Vinte minutos, dez blockchains e nenhuma chave privada vazada, segundo a Binance. A TRM Labs reconstrói como o grupo norte-coreano TraderTraitor conseguiu que o sistema de assinatura da própria corretora trabalhasse para ele.
Em 29 de outubro de 2026, um atacante tirou cerca de US$ 6,36 bilhões de carteiras da Binance, a maior corretora de criptomoedas do mundo. A maior parte saiu em uns vinte minutos, a partir das 20h05 UTC. É o maior roubo de cripto já registrado, cerca de quatro vezes o caso Bybit, de fevereiro de 2025.
A TRM Labs atribui o ataque, com alta confiança, ao TraderTraitor, unidade de hackers da Coreia do Norte. A Chainalysis chegou à mesma conclusão. A Elliptic também aponta para a Coreia do Norte, mas pede cautela. As estimativas variam conforme o método: US$ 6,36 bilhões pela TRM, US$ 6,43 bilhões pela Elliptic, US$ 5,912 bilhões pela Chainalysis e cerca de US$ 6,3 bilhões pela própria Binance.
A investigação preliminar da Binance aponta como possível porta de entrada o notebook comprometido de um engenheiro de DevOps. A partir dele, o atacante teria chegado a um service container de onde dava para submeter transações de saque. A corretora diz não ter encontrado evidência de vazamento de chave privada. A Elliptic resume o caso assim: em vez de roubar as chaves, o atacante parece ter conseguido que os sistemas da própria Binance assinassem transações em nome dele.
Vinte minutos, dez blockchains
O primeiro movimento foi no XRP Ledger. Entre 20h05 e 20h09 UTC, cinco carteiras da Binance mandaram 233,46 milhões de XRP para um único endereço do atacante, ficando só com o saldo mínimo. Carteiras de Solana e Optimism vieram logo depois das 20h10.
Às 20h20, uma hot wallet de Bitcoin da Binance enviou 18.270 BTC. O endereço que recebeu começou, no mesmo bloco, a dividir o valor em pedaços redondos de 1.000 e 100 BTC. A técnica se chama peel chain e serve para dificultar o rastreamento. Em menos de dois minutos, uma hot wallet de Tron mandou 612,7 milhões de USDT e 46,4 milhões de TRX. Uma segunda onda, por volta das 23h05, alcançou carteiras em Avalanche e Polygon.
A TRM rastreou cada transferência de carteiras atribuídas à Binance para endereços do atacante, valorando cada uma pelo preço do ativo no momento do saque:
| Rede | O que saiu | Valor aproximado |
|---|---|---|
| Ethereum | 200.630 ETH e 185 tokens, entre eles 1,875 bi de USDT, 823 mi de USDC e 88,5 mi de RLUSD | US$ 3,79 bi |
| Bitcoin | 18.270 BTC | US$ 1,47 bi |
| Tron | 612,7 mi de USDT e 46,4 mi de TRX | US$ 628 mi |
| XRP Ledger | 233,46 mi de XRP | US$ 296 mi |
| Solana | 970.500 SOL | US$ 96 mi |
| Arbitrum, Optimism e Base | Incluindo 74,6 mi de ARB no Arbitrum | US$ 39 mi |
| Avalanche | Segunda onda | US$ 28 mi |
| Polygon | Segunda onda | US$ 10 mi |
A TRM chama atenção para um ponto: são redes com tipos de chave e esquemas de assinatura diferentes, e todas produziram assinaturas válidas para o atacante em cerca de meia hora.
O maior furto a banco do Brasil, para comparar
Em agosto de 2005, uma quadrilha furtou o cofre do Banco Central em Fortaleza. Dezenas de criminosos passaram por um túnel até a caixa-forte e levaram cerca de R$ 165 milhões. O caso virou filme e, depois, a série documental 3 Tonelada$: Assalto ao Banco Central.
