Neste post
Em resumo: em 29 de outubro de 2026, cerca de US$ 6,3 bilhões saíram de carteiras da Binance, a maior parte em uns 20 minutos. Nada foi quebrado: a blockchain não foi hackeada, e a Binance não encontrou indícios de que chaves privadas tenham vazado. As primeiras conclusões apontam para o notebook comprometido de um único engenheiro de DevOps, que alcançou um serviço com permissão confiável para enviar saques. As transferências pularam as aprovações normais e seguiram por uma rota legítima, então podiam parecer rotina. Duas empresas de análise suspeitam do TraderTraitor, da Coreia do Norte; isso não está confirmado.
O que aconteceu
"The estimated total impact sits at around $6.3B" (o impacto total estimado fica em torno de US$ 6,3 bi), disse a Binance na sua atualização de segurança de 30 de outubro. A BBC chamou o caso de "what is thought to be the largest hack in history - worth up to $6.3bn (£4.7bn)" (o que se acredita ser o maior hack da história, de até US$ 6,3 bi (£ 4,7 bi)).
Para comparar, o correspondente de cibersegurança da BBC Joe Tidy listou os recordes anteriores: "Last year $1.5bn (£1.12bn) was taken from Bybit. Before that it was $600m (£433m) from Poly Network in 2021 and $540m (£412m) from Ronin in 2022." (No ano passado, US$ 1,5 bi (£ 1,12 bi) foram levados da Bybit. Antes disso, foram US$ 600 mi (£ 433 mi) da Poly Network em 2021 e US$ 540 mi (£ 412 mi) da Ronin em 2022.)
Foi rápido. TRM Labs: "On October 29, 2026, an attacker moved approximately USD 6.36 billion out of Binance wallets on ten blockchains, most of it in about 20 minutes starting at 20:05 UTC" (em 29 de outubro de 2026, um atacante tirou cerca de US$ 6,36 bilhões de carteiras da Binance em dez blockchains, a maior parte em uns 20 minutos a partir das 20:05 UTC). Como Ari Redbord, da TRM, disse à BBC: "That speed is the product of long preparation." (Essa velocidade é fruto de uma longa preparação.)
Nem a blockchain, nem as chaves
A surpresa é o que não foi quebrado. Mitchell Labiak, da BBC: "The short version is that the blockchain wasn't hacked. Rather, the exchange on which people trade cryptocurrency was hacked." (Resumindo: a blockchain não foi hackeada. Quem foi hackeada foi a corretora em que as pessoas negociam criptomoedas.)
E a Binance: "We have found no evidence of any wallet private key leak." (Não encontramos nenhum indício de vazamento de chaves privadas de carteiras.)
Pode ter começado em um único notebook
A primeira resposta da Binance: "Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer's laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions." (A investigação inicial da Binance sugere que o incidente de segurança pode envolver o notebook comprometido de um engenheiro de DevOps, o que permitiu a um atacante obter acesso a um contêiner de serviço e enviar transações de saque não autorizadas.)
Também pode ter sido mais de uma máquina. O co-CEO da Binance, Richard Teng, via BBC: "This was not carried out by one person. Our initial investigation suggested that the security incident may have involved a compromised laptop, however our subsequent investigation has uncovered additional points of breach." (Isso não foi feito por uma só pessoa. Nossa investigação inicial sugeriu que o incidente de segurança pode ter envolvido um notebook comprometido, mas a investigação seguinte revelou outros pontos de invasão.)
A Binance não publicou como o serviço foi alcançado, e este post não arrisca palpites.
Por que é difícil se defender
Teng também disse que as transferências "did not pass through our normal approval controls" (não passaram pelos nossos controles normais de aprovação).
Mackenzie Jackson, da Aikido, descreveu o formato geral à BBC: "From one laptop, an attacker can open one internal system, then another, until they reach a service trusted to send out withdrawals. Those withdrawals travel through a legitimate route, so they can look routine." (A partir de um notebook, um atacante pode abrir um sistema interno, depois outro, até chegar a um serviço com permissão confiável para enviar saques. Esses saques seguem por uma rota legítima, então podem parecer rotina.)
No resumo da BBC sobre Jackson: "He says hackers have shifted from going after company infrastructure to going after the machines of the people who run it. Those machines hold the digital keys that unlock a company's systems, so an attacker can act as that engineer." (Ele diz que os hackers deixaram de mirar a infraestrutura das empresas e passaram a mirar as máquinas das pessoas que a operam. Essas máquinas guardam as chaves digitais que abrem os sistemas de uma empresa, então um atacante pode agir como aquele engenheiro.)
Quem: suspeito, não confirmado
TRM Labs, via BBC: "Several features of this attack match earlier North Korea-linked heists" (várias características deste ataque batem com roubos anteriores ligados à Coreia do Norte). Um deles é o da Bybit. O FBI: "North Korea was responsible for the theft of approximately $1.5 billion USD in virtual assets from cryptocurrency exchange, Bybit, on or about February 21, 2025." (A Coreia do Norte foi responsável pelo roubo de cerca de US$ 1,5 bilhão em ativos virtuais da corretora de criptomoedas Bybit, em ou por volta de 21 de fevereiro de 2025.)
