Maior corretora de criptomoedas do mundo confirma invasão que desviou aproximadamente US$ 6,3 bilhões em ativos digitais. Cerca de US$ 3 bilhões foram congelados, enquanto a empresa anuncia uma reserva superior a US$ 6,34 bilhões para cobrir perdas dos clientes. Investigadores apontam possível participação de hackers ligados à Coreia do Norte, mas a autoria ainda não foi oficialmente confirmada. Ataque expõe vulnerabilidades das plataformas centralizadas e provoca turbulência no mercado mundial de criptoativos.
Da Redação
A Binance, maior corretora de criptomoedas do mundo em volume de negociações, confirmou nesta sexta-feira (30) ter sofrido um ataque cibernético de aproximadamente US$ 6,3 bilhões, em uma operação que pode representar o maior roubo de ativos digitais já registrado. A invasão, iniciada na noite de quinta-feira (29), permitiu que criminosos movimentassem bilhões de dólares de carteiras controladas pela plataforma para endereços externos. A companhia informou que conseguiu congelar cerca de US$ 3 bilhões com a colaboração de outras empresas do setor e anunciou a destinação de mais de US$ 6,34 bilhões de recursos próprios para garantir a cobertura das perdas. O episódio provocou uma queda generalizada nas cotações das criptomoedas e abriu uma investigação internacional sobre a possibilidade de participação de um grupo de hackers associado ao governo da Coreia do Norte.
As primeiras informações sobre o incidente surgiram na quinta-feira, quando especialistas em análise de transações em blockchain identificaram movimentações extraordinárias em carteiras vinculadas à Binance.
Inicialmente, os pesquisadores estimaram transferências suspeitas de aproximadamente US$ 2,77 bilhões, distribuídas entre diferentes redes de criptomoedas.
A empresa reconheceu que investigava um possível problema de segurança, interrompeu temporariamente os saques e afirmou que os recursos de seus clientes estavam protegidos.
Com o avanço da análise, entretanto, a dimensão do ataque aumentou consideravelmente.
Na madrugada de sexta-feira, a Binance divulgou um comunicado reconhecendo que o impacto estimado alcançava US$ 6,3 bilhões.
O valor corresponde aos ativos afetados pela movimentação não autorizada, e não necessariamente ao prejuízo líquido definitivo depois do congelamento e da eventual recuperação dos recursos.
A diferença é essencial para compreender o caso.
Uma parte expressiva dos criptoativos saiu das carteiras da empresa, mas foi posteriormente bloqueada por organizações que controlam determinados instrumentos digitais. Outros valores continuam sendo rastreados.
A companhia ainda precisa esclarecer quanto poderá recuperar efetivamente, qual será o custo final da operação e como ocorrerá a reposição integral dos recursos comprometidos.
A dimensão do incidente foi confirmada por empresas especializadas em inteligência de blockchain.
A TRM Labs identificou aproximadamente US$ 6,36 bilhões movimentados por endereços associados aos invasores em dez redes diferentes.
Segundo a investigação, a maior parte das transferências ocorreu em cerca de vinte minutos, a partir das 20h05 pelo horário universal de quinta-feira.
O intervalo reduzido demonstra a velocidade de execução da operação.
Os criminosos conseguiram movimentar ativos de grande valor antes que as estruturas de segurança e monitoramento interrompessem completamente as transações.
A Elliptic, outra companhia especializada em rastreamento de ativos digitais, chegou a uma estimativa próxima de US$ 6,43 bilhões, utilizando sua própria metodologia de identificação e avaliação das transferências.
As diferenças entre os números refletem os critérios de acompanhamento, os endereços considerados e as oscilações no valor dos ativos.
A referência principal adotada pela Binance permanece em aproximadamente US$ 6,3 bilhões.
A explicação técnica inicial apresentada pela corretora apontava para o comprometimento do computador de um engenheiro responsável por operações de desenvolvimento e infraestrutura, função conhecida no setor de tecnologia pela expressão DevOps.
Segundo a empresa, o invasor teria utilizado esse acesso para alcançar um contêiner de serviços interno e submeter transações de retirada não autorizadas.