[COMPLETAR: valor de Fortaleza corrigido pelo IPCA e valor do ataque à Binance convertido pela PTAX/BCB de 30/10/2026]
A corrida para congelar
Stablecoins têm uma diferença importante em relação a bitcoin e ether: o emissor consegue congelar. Foi aí que a reação foi mais rápida, segundo a TRM:
- Tether congelou 971,1 milhões de USDT na carteira principal do atacante às 21h01 UTC, 37 minutos depois da varredura principal. No total, foram cerca de 1,77 bilhão de USDT em várias carteiras e redes.
- Circle congelou os 823 milhões de USDC às 21h04, em coordenação com autoridades.
- Ripple congelou 40,5 milhões de RLUSD às 22h01. Antes disso, o atacante tinha vendido 48 milhões.
- World Liberty Financial congelou 27,8 milhões de USD1 às 22h10.
- O Security Council do Arbitrum usou poderes de emergência às 00h08 para forçar a saída de 8.426 ETH e 74,6 milhões de ARB da carteira do atacante nessa rede, cerca de US$ 30 milhões.
A TRM contou cerca de US$ 2,7 bilhões congelados. A Elliptic fala em US$ 2,84 bilhões e a Binance, em aproximadamente US$ 3 bilhões.
O atacante correu contra os congelamentos, e pagou caro por isso. Segundo a TRM, vendeu cerca de 325 milhões de USDT a formadores de mercado por meio do UniswapX e de outros contratos baseados em intenção, recebendo uns 122.300 ETH. Isso implica um preço perto de US$ 2.650 por ETH, quando o ativo era negociado entre US$ 2.300 e US$ 2.350: um desconto de mais de 10%. Outra carteira depositou 60 milhões de USDT no Aave e tomou cerca de 19.760 ETH emprestados, até a Aave congelar os mercados afetados. No Tron, 300 milhões de USDT foram para o protocolo JustLend.
Mesmo assim, congelar não é recuperar. Pela conta da TRM, o atacante ainda controla mais de 420 mil ETH e os 18.270 BTC, cerca de US$ 2,4 bilhões fora do alcance de qualquer emissor. A Elliptic estima mais: cerca de US$ 3,33 bilhões que não podem ser congelados, espalhados por uns 43 endereços.
Se ninguém roubou a chave, quem assinou?
A TRM define hot wallet como uma carteira conectada à internet que a corretora usa para processar os saques dos clientes. Foi esse tipo de carteira que esvaziou.
As primeiras leituras da atividade no Ethereum sugeriam phishing das autorizações. A TRM descarta essa explicação porque ela não cobre as outras redes: carteiras de dez blockchains, com chaves e esquemas diferentes, assinaram para o atacante quase ao mesmo tempo. Para a TRM, a explicação mais provável é que o atacante ganhou a capacidade de fazer o sistema de assinatura das hot wallets da Binance assinar transações escolhidas por ele, em várias redes.
A Binance depois informou que a investigação encontrou pontos de invasão adicionais, além do notebook. O co-CEO Richard Teng disse que o atacante não usou simplesmente as permissões de um engenheiro, que não foi uma ação de "um clique só" e que a investigação não atribuiu responsabilidade a nenhum indivíduo. A corretora ainda não publicou a causa raiz.
Nem todo mundo compra a versão de que nenhuma chave vazou. Mark Karpeles, ex-chefe da Mt Gox, disse à Reuters que os atacantes provavelmente acessaram chaves de pelo menos duas carteiras da Binance.
As 50 procurações da EIP-7702
No Ethereum, o atacante não pediu uma transferência. Usou a EIP-7702, que entrou na rede com o upgrade Pectra, em maio de 2025.
Pela especificação, a EIP-7702 cria um tipo de transação, o 0x04, que permite a uma conta comum (EOA) definir código para si mesma. A transação carrega uma lista de autorizações, cada uma no formato [chain_id, address, nonce, y_parity, r, s], assinada pelo dono da conta. Para cada autorização válida, o código da conta passa a ser o indicador de delegação 0xef0100 seguido do endereço do contrato. Daí em diante, qualquer chamada à conta executa o código daquele contrato no contexto dela.
