundo de seguro SAFU para cobrir perdas confirmadas de usuários. Ela separou mais de US$ 6,34 bilhões, incluindo cerca de US$ 5 bilhões já mantidos nos tokens afetados, e comprou os ativos restantes por meio do mercado e de canais de balcão.

Atribuição e recuperação

A Binance reabriu os saques de alguns ativos de Ethereum e BNB Smart Chain em 1º de novembro e disse que outras redes seriam retomadas após verificações de segurança. Ela confirmou os fundos dos usuários por meio de seu sistema de prova de reservas em 31 de outubro.

O FBI atribuiu o ataque ao grupo TraderTraitor, da Coreia do Norte, e publicou endereços de Ethereum vinculados aos ativos roubados. Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, rejeitou a conclusão como uma provocação política.

Em 3 de novembro, a Binance disse que havia migrado o sistema de carteiras afetado, reconstruído seus sistemas internos de IA e de gestão de acesso, substituído dispositivos comprometidos e revogado credenciais associadas. Também afirmou que sua equipe de segurança detectou e impediu 57 ciberameaças suspeitas vinculadas à Coreia do Norte durante 2026. A Binance planeja uma revisão independente, mas disse que alguns detalhes técnicos permaneceriam não divulgados para evitar auxiliar possíveis atacantes.

Fonte: HODL Press