Um contêiner, nesse contexto, é um ambiente de execução de programas utilizado para organizar serviços de uma infraestrutura computacional.
Seu comprometimento pode permitir que agentes externos interfiram em processos internos, dependendo dos privilégios e das conexões existentes no sistema.
A hipótese apresentada pela Binance sugere que os criminosos não precisaram necessariamente obter diretamente as chaves privadas utilizadas para controlar as carteiras.
Em vez disso, podem ter comprometido componentes responsáveis por solicitar ou autorizar movimentações.
Essa diferença técnica é decisiva.
Nas redes de criptomoedas, as transferências dependem de mecanismos criptográficos destinados a demonstrar que determinada operação foi autorizada.
Entretanto, quando um sistema interno com poder para solicitar ou aprovar transações é comprometido, o invasor pode explorar a própria infraestrutura legítima da instituição para executar movimentações indevidas.
Nesse cenário, uma transação pode apresentar uma assinatura tecnicamente válida sem corresponder à vontade legítima do proprietário dos recursos.
A Binance declarou não ter encontrado evidências de vazamento de chaves privadas de suas carteiras.
Isso não significa que toda a infraestrutura tenha permanecido protegida.
Ao longo da sexta-feira, a companhia reconheceu que a investigação havia identificado outros pontos de comprometimento, indicando que o ataque foi mais complexo do que a hipótese inicial baseada em um único computador.
O copresidente-executivo Richard Teng afirmou que não se tratou simplesmente de um invasor utilizando permissões de um empregado.
A empresa ainda não divulgou uma reconstrução técnica definitiva da operação.
Prometeu publicar um relatório detalhado depois da conclusão das investigações, com a identificação das causas, dos mecanismos utilizados e das providências destinadas a impedir incidentes semelhantes.
Enquanto isso, especialistas examinam as transações registradas nas redes públicas de criptomoedas.
A TRM Labs identificou, entre outros mecanismos, a utilização de autorizações associadas ao padrão EIP-7702 na rede Ethereum.
Esse recurso permite determinadas formas de delegação de funcionalidades e execução de operações por contratos inteligentes.
Segundo os investigadores, os invasores exploraram mecanismos de autorização para ampliar sua capacidade de movimentar recursos vinculados a carteiras operacionais da Binance.
A análise aponta para uma operação preparada previamente, com capacidade de executar numerosas transações em intervalo reduzido.
Entretanto, a reconstrução integral da cadeia de comprometimento ainda depende de dados internos da corretora que não foram divulgados publicamente.
A investigação também chamou a atenção pela distribuição do ataque entre diferentes redes.
As movimentações envolveram ativos associados a Bitcoin, Ethereum, Tron, Solana, XRP e outras infraestruturas de blockchain.
Essa diversidade ampliou a complexidade do rastreamento e da contenção.
Cada rede possui mecanismos próprios de funcionamento, tempos de confirmação e instrumentos específicos de fiscalização ou bloqueio.
Por isso, a recuperação de recursos exige procedimentos diferentes conforme a natureza dos ativos e a capacidade de intervenção das entidades envolvidas.
A reação mais imediata ocorreu no mercado de moedas digitais estáveis, conhecidas como stablecoins.
Esses ativos procuram manter seu valor vinculado a moedas tradicionais, principalmente o dólar norte-americano.
Entre os exemplos mais utilizados estão USDT, emitido pela Tether, e USDC, emitido pela Circle.
Diferentemente de criptomoedas como Bitcoin, determinados contratos utilizados por essas moedas permitem que seus emissores bloqueiem endereços ou impeçam a movimentação de unidades específicas.
Durante o ataque à Binance, esse mecanismo tornou-se fundamental.
A Tether informou ter congelado aproximadamente US$ 1,57 bilhão em ativos vinculados à operação.
A Circle bloqueou mais de US$ 800 milhões.
Outras organizações, incluindo Ripple e participantes associados à infraestrutura Arbitrum, também colaboraram com medidas de contenção.
A empresa World Liberty Financial, vinculada a interesses empresariais da família de Donald Trump, participou do congelamento de ativos relacionados ao incidente.
