Binance reserva mais de US$ 6,34 bilhões em recursos próprios para cobrir perdas decorrentes de ataque hacker

Em 30 de outubro de 2026, a Binance afirmou, em uma publicação em sua conta oficial no X, que já havia reservado mais de US$ 6,34 bilhões em recursos próprios para cobrir as perdas decorrentes do incidente de segurança de 29 de outubro de 2026 e que US$ 5 bilhões desse montante já estão mantidos nos mesmos criptoativos afetados.

A corretora afirmou que está concluindo a compra do valor restante por meio da aquisição de criptoativos nos mercados à vista e de balcão (OTC), a fim de repor os criptoativos que faltam e manter o mesmo formato dos ativos restantes. Segundo a empresa, essa etapa pode levar mais tempo porque alguns tokens têm pouca liquidez e a liquidação de operações OTC também demora. A Binance disse que os valores não incluem os ativos congelados ou protegidos, que ainda estão sujeitos a recuperação e verificação, e que, até o momento, US$ 3 bilhões foram congelados, agradecendo aos parceiros do setor.

A empresa afirmou que começou a recuperar os ativos afetados dos usuários e continua trabalhando com autoridades policiais, emissores, empresas de inteligência em blockchain e parceiros do setor para rastrear, congelar e recuperar fundos adicionais. A Binance disse que continuará usando recursos próprios para cobrir as insuficiências confirmadas e que, em última instância, todos os fundos dos usuários serão verificados publicamente por meio de sua Prova de Reservas.

Conta comprometida e suspensão de saques

Em uma atualização oficial sobre o incidente de segurança publicada em 30 de outubro, a Binance afirmou que sua investigação inicial indica que o incidente pode ter envolvido o comprometimento do laptop de um engenheiro de DevOps, o que permitiu que um invasor acessasse um contêiner de serviço e enviasse transações de saque não autorizadas. A empresa disse não ter encontrado indícios de vazamento de chaves privadas de nenhuma carteira. Estimou o impacto total em cerca de US$ 6,3 bilhões, informou que aproximadamente US$ 3 bilhões haviam sido congelados na blockchain até então com a ajuda de parceiros do setor e afirmou que cobriria todas as perdas com o fundo SAFU e recursos da empresa, garantindo que os fundos dos usuários estão seguros.

Como medida preventiva imediata, a Binance informou que suspendeu temporariamente os saques enquanto concluía as verificações de segurança, revogou a autorização do endereço afetado e acionou as autoridades policiais e parceiros de inteligência em blockchain para rastrear e recuperar os fundos. O comunicado foi atualizado mais tarde, em 30 de outubro, para esclarecer que os depósitos não foram afetados e continuam funcionando normalmente.

O co-CEO Richard Teng escreveu em uma publicação que o invasor não se limitou a usar as permissões de um engenheiro e que não se tratou de uma ação única, de «um clique», acrescentando que a investigação não atribuiu responsabilidade a nenhum indivíduo. Teng disse que os saques foram suspensos enquanto a Binance realiza uma reformulação de segurança do serviço de saques e dos endereços relacionados. «Em resumo: seu dinheiro está seguro, e estamos cobrindo todas as perdas», escreveu.

Em uma atualização da investigação divulgada posteriormente, a Binance informou que a investigação havia identificado outros pontos de invasão além do laptop possivelmente comprometido, descrevendo o ataque como complexo. A empresa disse que as saídas de fundos cessaram quando os saques foram suspensos, que cerca de US$ 3 bilhões haviam sido congelados até então e que continuava dentro do cronograma previsto de 45 horas para retomar o serviço de saques.

Análise on-chain e congelamento de ativos

A TRM Labs informou, em uma análise, que um invasor retirou aproximadamente US$ 6,36 bilhões das carteiras da Binance em dez blockchains. A maior parte dos fundos foi movimentada em cerca de 20 minutos, a partir das 20h05 UTC de 29 de outubro, e uma segunda onda, por volta das 23h05 UTC, chegou às carteiras da Binance na Avalanche e na Polygon (POL ). Segundo a TRM, isso faz do incidente o maior roubo de criptomoedas já registrado, cerca de quatro vezes maior que o ataque hacker de US$ 1,5 bilhão à Bybit, em fevereiro de 2025. Aos preços atuais, os ativos levados valem cerca de US$ 6,23 bilhões.