Quatro regras da especificação explicam o ataque:
- A autorização só vale se o
noncedela for igual ao contador atual de transações da conta. - Se uma autorização falha em qualquer verificação, ela é simplesmente pulada e o processamento segue para a próxima.
- A delegação é persistente. Só é desfeita com uma nova autorização, e apontar para o endereço zero limpa o código da conta.
- A própria especificação avisa que, depois de delegada, a conta pode perder saldo por qualquer chamada, e não só por transações que ela mesma origina.
A hot wallet da Binance processa saques sem parar, então o nonce dela está sempre andando. Às 20h20 UTC, o operador submeteu uma única transação com 50 autorizações, assinadas pela hot wallet da Binance para 50 nonces consecutivos, todas apontando para um contrato de varredura que só aceitava ordens do operador. Assim, uma delas ainda seria válida no momento da execução. Uma bateu, e era só o que ele precisava. Para a TRM, o fato de as assinaturas terem sido produzidas antes, em lote, sugere que o acesso tinha prazo curto ou que as assinaturas precisavam ser pedidas a um sistema.
Três minutos e 24 segundos depois da delegação, o operador mandou a hot wallet enviar todo o saldo para um endereço controlado por ele. Uma única transação levou 167.464 ETH e 63 tokens, incluindo 1,615 bilhão de USDT.
A delegação continuou ativa. Conforme novos fundos chegavam à carteira, o operador varreu de novo às 20h41, 20h59, 21h04, 21h44, 22h39 e 23h56 UTC. Essa carteira também era a executora de um smart account separado da Binance, o que permitiu ao atacante puxar os 823 milhões de USDC que a Circle congelou em seguida. No mesmo intervalo, outra hot wallet da Binance no Ethereum mandou 28.006 ETH, 55,7 milhões de USDT e 25,9 milhões de RLUSD ao atacante por transferências comuns, sem delegação nenhuma.
A especificação da EIP-7702 já fazia um alerta direto sobre esse risco: o código indicado numa autorização tem acesso irrestrito à conta, e os autores afirmam que não existe forma segura de uma aplicação pedir que alguém assine uma autorização.
Nada disso foi improviso
Segundo a TRM, a preparação começou pelo menos 36 horas antes do roubo:
| Quando (UTC) | O que aconteceu |
|---|---|
| Manhã de 28/10 | A carteira do operador recebe três pequenos saques do Tornado Cash, serviço que oculta a origem das criptomoedas |
| Início de 29/10 | O operador publica a primeira versão do código do ataque e testa em duas carteiras |
| Mais tarde em 29/10 | Ensaio da versão final numa terceira carteira, com os fundos de teste devolvidos ao operador |
| Quatro horas depois do ensaio | O mesmo código é instalado numa hot wallet da Binance |
| 20h05 a 20h09 | Cinco carteiras de XRP são esvaziadas |
| 20h20 | Saída dos 18.270 BTC e transação com as 50 autorizações no Ethereum |
| 21h01 a 22h10 | Congelamentos de Tether, Circle, Ripple e World Liberty Financial |
| 23h05 | Segunda onda em Avalanche e Polygon |
| 00h08 de 30/10 | Security Council do Arbitrum força a saída dos fundos do atacante naquela rede |
Questionado pelo The Hacker News se algum sinal poderia ter evitado o ataque, Tom Robinson, cientista-chefe e fundador da Elliptic, disse que só em retrospecto. O financiamento via Tornado Cash na véspera e os testes em três carteiras horas antes não chamariam atenção naquele momento.