A combinação dessas providências permitiu bloquear aproximadamente US$ 3 bilhões, segundo o balanço divulgado pela Binance.
A cifra não corresponde necessariamente ao dinheiro já devolvido à corretora.
Congelar um ativo significa impedir sua movimentação, dentro das possibilidades técnicas e jurídicas existentes.
A recuperação efetiva depende de procedimentos posteriores de identificação, autorização e transferência.
Também é necessário evitar a soma automática dos diferentes valores divulgados por empresas de inteligência, emissores de moedas digitais e pela própria Binance.
Os levantamentos podem considerar os mesmos ativos em momentos distintos.
Esse cuidado é importante para não apresentar como recursos adicionais valores que já estão incluídos no balanço geral.
O caso expõe uma característica pouco compreendida do mercado de criptomoedas.
Embora grande parte do setor seja apresentada como baseada em sistemas descentralizados, diversas atividades dependem de empresas que concentram a guarda de recursos, o controle de autorizações e a execução de transações.
As corretoras centralizadas administram grandes volumes de ativos pertencentes a clientes e utilizam infraestruturas próprias para oferecer serviços de negociação e custódia.
Essa estrutura pode facilitar operações e ampliar a liquidez dos mercados, mas também cria pontos de concentração de risco.
Uma falha em componentes internos pode comprometer simultaneamente recursos associados a numerosos usuários.
O episódio da Binance não demonstra que os mecanismos criptográficos fundamentais de Bitcoin ou Ethereum tenham sido quebrados.
As informações disponíveis apontam para o comprometimento de sistemas operacionais e de autorização utilizados por uma instituição que interage com essas redes.
A distinção é fundamental.
Uma blockchain pode continuar registrando transações de acordo com suas regras técnicas mesmo quando uma operação foi provocada por acesso indevido a sistemas externos.
O problema, nesse caso, está em determinar quem possuía autoridade para solicitar uma transferência e se essa autoridade foi utilizada legitimamente.
O ataque também colocou em evidência os limites da recuperação de ativos.
Enquanto emissores de determinadas stablecoins conseguem bloquear unidades sob sua administração, criptomoedas como Bitcoin e Ether não oferecem aos emissores mecanismos equivalentes de congelamento centralizado.
A contenção dessas movimentações depende de outros instrumentos, incluindo a colaboração de corretoras, o rastreamento de endereços e a atuação de autoridades competentes.
Criminosos podem tentar converter os ativos roubados, transferi-los entre redes ou distribuí-los por diferentes endereços para dificultar sua identificação.
As empresas de análise de blockchain acompanham essas operações, mas a visibilidade das transações não garante automaticamente a recuperação dos recursos.
É nesse contexto que surgiu a hipótese de participação de um grupo de hackers associado à Coreia do Norte.
A TRM Labs atribuiu o ataque ao grupo TraderTraitor, identificado em investigações anteriores como integrante de operações cibernéticas ligadas ao Estado norte-coreano.
A empresa afirmou possuir elevado grau de confiança nessa conclusão, baseada na análise das movimentações digitais e de informações complementares.
A Chainalysis também identificou características compatíveis com ataques atribuídos anteriormente ao mesmo grupo.
A Elliptic apresentou avaliação semelhante, mas ressaltou que determinados indícios ainda possuem limitações.
Entre os elementos examinados estão conexões entre endereços utilizados para movimentar recursos e estruturas anteriormente associadas a operações suspeitas.
Entretanto, o compartilhamento de endereços ou serviços de movimentação financeira não demonstra automaticamente que os mesmos indivíduos participaram de ataques diferentes.
A atribuição de responsabilidade por uma operação cibernética exige a análise de múltiplos elementos técnicos e investigativos.
Até esta sexta-feira, não havia confirmação pública de autoria por parte da Binance ou de uma autoridade governamental responsável pela investigação.
A Coreia do Norte, portanto, aparece nas apurações como suspeita apontada por empresas especializadas, não como responsável definitivamente identificado por uma investigação criminal concluída.
A hipótese possui antecedentes relevantes.
