Hackers roubam US$ 6,3 bilhões da Binance em maior ataque da história das criptomoedas

A Binance, maior corretora de criptomoedas do mundo em volume de negociação, foi alvo de um ataque que desviou aproximadamente US$ 6,3 bilhões, o equivalente a cerca de R$ 34 bilhões. O valor faz do episódio o maior roubo já registrado no mercado de criptomoedas, segundo empresas especializadas em rastreamento de transações em blockchain, tecnologia de registro que armazena dados em blocos de maneira cronológica e que são protegidos por criptografia. O ataque ocorreu na quinta-feira (29) e a maior parte dos recursos foi transferida em aproximadamente 20 minutos.

A empresa de inteligência em blockchain TRM Labs afirma, com alto grau de confiança, que a ação foi realizada pelo TraderTraitor, grupo de hackers ligado à Coreia do Norte. A Binance, porém, ainda não confirmou a identidade dos responsáveis e afirma que a investigação continua.

A dimensão do ataque supera em mais de quatro vezes o roubo de aproximadamente US$ 1,5 bilhão sofrido pela corretora Bybit em fevereiro de 2025, até então considerado o maior caso do tipo.

Binance suspende saques

Após identificar a movimentação suspeita, a Binance suspendeu temporariamente depósitos e saques enquanto realizava verificações de segurança. A empresa informou que trabalha para retomar as operações e estimou que os saques possam ser restabelecidos em aproximadamente 45 horas.

A corretora afirma que os ativos dos clientes estão protegidos e que vai cobrir todas as perdas provocadas pelo ataque com recursos do Secure Asset Fund for Users (SAFU) e do próprio caixa da companhia.

Segundo a Binance, não há evidências de que chaves privadas de suas carteiras tenham sido vazadas.

As primeiras investigações apontaram para o computador de um engenheiro de DevOps da Binance. Segundo a empresa, o equipamento teria sido comprometido e permitido aos invasores acessar um contêiner de serviço usado pela corretora e enviar transações de saque não autorizadas.

A investigação, entretanto, avançou e encontrou outros pontos de comprometimento. A Binance passou a classificar o episódio como um ataque complexo e afirmou que só divulgará uma análise técnica completa depois que os fatos forem confirmados.

A TRM Labs chegou a uma conclusão mais específica. Segundo a empresa, os invasores conseguiram comprometer a infraestrutura responsável pela assinatura de transações de uma hot wallet da Binance.

Os registros analisados pela companhia mostram que os recursos começaram a sair das carteiras da Binance por volta das 17h05 (horário de Brasília). Em poucos minutos, valores foram transferidos de carteiras da corretora em diferentes redes de blockchain.

A TRM identificou movimentações em pelo menos dez blockchains. No Ethereum, os criminosos utilizaram uma técnica envolvendo o padrão EIP-7702 para transformar uma carteira da Binance em uma espécie de mecanismo automatizado de transferência controlado pelos invasores.

Quase US$ 3 bilhões foram congelados

A corrida para impedir que os criminosos movimentassem os ativos começou praticamente no momento em que o ataque foi identificado.

A Binance informou que aproximadamente US$ 3 bilhões dos US$ 6,3 bilhões afetados já foram congelados na blockchain. O congelamento, porém, não significa que o dinheiro tenha sido recuperado pela corretora. Os ativos ficam impedidos de ser movimentados enquanto as empresas e autoridades tentam rastrear e recuperar os recursos.

Empresas que emitem criptomoedas também participaram da operação. A Tether, responsável pela emissão da stablecoin USDT, congelou cerca de US$ 1,6 bilhão relacionados ao ataque. A Circle, emissora da USDC, bloqueou mais de US$ 800 milhões. A Ripple também congelou recursos associados ao roubo.

A TRM estima que o conjunto de empresas e entidades envolvidas tenha congelado aproximadamente US$ 2,7 bilhões em ativos digitais.

Isso foi possível porque parte significativa do dinheiro roubado estava em stablecoins, criptomoedas cujo valor é vinculado a moedas tradicionais, principalmente ao dólar. Diferentemente de ativos como o Bitcoin, algumas stablecoins podem ser congeladas diretamente por suas empresas emissoras quando identificadas como relacionadas a atividades ilícitas.

Dinheiro ainda está nas mãos dos hackers

Mesmo com bilhões de dólares congelados, uma parcela significativa dos recursos continua fora do alcance das empresas.

Segundo a TRM Labs, o invasor ainda mantinha mais de 420 mil ETH e 18 mil BTC, além de outros ativos, avaliados em aproximadamente US$ 2,4 bilhões no momento da análise.

Os criminosos também tentaram dificultar o rastreamento dos recursos. Parte dos ativos foi convertida, movimentada entre diferentes redes ou utilizada em operações de empréstimo e negociação antes que as empresas conseguissem bloquear os valores.

A natureza pública das blockchains, por outro lado, permite que empresas especializadas acompanhem as transações em tempo real. É justamente esse mecanismo que vem sendo usado para identificar as carteiras controladas pelos hackers e alertar corretoras e emissores de criptomoedas.

Coreia do Norte é principal suspeita

A TRM Labs atribuiu o ataque ao TraderTraitor, grupo de hackers considerado ligado ao governo da Coreia do Norte. A empresa afirma ter utilizado informações obtidas tanto dentro quanto fora das blockchains para chegar à conclusão.

A empresa afirma que diversas características do ataque são semelhantes às observadas em outros grandes roubos de criptomoedas atribuídos a grupos norte-coreanos.

A Coreia do Norte é apontada há anos como responsável por uma série de ataques contra empresas de criptomoedas. Os recursos obtidos nessas operações são considerados uma importante fonte de financiamento para o regime de Pyongyang.

A atribuição, entretanto, ainda não foi confirmada pela Binance. A corretora informou que está trabalhando com autoridades policiais e empresas especializadas para identificar os responsáveis.

Reação mundial

A notícia do ataque também provocou forte reação no mercado. Bitcoin e Ethereum chegaram a registrar quedas próximas de 5% e 6%, respectivamente, enquanto o BNB, criptomoeda associada à Binance, recuou cerca de 10% nas primeiras horas após a divulgação do incidente.

O episódio reacende uma discussão antiga do mercado de criptomoedas: a segurança dos ativos mantidos em corretoras centralizadas.

A Binance administra centenas de bilhões de dólares em ativos digitais e informou em seu relatório anual de 2025 que possuía 335 milhões de usuários cadastrados no mundo. O ataque, portanto, expõe não apenas uma vulnerabilidade técnica, mas também o tamanho do risco concentrado em grandes plataformas que funcionam como intermediárias para milhões de investidores.

A empresa afirma que pretende publicar uma nova versão de sua prova de reservas depois que o processo de recuperação e correção das falhas for concluído.