No caso da Binance, duas empresas de análise apontam um suspeito. TRM Labs: "TRM attributes the attack to TraderTraitor, North Korea's elite hacking unit, based on robust on and off-chain intelligence. We make this judgment with high confidence." (A TRM atribui o ataque ao TraderTraitor, a unidade de elite de hackers da Coreia do Norte, com base em informações robustas on-chain e off-chain. Fazemos essa avaliação com alto grau de confiança.) Chainalysis: "Chainalysis investigators assess the $6.4 billion hack of Binance … to be the work of North Korean cybercrime group TraderTraitor." (Os investigadores da Chainalysis avaliam que o hack de US$ 6,4 bilhões à Binance … é obra do grupo norte-coreano de cibercrime TraderTraitor.)
Mas a Elliptic observa: "No government or law enforcement agency has confirmed attribution, and Binance has not commented on who was responsible." (Nenhum governo ou órgão policial confirmou a autoria, e a Binance não comentou quem foi o responsável.) E a BBC: "We don't yet know who was behind the attack" (ainda não sabemos quem está por trás do ataque). Ou seja: suspeito, não confirmado.
O que veio depois
A Binance "temporarily suspended withdrawals while security checks are completed" (suspendeu temporariamente os saques enquanto as verificações de segurança são concluídas) e disse: "Binance will cover all losses from the SAFU fund and the company's funds. User funds are safe." (A Binance vai cobrir todas as perdas com o fundo SAFU e recursos da empresa. Os fundos dos usuários estão seguros.) Também informou: "We have worked with blockchain partners to freeze affected assets, with ~$3 billion frozen on-chain so far." (Trabalhamos com parceiros de blockchain para congelar os ativos afetados, com ~US$ 3 bilhões congelados on-chain até agora.)
O tempo importa. O roubo levou minutos; a lavagem leva semanas. Chainalysis: "Following major theft events between 2022-2025, stolen funds follow a structured, multi-wave laundering pathway that unfolds over approximately 45 days" (após grandes roubos entre 2022 e 2025, os fundos roubados seguem um caminho de lavagem estruturado, em várias ondas, que se desenrola ao longo de cerca de 45 dias). Para ter noção da escala: "North Korean hackers stole $2.02 billion in cryptocurrency in 2025, a 51% year-over-year increase" (hackers norte-coreanos roubaram US$ 2,02 bilhões em criptomoedas em 2025, um aumento de 51% em relação ao ano anterior) (Chainalysis).
E recuperar o dinheiro é lento. Sobre a Bybit, 18 meses depois, o Decrypt informou que "around $48.4 million has been recovered and about $30.5 million frozen across more than 28 exchanges and custodians" (cerca de US$ 48,4 milhões foram recuperados e uns US$ 30,5 milhões congelados em mais de 28 corretoras e custodiantes). Isso dá cerca de 3% de US$ 1,5 bilhão recuperados (conta nossa: US$ 48,4 mi ÷ US$ 1,5 bi).
A correção
- Aprove de fora do sistema que está pedindo. O FBI recomenda: "Require multiple factors of authentication and approvals from several different unconnected networks" (exija vários fatores de autenticação e aprovações vindas de várias redes diferentes e não conectadas entre si) antes de qualquer movimentação de ativos financeiros da empresa.
- Separe quem pode assinar o quê. TRM Labs: "Signing infrastructure and approval paths should be separated by chain and wallet tier." (A infraestrutura de assinatura e os caminhos de aprovação devem ser separados por chain e por nível de carteira.)
- Blinde as máquinas perto do dinheiro. "For companies with access to large quantities of cryptocurrency, the FBI recommends blocking devices connected to the company's network" (para empresas com acesso a grandes quantidades de criptomoedas, o FBI recomenda bloquear os dispositivos conectados à rede da empresa) de baixar ou rodar qualquer coisa além de programas aprovados.
Os maiores roubos não quebram a criptografia; eles tomam o controle do processo em que se confia para movimentar o dinheiro, e esse processo passa por pessoas e pelos seus notebooks.
Fontes
- Binance, Security Incident Update, 30 de outubro de 2026
- TRM Labs, North Korea steals $6.36 billion from Binance in the largest hack in history, 29 de outubro de 2026
- Chainalysis, Binance exploit: latest findings and response, 30 de outubro de 2026
- Elliptic, Binance: the largest hack in history, 30 de outubro de 2026
- BBC News, North Korea thought to be behind $6.3bn crypto hack, as firm begins recovering some funds (página ao vivo), 30 de outubro de 2026
- Chainalysis, Crypto hacking and stolen funds 2026, dezembro de 2025
- Decrypt, Bybit sues North Korea over $1.5B hack, wins order freezing assets, 10 de agosto de 2026
- FBI, PSA 250226 (Bybit), 26 de fevereiro de 2025
- FBI, PSA 240903: North Korea Aggressively Targeting Crypto Industry with Well-Disguised Social Engineering Attacks, 3 de setembro de 2024
O vídeo é animado com código, e o roteiro foi escrito com ajuda de IA; cada número acima foi conferido com as fontes. Ilustrativo: a infecção tomando a tela do notebook, a rota salto a salto e o log de transações. Este post explica o risco e a correção, não os passos de um ataque. O vídeo está em inglês. Feito com o Shotloop, meu app gratuito para Mac de explicativos feitos com código, corrigidos uma cena de cada vez.