Em fevereiro de 2025, a corretora Bybit sofreu um ataque que resultou no desvio de aproximadamente US$ 1,5 bilhão em ativos digitais.
O FBI, polícia federal dos Estados Unidos, atribuiu oficialmente aquela operação a agentes norte-coreanos vinculados ao grupo TraderTraitor.
Na ocasião, os investigadores afirmaram que os responsáveis haviam distribuído os ativos roubados por numerosas carteiras e realizado conversões destinadas a dificultar seu rastreamento.
A operação contra a Bybit passou a ser considerada uma das maiores subtrações de criptomoedas já registradas.
O incidente da Binance supera esse valor em aproximadamente quatro vezes, segundo as estimativas atuais.
A dimensão do ataque também chama a atenção para o uso de operações digitais por organizações associadas a interesses estatais.
Autoridades norte-americanas e especialistas em inteligência financeira sustentam que a Coreia do Norte utiliza crimes cibernéticos para obter recursos internacionais, inclusive em benefício de atividades econômicas e militares.
Essas acusações possuem registros em investigações anteriores, mas sua aplicação ao caso Binance continua dependendo da confirmação da autoria.
A identificação de um possível vínculo estatal também não elimina a necessidade de investigar como os mecanismos internos da corretora foram comprometidos.
Mesmo quando um ataque é atribuído a um grupo sofisticado, permanecem questões sobre políticas de segurança, procedimentos de aprovação, separação de funções e capacidade de identificar transações anormais.
A responsabilidade pelos crimes pertence a seus autores.
A avaliação das medidas de prevenção e proteção dos clientes, por sua vez, envolve obrigações próprias das instituições que administram os recursos.
A Binance anunciou que utilizará recursos financeiros próprios e seu fundo de proteção aos usuários para cobrir integralmente as perdas.
O mecanismo conhecido como SAFU, sigla de Secure Asset Fund for Users, foi criado para oferecer uma reserva destinada a situações extraordinárias de segurança.
A companhia também informou que separou mais de US$ 6,34 bilhões para enfrentar os efeitos do incidente.
Segundo informações publicadas pela Reuters e por veículos especializados, aproximadamente US$ 5 bilhões desse montante já estavam disponíveis nos mesmos tipos de ativos afetados pelo ataque.
A corretora pretende completar a cobertura mediante aquisições adicionais nos mercados e outras operações financeiras.
A reserva anunciada não inclui necessariamente os aproximadamente US$ 3 bilhões que permanecem congelados e cuja recuperação ainda depende de procedimentos específicos.
A empresa afirma que nenhum cliente sofrerá perda financeira decorrente da invasão.
Esse compromisso representa uma informação importante para os usuários, mas sua execução ainda deverá ser acompanhada.
A existência de uma garantia anunciada não equivale à comprovação independente de que todos os saldos foram integralmente recompostos.
A Binance prometeu divulgar uma nova demonstração de reservas depois da conclusão dos procedimentos de segurança.
Esses relatórios procuram oferecer informações sobre os ativos mantidos pela plataforma e sua correspondência com obrigações perante os clientes.
A transparência sobre as reservas possui importância especial em empresas que mantêm recursos de terceiros sob custódia.
Entretanto, a avaliação da situação financeira de uma corretora também depende de informações sobre suas obrigações, liquidez, controles internos e capacidade efetiva de disponibilizar ativos aos usuários.
A prova de reservas é um instrumento relevante de verificação, mas não substitui automaticamente uma auditoria financeira abrangente.
A interrupção temporária dos saques demonstrou a dimensão operacional da crise.
A Binance suspendeu retiradas enquanto realizava verificações de segurança e modificações nos sistemas relacionados à movimentação dos ativos.
A empresa esclareceu posteriormente que os depósitos permaneciam disponíveis e que os serviços de negociação continuavam em funcionamento, embora existissem limitações nas retiradas.
A expectativa divulgada nesta sexta-feira era retomar os saques dentro de aproximadamente 48 horas a partir da atualização operacional.
Esse prazo constitui uma previsão da companhia, e não confirmação de que a normalidade já tenha sido restabelecida.