Quem tem paciência para isso
A TRM lista os pontos em comum com ataques anteriores ligados à Coreia do Norte, como o Bybit e o KelpDAO, em abril de 2026: pequenos saques do Tornado Cash para financiar a carteira do operador, preparação muito antes do roubo e assinaturas obtidas com antecedência e executadas de uma vez. A Chainalysis acrescenta outra pista: fundos roubados da Binance se misturaram a fundos do ataque à Bitget, do mês anterior, já atribuído à Coreia do Norte. Os dois foram parar no mesmo endereço do Ethereum.
A comparação com o Bybit aparece em todas as análises:
| Bybit (fev/2025) | Binance (out/2026) | |
|---|---|---|
| Valor | Cerca de US$ 1,5 bi | Cerca de US$ 6,36 bi, segundo a TRM |
| Atribuição | FBI aponta a Coreia do Norte, atividade chamada de TraderTraitor | TRM e Chainalysis apontam TraderTraitor. A Binance não atribuiu |
| O que foi comprometido | A máquina de um desenvolvedor da Safe{Wallet}, fornecedora da carteira | O notebook de um engenheiro de DevOps da Binance, além de outros pontos ainda não detalhados |
| Como o dinheiro saiu | A transação aprovada pelos signatários da Bybit foi manipulada | O sistema de assinatura das hot wallets assinou transações do atacante |
| Lavagem inicial | Pesada em pontes entre blockchains | Grandes trocas com formadores de mercado e protocolos de empréstimo |
Para a Elliptic, nos dois casos foram comprometidas a infraestrutura e as pessoas em volta das carteiras, e não a criptografia. A empresa também cita como provável o uso de engenharia social para fazer funcionários rodarem malware disfarçado de teste de programação ou de projeto falso, técnica vista nos ataques à DMM Bitcoin e à Bybit. Robinson resume o padrão: o grupo mira pessoas e não tecnologia, com ofertas de emprego falsas e malware, e basta um notebook comprometido.
Rafe Pilling, diretor de pesquisa de ameaças da Sophos, descreveu ao The Hacker News como o TraderTraitor costuma operar: compromete a estação de trabalho de desenvolvedores ou engenheiros, usa esse acesso para mapear os processos técnicos e de negócio que autorizam transferências e monta um ataque sob medida para a vítima.
A escala da Coreia do Norte
Pelo relatório anual da Chainalysis, grupos ligados à Coreia do Norte roubaram pelo menos US$ 2,02 bilhões em cripto em 2025, quase 60% do total roubado no mundo naquele ano. O acumulado atribuído ao país chegava a cerca de US$ 6,75 bilhões. A agência de inteligência da Coreia do Sul estimava em dezembro de 2022 que hackers norte-coreanos tinham levado cerca de 1,5 trilhão de wons em cinco anos.
Especialistas ouvidos pela Al Jazeera explicam que o roubo de cripto virou fonte de moeda estrangeira para Pyongyang e ajuda a financiar o programa nuclear, que está sob sanções da ONU. Ari Redbord, chefe global de políticas da TRM, foi direto:
Isso torna o caso uma questão de segurança global, não apenas um roubo de cripto.
Ari Redbord, TRM Labs
Cynthia Kaiser, ex-vice-diretora da Divisão Cibernética do FBI, foi na mesma linha: para ela, não existem "hackers criminosos norte-coreanos", existem hackers do Estado norte-coreano, e o caso é de segurança nacional.
Como o dinheiro começou a ser lavado
É aqui que a Elliptic pede cautela com a atribuição. Robinson observa que lavadores norte-coreanos costumam trocar stablecoins por ativos nativos em minutos, e o atacante segurou o USDT roubado por 37 minutos no Ethereum e 46 minutos no Tron sem converter a maior parte. O uso de formadores de mercado e de protocolos de empréstimo também difere do padrão pesado em pontes que se viu depois do Bybit.