A TRM atribuiu o ataque, com alto grau de confiança, ao TraderTraitor, que descreveu como a unidade de elite de hackers da Coreia do Norte, e observou que o FBI apontou o mesmo grupo como responsável pelo ataque à Bybit. A Chainalysis afirmou em suas próprias conclusões que seus investigadores consideram que o ataque de aproximadamente US$ 6,4 bilhões foi obra do TraderTraitor. Segundo a empresa, a evidência mais forte surgiu quando seus investigadores observaram, em tempo real, fundos roubados da Binance se misturando a fundos roubados no ataque à Bitget no mês anterior, atribuído a agentes norte-coreanos. A Chainalysis disse que os fundos começaram a sair das carteiras quentes da Binance em várias blockchains por volta das 16h20, horário do leste dos Estados Unidos, em 29 de outubro.

Na Ethereum (ETH ), o invasor usou uma delegação EIP-7702, mecanismo que permite que uma carteira comum transfira o controle de seu comportamento para um contrato inteligente mediante a assinatura de uma autorização, segundo o relatório da TRM. A TRM disse que o invasor preparou previamente 50 autorizações pré-assinadas para transformar uma carteira quente da Binance em uma carteira coletora sob seu controle, enquanto as carteiras da Binance nas outras nove redes enviaram fundos por meio de transferências comuns assinadas. Na avaliação da TRM, esse padrão aponta para o comprometimento da infraestrutura de assinatura das carteiras quentes da Binance.

A TRM calculou o valor de cada transferência com base no preço do ativo no momento em que foi levado, chegando à seguinte contabilização por blockchain:

A TRM afirmou que as saídas da Ethereum incluem 200.630 ETH e 185 outros tokens; as saídas de Bitcoin somam 18.270 BTC; as saídas da Tron totalizam 612,7 milhões de USDT e 46,4 milhões de TRX; o XRP Ledger perdeu 233,46 milhões de XRP; as saídas da Solana somam 970.500 SOL; e o valor conjunto de Arbitrum, Optimism e Base inclui 74,6 milhões de ARB retirados na Arbitrum.

Sobre os congelamentos, a TRM afirmou que a Tether congelou cerca de 1,77 bilhão de USDT, a Circle congelou cerca de 825 milhões de USDC, a Ripple congelou 40,5 milhões de RLUSD e a World Liberty Financial congelou 27,8 milhões de USD1, enquanto o Conselho de Segurança da Arbitrum (ARB ) usou seus poderes de emergência para forçar duas transferências da carteira do invasor na Arbitrum, retirando do alcance dele 8.426 ETH e 74,6 milhões de ARB, no valor de cerca de US$ 30 milhões. Com isso, o total congelado na blockchain chegou a aproximadamente US$ 2,7 bilhões até 00:30 UTC de 30 de outubro, segundo a TRM, que observou que a Binance havia informado, às 23:35 UTC de 29 de outubro, que o total verificado de fundos congelados havia atingido US$ 2,54 bilhões. A Chainalysis afirmou que cerca de US$ 2,8 bilhões haviam sido congelados até então, com os primeiros congelamentos ocorrendo até as 17h14, horário do leste dos EUA, em 29 de outubro.

A TRM afirmou que o invasor ainda controla mais de 420.000 ETH e 18.270 BTC, cerca de US$ 2,4 bilhões em ativos fora do alcance de qualquer emissor, e que espera que a próxima etapa da lavagem envolva pontes entre blockchains, serviços de troca e corretores de balcão. A Chainalysis afirmou que o invasor transferiu US$ 500 milhões em stablecoins para uma carteira dedicada e trocou US$ 325 milhões em stablecoins por US$ 285 milhões em ETH ao longo de quase 20 minutos, enquanto corria para converter ativos passíveis de congelamento. A empresa também afirmou estar observando padrões de lavagem que nunca havia visto antes, incluindo milhares de transações em um curto período, o que sugere automação, e endereços que recebem exatamente 1 TRX antes de receber e encaminhar fundos adicionais.

A Binance afirmou que divulgará uma análise técnica detalhada após a conclusão da investigação e a verificação completa dos fatos, além de publicar uma versão atualizada da prova de reservas quando as medidas corretivas forem concluídas.