Hackers roubam US$ 6,3 bi da Binance em 20 minutos e causam caos

Segurança Digital

Maior ataque a criptomoedas expõe vulnerabilidades e gera impacto imediato no mercado.

Leia também: Democratas querem proibir resgate federal a big techs de IA agora

Hackers roubaram aproximadamente US$ 6,3 bilhões em criptomoedas de carteiras da Binance em um ataque fulminante que durou cerca de 20 minutos e atingiu ao menos dez blockchains, entre elas Ethereum, Bitcoin, Tron e Solana. A exchange suspendeu depósitos e saques, prometeu cobrir integralmente as perdas dos clientes e tenta, com apoio de autoridades e empresas de rastreamento, recuperar os valores desviados.

Como o ataque à Binance foi executado

O golpe começou com o comprometimento do laptop de um engenheiro da Binance, segundo a própria empresa. A partir daí, os invasores conseguiram implantar código malicioso em “hot wallets” — carteiras conectadas à internet usadas para processar retiradas de clientes. Antes do ataque principal, houve um período de preparação de pelo menos 36 horas, com pequenos testes e ensaios em carteiras de menor valor.

Relatórios técnicos apontam que, ainda durante a fase de teste, uma das carteiras controladas pelos criminosos recebeu três pequenas retiradas para validar o código. Mais tarde, os invasores repetiram o procedimento em outras carteiras de ensaio e, quatro horas após o último teste, instalaram a versão final do código em uma hot wallet de produção da Binance, disparando o escoamento em massa dos fundos.

Os criptoativos foram drenados de carteiras da Binance em múltiplas redes e enviados rapidamente para diversos endereços controlados por um único operador, em milhares de transações automatizadas, o que dificultou qualquer reação imediata. A exchange reagiu suspendendo depósitos e saques e acionando outras plataformas e empresas do setor para tentar bloquear os recursos.

Entenda o contexto

Hot wallets, por estarem permanentemente conectadas à internet, são alvos preferenciais de hackers porque precisam manter liquidez para operações diárias. Já as cold wallets, mantidas offline, são mais seguras, mas menos práticas para o alto volume de movimentações de uma gigante como a Binance.

O episódio expõe um ponto sensível do mercado: mesmo a maior exchange de criptomoedas do mundo, com estruturas robustas de segurança, pode ser vulnerável quando a porta de entrada é o dispositivo de um funcionário ou fornecedor. Investidores que deixam grandes valores em carteiras custodiadas por exchanges ficam diretamente expostos a esse tipo de risco operacional.

Hack tem assinatura de grupo ligado à Coreia do Norte?

Empresas especializadas em rastreamento de criptoativos apontam que o ataque tem fortes indícios de envolvimento de hackers norte-coreanos, em especial o grupo conhecido como TraderTraitor. “Nós achamos que a Coreia do Norte é provavelmente responsável”, afirmou Tom Robinson, cientista-chefe e cofundador da Elliptic.

TRM Labs, Chainalysis e Elliptic identificam semelhanças claras entre este roubo e operações anteriores atribuídas ao TraderTraitor, que é descrito como um grupo de elite focado em empresas de criptomoedas e finanças descentralizadas. Entre as táticas recorrentes estão o ataque a funcionários de empresas-alvo, o uso de aplicações falsas para ganhar acesso aos sistemas internos e o ensaio prévio do código malicioso em carteiras de teste.

“TraderTraitor parece focar nessas operações maiores. No passado, eles desenvolveram seus próprios aplicativos falsos para tentar invadir organizações”, disse Rafe Pilling, diretor sênior de inteligência de ameaças na empresa de segurança Sophos.

Segundo um blog de pesquisa da Chainalysis, a evidência considerada mais contundente surgiu quando investigadores observaram, em tempo real, fundos roubados da Binance se misturando com valores desviados recentemente em um ataque à exchange Bitget, já atribuído a atores norte-coreanos. “A evidência mais forte surgiu quando investigadores da Chainalysis observaram, em tempo real, fundos roubados da Binance se misturando com fundos roubados no recente ataque à Bitget, atribuído a atores norte-coreanos”, registra o texto técnico.

A Binance, por enquanto, não confirmou publicamente a autoria nem citou a Coreia do Norte. Em comunicado, a empresa se limitou a dizer que trabalha com autoridades para identificar os responsáveis. “Este foi um ataque complexo, e estamos fazendo tudo o que podemos em coordenação com as autoridades para resolvê-lo”, afirmou a exchange.

Impacto para clientes e para o mercado cripto

Embora os principais prejudicados sejam os investidores com saldo na plataforma no momento do ataque, a Binance declarou que vai cobrir todas as perdas decorrentes do roubo, o que transfere o impacto financeiro imediato para o caixa da empresa. A medida reduz a chance de perda direta para o usuário, mas aumenta a pressão sobre a saúde financeira e a reputação da exchange.

Empresas de rastreamento estimam que cerca de metade dos US$ 6,3 bilhões já foi congelada, principalmente em stablecoins, graças à cooperação entre Binance, outras exchanges e emissores de criptoativos. A outra metade, composta majoritariamente por moedas como Bitcoin, Ether e XRP, é muito mais difícil de bloquear, porque não depende de intermediários capazes de travar transações diretamente na rede.

Segundo análises técnicas, parte relevante desse montante provavelmente não será recuperada. Os investigadores relatam padrões de lavagem de dinheiro inéditos, com milhares de transações sendo processadas de forma automatizada para despistar rastreadores e dificultar o monitoramento contínuo.

No curto prazo, a suspensão temporária de depósitos e retiradas na Binance afetou o fluxo de negociações globais, ampliou a volatilidade e aumentou a percepção de risco entre investidores e parceiros comerciais. No médio prazo, a expectativa é de reforço generalizado de protocolos de segurança em outras exchanges e de uma onda de debates regulatórios sobre proteção ao consumidor e prevenção de crimes financeiros.

Dentro desse cenário, o ataque consolida o papel de grupos hackers ligados à Coreia do Norte como peça central no financiamento de um regime altamente sancionado, ao mesmo tempo em que projeta mais trabalho para empresas de cibersegurança e para as forças de investigação internacionais, que agora tentam seguir o rastro de um dos maiores roubos digitais da história.