Cibersegurança
FBI atribui à TraderTraitor, da Coreia do Norte, roubo de mais de US$ 6 bilhões da Binance
Adicione Securities.io às suas fontes preferidas no Google
Em 31 de outubro de 2026, o Federal Bureau of Investigation atribuiu à Coreia do Norte o roubo de mais de US$ 6 bilhões em ativos virtuais da corretora de criptomoedas Binance. O órgão divulgou um comunicado que identifica a República Popular Democrática da Coreia como responsável e dá o nome de “TraderTraitor” à atividade cibernética maliciosa. O roubo ocorreu em ou por volta de 29 de outubro de 2026.
O FBI, em conjunto com parceiros do Serviço Secreto dos EUA e da Divisão de Investigação Criminal da Receita Federal dos EUA, observou que os agentes da TraderTraitor converteram os ativos roubados principalmente em Ethereum, segundo o comunicado. O órgão espera que os ativos sejam submetidos a novas operações de lavagem por meio de conversões em serviços DeFi e de troca instantânea, enquanto os agentes os preparam para outras etapas de lavagem.
As três agências instaram entidades do setor privado — incluindo operadores de THORNode, operadores de nós RPC, corretoras de troca instantânea, serviços DeFi, empresas de análise de blockchain e outros provedores de serviços de ativos virtuais — a bloquear transações com endereços listados no comunicado, ou derivadas deles, como detentores atuais ou anteriores de ativos roubados. A lista inclui endereços de Ethereum, Bitcoin e Solana que, segundo o FBI, são operados por agentes norte-coreanos da TraderTraitor ou estão estreitamente ligados a eles. O Cyber Branch do FBI publicou o texto do comunicado no X às 22:36:58 GMT de 31 de outubro de 2026.
O FBI afirmou que mantém seu compromisso de proteger a comunidade de ativos virtuais, “identificando, mitigando e interrompendo as atividades ilícitas de cibercrime e roubo de ativos virtuais da Coreia do Norte”, e pediu que qualquer pessoa com informações entre em contato com um escritório local do FBI ou com o Internet Crime Complaint Center, pelo site ic3.gov.
Como ocorreu o roubo de 29 de outubro
A empresa de inteligência de blockchain TRM Labs, que publicou sua própria investigação sobre o roubo em 29 de outubro de 2026, informou que aproximadamente US$ 6,36 bilhões saíram de carteiras da Binance em dez blockchains a partir das 20:05 UTC. A maior parte saiu em cerca de 20 minutos, e uma segunda onda, por volta das 23:05 UTC, atingiu carteiras da Binance na Avalanche e na Polygon. A TRM atribuiu o ataque à TraderTraitor com alto grau de confiança, citando dados de inteligência on-chain e off-chain, e o descreveu como o maior roubo de criptomoedas já registrado, cerca de quatro vezes maior que o ataque à Bybit de fevereiro de 2025. Os números da empresa refletem os dados on-chain até 00:30 UTC de 30 de outubro de 2026.
A TRM contabilizou cerca de US$ 2,7 bilhões congelados na blockchain: aproximadamente 1,77 bilhão de USDT congelados pela Tether, cerca de 825 milhões de USDC pela Circle, 40,5 milhões de RLUSD pela Ripple e 27,8 milhões de USD1 pela World Liberty Financial. Além disso, o Conselho de Segurança da Arbitrum usou seus poderes de emergência para retirar à força da carteira do invasor na Arbitrum 8.426 ETH e 74,6 milhões de ARB, no valor de cerca de US$ 30 milhões. Mesmo após essas medidas, informou a TRM, o invasor ainda detinha mais de 420.000 ETH e 18.270 BTC, ou cerca de US$ 2,4 bilhões em ativos fora do alcance de qualquer emissor.
No Ethereum, segundo o relatório da TRM, o invasor usou uma delegação EIP-7702 com 50 autorizações pré-assinadas para transformar uma carteira quente da Binance em uma carteira coletora sob seu controle. A EIP-7702, introduzida na atualização Pectra do Ethereum em maio de 2025, permite que uma carteira comum transfira o controle de seu funcionamento para um contrato inteligente ao assinar uma autorização. Como as carteiras da Binance nas outras nove redes enviaram fundos ao invasor por meio de transferências comuns assinadas no mesmo período, a TRM avaliou que a explicação mais provável é o comprometimento da infraestrutura de assinatura das carteiras quentes da Binance. Na época do relatório da TRM, a Binance ainda não havia divulgado a causa principal.
Atribuição anterior à Bybit
O FBI já havia usado a designação TraderTraitor. Em um comunicado de serviço público de 26 de fevereiro de 2025 (número do alerta I-022625-PSA), o órgão informou que a Coreia do Norte era responsável pelo roubo de aproximadamente US$ 1,5 bilhão em ativos virtuais da corretora de criptomoedas Bybit, ocorrido em ou por volta de 21 de fevereiro de 2025. O comunicado dizia que os agentes da TraderTraitor agiam rapidamente e haviam convertido parte dos ativos roubados em Bitcoin e outros ativos virtuais, distribuídos por milhares de endereços em várias blockchains. Também afirmava que os ativos deveriam passar por novas operações de lavagem e, por fim, ser convertidos em moeda fiduciária. O alerta sobre a Bybit fez um pedido semelhante para que operadores de nós RPC, corretoras, pontes, empresas de análise de blockchain, serviços DeFi e outros provedores de serviços de ativos virtuais bloqueassem transações, além de publicar uma lista de endereços de Ethereum.
Em sua terceira atualização sobre a recuperação, em 31 de outubro de 2026, a Binance afirmou ter reposto 90% dos ativos roubados após reservar mais de US$ 6,34 bilhões em recursos da empresa. Para isso, utilizou parcialmente seu Secure Asset Fund for Users, parte de seu fundo de seguro de futuros e seu tesouro corporativo. A corretora afirmou que BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC estavam totalmente respaldados, em 100%; que fez uma nova captura de dados de Prova de Reservas às 00:00 UTC de 31 de outubro de 2026, com a prova completa de conhecimento zero prevista para 3 de novembro de 2026; e que continuava no cronograma para retomar os saques em 1º de novembro de 2026.