A Chainalysis diz estar vendo padrões de lavagem inéditos. Milhares de transações em pouco tempo sugerem automação. Em vez de só mover os fundos adiante, o atacante os faz circular entre endereços, muitas vezes devolvendo valores a endereços usados antes na sequência. Muitos endereços seguem o mesmo roteiro: recebem exatamente 1 TRX, depois recebem mais fundos e repassam a outros endereços.
A TRM espera que a próxima etapa envolva pontes entre blockchains, serviços de swap e corretores de balcão (OTC), e está monitorando as saídas da peel chain de bitcoin e as carteiras onde o ETH foi concentrado.
Quem paga a conta
Como precaução, a Binance suspendeu depósitos e saques, revogou a autorização do endereço afetado e acionou autoridades e empresas de rastreamento. A corretora afirma que os fundos dos usuários estão seguros e que vai cobrir todas as perdas com o fundo SAFU e com recursos próprios. A Binance diz ter separado mais de US$ 6,34 bilhões para isso e previu retomar os saques em cerca de 48 horas, depois de reformular a segurança do serviço de saque e dos endereços relacionados.
O SAFU (Secure Asset Fund for Users) é o fundo de emergência da Binance, criado em 2018, com cerca de US$ 1 bilhão e mantido inteiramente em bitcoin. O valor roubado é mais de seis vezes o tamanho do fundo, o que explica por que o caixa da própria empresa entra na conta.
O mercado sentiu. O bitcoin chegou à mínima de seis semanas, US$ 76.368, e o ether caiu mais de 3%, para US$ 2.178, a mínima em dois meses. As ações da Coinbase, que disse não ter sido afetada, recuaram 4,8%.
Sean Foley, especialista em mercados de cripto da Universidade Macquarie, resumiu à Al Jazeera o ponto fraco exposto pelo caso: ativos guardados numa corretora centralizada são tão seguros quanto a própria corretora, e quanto maior o volume que ela guarda, maior o alvo. A reportagem lembra ainda que a maioria das apólices de seguro contra crimes e ataques cibernéticos não cobre criptomoeda roubada.
Checklist de diagnóstico
A Binance ainda não publicou o post-mortem técnico, então detalhes da invasão podem mudar. Mas as recomendações da TRM e os alertas da própria especificação da EIP-7702 já servem de checklist para quem opera carteiras e infraestrutura de assinatura:
- Suas carteiras de tesouraria têm código? A TRM recomenda monitorar carteiras compatíveis com Ethereum em busca de delegações EIP-7702, que aparecem como código num endereço que não deveria ter nenhum. Qualquer delegação numa carteira de tesouraria deve disparar alerta imediato.
- Existe um jeito testado de revogar? A TRM recomenda manter um método pré-aprovado e testado para assinar a revogação de uma delegação.
- Seu signer aceita autorização EIP-7702 que ninguém esperava? As políticas de assinatura devem rejeitar essas autorizações, a não ser quando forem esperadas.
- Alguém pediu várias autorizações para uma faixa de nonces? Para a TRM, isso deve ser tratado como indicador de comprometimento.
- Um único acesso abre todas as redes? A TRM recomenda separar a infraestrutura de assinatura e os fluxos de aprovação por rede e por nível de carteira. Neste caso, um único ator conseguiu assinaturas válidas para carteiras de dez redes em poucas horas.
- Sua carteira ou aplicação pede para o usuário assinar delegação? A especificação da EIP-7702 diz que aplicações não devem esperar poder sugerir isso e que é dever da carteira não oferecer essa interface.
- Seus depósitos estão filtrados? Corretoras e times de compliance devem checar depósitos e contrapartes contra os endereços do atacante já rotulados, porque os fundos da peel chain e das carteiras de ETH devem chegar a corretoras, serviços de swap e mesas OTC.
- Quem tem acesso à produção está exposto a "testes de programação" e projetos de desconhecidos? Foi esse o vetor de engenharia social que a Elliptic associa aos ataques à DMM Bitcoin e à Bybit.
Fonte: The Hacker News