Para clientes, a situação possui uma consequência imediata: durante a suspensão, a existência de saldo em uma conta não significa disponibilidade para transferir os recursos a uma carteira externa.
A capacidade de realizar operações depende do funcionamento dos sistemas da corretora e das condições específicas de cada serviço.
Por isso, as orientações oficiais sobre o restabelecimento de funcionalidades precisam ser acompanhadas diretamente pelos usuários afetados.
A própria empresa também recomendou cautela diante de mensagens e páginas que possam utilizar o incidente para aplicar novos golpes.
Crises dessa natureza frequentemente criam oportunidades para tentativas de fraude baseadas em comunicações falsas, pedidos de senhas e direcionamento a endereços que simulam canais oficiais.
A proteção das credenciais individuais permanece importante, mesmo quando a falha original está relacionada à infraestrutura de uma empresa.
O ataque provocou efeitos imediatos sobre o mercado internacional de criptoativos.
Na madrugada de sexta-feira, o Bitcoin recuou para níveis próximos de US$ 76 mil, sua menor cotação em aproximadamente seis semanas.
O Ether também apresentou desvalorização, enquanto o BNB, ativo associado ao ecossistema Binance, sofreu queda superior a 8% em determinado momento.
A retração atingiu diferentes segmentos do mercado, acompanhada por liquidações de posições financeiras alavancadas.
Segundo dados divulgados pelo CoinDesk, as liquidações de contratos futuros de criptomoedas alcançaram aproximadamente US$ 1,57 bilhão durante o período de turbulência.
Esses valores correspondem a posições encerradas nos mercados de derivativos e não devem ser confundidos com os recursos diretamente desviados da Binance.
A queda dos preços pode refletir diferentes fatores, incluindo vendas motivadas por preocupação com a segurança das plataformas, necessidade de liquidez e encerramento automático de posições.
A dimensão exata da contribuição de cada elemento não pode ser determinada apenas pelas cotações observadas.
O que os dados demonstram é que o incidente provocou repercussões muito além das carteiras diretamente comprometidas.
A confiança nas instituições que oferecem serviços de custódia e negociação possui relevância para o funcionamento de todo o setor.
As corretoras atuam como intermediárias entre compradores e vendedores, concentram liquidez e permitem operações que envolvem diferentes moedas e redes.
Quando uma grande plataforma interrompe saques, os efeitos podem alcançar participantes que não tiveram ativos diretamente envolvidos no ataque.
O episódio também deverá intensificar discussões sobre regulação financeira e segurança digital.
O crescimento do mercado de criptoativos ampliou a quantidade de pessoas e empresas que utilizam instituições digitais para transferências, investimentos e custódia.
Entretanto, essa expansão não eliminou os riscos associados à concentração de recursos, às vulnerabilidades tecnológicas e à atuação de organizações criminosas transnacionais.
A experiência da Binance demonstra que investimentos em infraestrutura, sistemas de criptografia e monitoramento não impedem necessariamente o comprometimento de componentes operacionais.
A segurança depende também de processos internos, identificação de acessos indevidos, limitação de privilégios e capacidade de interromper operações suspeitas.
A rápida cooperação entre emissores de ativos digitais permitiu bloquear uma parcela expressiva dos recursos movimentados.
Esse resultado demonstra a existência de instrumentos capazes de reduzir os danos de grandes incidentes.
Ao mesmo tempo, evidencia a concentração de poder operacional em determinadas empresas, que podem impedir a circulação de ativos específicos.
A coexistência desses dois aspectos — proteção contra crimes e concentração de controle — continuará sendo parte do debate sobre a organização do setor.
A Binance também possui um histórico de controvérsias regulatórias.
Em 2023, a empresa aceitou pagar aproximadamente US$ 4,3 bilhões em penalidades nos Estados Unidos, em um acordo relacionado a violações de normas financeiras e de combate à lavagem de dinheiro.
Seu fundador, Changpeng Zhao, reconheceu responsabilidade criminal em procedimento específico, deixou a direção da corretora e cumpriu pena de prisão.
Em outubro de 2025, recebeu perdão presidencial de Donald Trump.
Esses antecedentes ajudam a compreender a trajetória regulatória da companhia, mas não demonstram qualquer relação causal com o ataque ocorrido nesta semana.
A investigação atual envolve uma possível operação cibernética criminosa, com mecanismos e responsabilidades que precisam ser esclarecidos de maneira independente.
Para o mercado financeiro internacional, a dimensão dos recursos afetados transforma o episódio em um teste para os sistemas de custódia e de resposta a incidentes.
A capacidade da Binance de recompor as perdas, restabelecer os saques e apresentar informações verificáveis será acompanhada por clientes, autoridades e empresas do setor.
A investigação sobre os autores também exigirá cooperação internacional, já que as transações envolveram redes e participantes distribuídos por diferentes países.
Os registros públicos das blockchains podem contribuir para rastrear a movimentação dos ativos, mas a identificação das pessoas responsáveis exige informações adicionais.
O caso demonstra que transações digitais podem atravessar fronteiras em poucos minutos, enquanto a recuperação de recursos e a responsabilização criminal dependem de procedimentos muito mais complexos.
A maior questão, neste momento, não é apenas o valor extraordinário dos ativos desviados.
É compreender como uma plataforma responsável pela custódia de recursos de milhões de usuários teve seus mecanismos operacionais comprometidos em escala tão elevada.
A investigação preliminar indica um caminho possível, iniciado pelo acesso indevido a um computador utilizado na infraestrutura técnica.
Mas a própria Binance reconheceu que existem outros pontos de comprometimento ainda em análise.
A extensão da operação, os mecanismos de autorização utilizados e a capacidade dos criminosos de movimentar bilhões de dólares em poucos minutos exigem uma reconstrução técnica completa.
A identificação definitiva dos responsáveis também permanece pendente.
Enquanto empresas especializadas apontam para um grupo associado à Coreia do Norte, a corretora e as autoridades ainda precisam confirmar essa atribuição.
O bloqueio de aproximadamente US$ 3 bilhões representa um avanço na contenção dos danos, mas não significa que todo esse valor tenha sido recuperado.
A reserva superior a US$ 6,34 bilhões constitui um compromisso financeiro anunciado pela empresa, cuja execução deverá ser demonstrada nos próximos relatórios.
O ataque à Binance revela, assim, uma contradição importante de um setor frequentemente associado à autonomia tecnológica e à descentralização financeira.
As redes digitais permitem movimentar recursos em escala internacional sem depender integralmente das estruturas bancárias tradicionais. Entretanto, milhões de usuários continuam confiando seus ativos a empresas centralizadas, cujos sistemas internos podem se tornar pontos críticos de vulnerabilidade.
Quando uma dessas estruturas sofre uma invasão, os riscos deixam de estar restritos à programação dos protocolos digitais e alcançam a organização das empresas, seus funcionários, seus procedimentos de autorização e suas reservas financeiras.
O episódio de 29 de outubro demonstra a dimensão desses riscos.
A Binance conseguiu mobilizar empresas de diferentes partes do ecossistema para bloquear ativos e anunciou recursos destinados a preservar os saldos dos clientes.
Mas a ocorrência de um ataque dessa magnitude mostra que a capacidade de movimentar bilhões de dólares rapidamente precisa ser acompanhada por mecanismos de segurança e controle compatíveis com a responsabilidade assumida pelas instituições de custódia.
Os próximos dias serão decisivos para esclarecer a extensão efetiva dos prejuízos, a recuperação dos ativos congelados e as condições para o restabelecimento completo dos serviços.
A divulgação do relatório técnico prometido pela empresa permitirá examinar com maior precisão as falhas exploradas pelos criminosos.
Até lá, o que está confirmado é a ocorrência de um ataque de dimensão histórica, a movimentação não autorizada de aproximadamente US$ 6,3 bilhões, o bloqueio de cerca de metade desse valor e o compromisso da Binance de utilizar seus próprios recursos para proteger os usuários.
A autoria e o prejuízo líquido definitivo continuam em investigação.
O episódio deverá permanecer como referência central nos debates sobre segurança financeira, infraestrutura digital e responsabilidade das grandes empresas que administram criptomoedas em escala mundial.
