Ataque cibernético à Binance em 2026

Ataque cibernético à Binance em 2026
Logotipo da Binance
Data	29 de outubro de 2026
Alvo	Binance
Tipo	Roubo de criptoativos
Valor estimado	US$ 6,3 bilhões a US$ 6,43 bilhões, em levantamentos preliminares
Autoria	Sob investigação

O ataque cibernético à Binance em 2026 ocorreu em 29 de outubro de 2026, quando invasores retiraram criptoativos avaliados em mais de US$ 6 bilhões de carteiras da Binance, uma corretora de criptomoedas. O montante superou o dos roubos de criptomoedas conhecidos até então. A maior parte das transferências ocorreu em cerca de 20 minutos, embora a movimentação de recursos tenha prosseguido por horas.

Após suspender os saques e prometer cobrir as perdas dos clientes, a Binance anunciou, em 30 de outubro, que havia reservado mais de US$ 6,34 bilhões de recursos próprios para essa finalidade. Separadamente, informou que cerca de US$ 3 bilhões dos ativos desviados haviam sido congelados com a ajuda de outras empresas. O bloqueio desses valores não significava que eles já tivessem sido devolvidos.

A TRM Labs e a Chainalysis atribuíram o ataque ao grupo norte-coreano TraderTraitor. A investigação da Binance ainda não havia confirmado a identidade dos responsáveis em 30 de outubro. O FBI e o Serviço Secreto dos Estados Unidos anunciaram sua participação nas investigações e no rastreamento dos recursos.

Antecedentes

Ataques à Binance e à BNB Chain

Em 7 de maio de 2019, invasores retiraram 7.000 bitcoins de uma carteira da Binance em uma única transação. A empresa informou que eles haviam obtido credenciais de acesso e códigos de autenticação em duas etapas por meio de programas maliciosos e mensagens fraudulentas. A carteira atingida ficava conectada à internet, uma modalidade chamada hot wallet. A Binance suspendeu depósitos e saques para revisar seus sistemas e anunciou que cobriria as perdas com o fundo SAFU.

Em 6 de outubro de 2022, uma falha na BSC Token Hub, ponte entre as redes BNB Beacon Chain e BNB Smart Chain, permitiu criar indevidamente dois milhões de unidades da moeda BNB, avaliadas em aproximadamente US$ 570 milhões. Os operadores responsáveis por validar as transações interromperam o funcionamento da rede para conter a movimentação. Cerca de US$ 100 milhões haviam sido transferidos para outras redes. Nesse episódio, o alvo foi o mecanismo de verificação da ponte, e não as carteiras usadas pela corretora para atender aos saques dos clientes.

Ataques atribuídos ao TraderTraitor

Em abril de 2022, órgãos de segurança dos Estados Unidos alertaram que operações norte-coreanas chamadas TraderTraitor procuravam funcionários de empresas de criptoativos com falsas ofertas de emprego. Entre os alvos estavam desenvolvedores e administradores de sistemas. Os contatos podiam levar à instalação de aplicativos maliciosos, usados para obter acesso às redes das empresas e realizar transações fraudulentas.

Em maio de 2024, a corretora japonesa DMM Bitcoin perdeu cerca de US$ 308 milhões. O FBI, o Centro de Crimes Cibernéticos do Departamento de Defesa dos Estados Unidos e a polícia nacional japonesa atribuíram o roubo ao TraderTraitor. A investigação apontou que um invasor se passara por recrutador e enviara um teste de programação a um funcionário de uma empresa que prestava serviços de carteira à corretora. O acesso obtido com o teste malicioso foi usado para alterar uma solicitação legítima de transferência.

Em 21 de fevereiro de 2025, a Bybit sofreu um roubo de aproximadamente US$ 1,5 bilhão em criptoativos. O FBI atribuiu o ataque à Coreia do Norte e o classificou como atividade do TraderTraitor. Esse era o maior roubo de criptomoedas conhecido antes do ataque à Binance em outubro de 2026.

Ataque

Cronologia e estimativas

As transferências atingiram carteiras que a Binance mantinha conectadas à internet para processar saques em diferentes blockchains. A Bitquery rastreou movimentações entre 20h04min e 23h56min de 29 de outubro, em UTC, e encontrou retiradas de 17 carteiras da empresa. A TRM Labs situou o início da maior parte das transferências por volta das 20h05min e calculou que o grosso dos recursos saiu em cerca de 20 minutos. A mesma análise encontrou outra sequência de saques por volta das 23h05min, nas redes Avalanche e Polygon.

A TRM Labs calculou US$ 6,36 bilhões retirados em dez redes, enquanto a atualização da Elliptic das 19h30min UTC de 30 de outubro contabilizou US$ 6,43 bilhões em onze redes.

Estimativas preliminares publicadas até 30 de outubro de 2026

Responsável pelo levantamento	Valor estimado dos criptoativos retirados	Redes contabilizadas	Base do levantamento
Binance	Cerca de US$ 6,3 bilhões	Não especificadas no comunicado	Investigação interna, divulgada em 30 de outubro.
TRM Labs	US$ 6,36 bilhões	10	Transferências rastreadas, com os preços dos ativos no momento da retirada.
Elliptic	US$ 6,43 bilhões	11	Análise das transferências, atualizada às 19h30min UTC de 30 de outubro.
Bitquery	Cerca de US$ 6,3 bilhões	9	Rastreamento de 17 carteiras, com os preços dos ativos no momento da retirada.

A Bitquery calculou que cerca de US$ 3,8 bilhões haviam saído de carteiras na rede Ethereum. Na rede do bitcoin, a retirada alcançou aproximadamente 18.270 BTC. O levantamento também encontrou transferências posteriores aos primeiros congelamentos de ativos e ao anúncio da suspensão dos saques pela Binance.

Acesso aos sistemas e autorizações

Na primeira explicação pública, a Binance informou que os invasores poderiam ter comprometido o computador portátil de um engenheiro de software. O acesso teria permitido alcançar um serviço interno e enviar transações de saque sem autorização. A empresa afirmou que não havia encontrado indícios de vazamento das chaves privadas das carteiras. Em 30 de outubro, comunicou que havia encontrado outros pontos de entrada. Richard Teng, um dos diretores-executivos, afirmou que mais de uma pessoa havia participado da operação e que os invasores haviam usado mecanismos para apagar seus rastros.

Na rede Ethereum, a Crystal Intelligence encontrou uma autorização assinada que permitia executar código escolhido pelos invasores em uma carteira da Binance. A empresa de análise avaliou que esse padrão era compatível com o comprometimento do acesso ao sistema de assinaturas. A função utilizada, chamada EIP-7702, permite que uma conta delegue a execução de operações ao código de um contrato inteligente, mediante autorização assinada. A análise da Crystal limitava essa explicação às redes compatíveis com o mecanismo, sem estendê-la aos saques feitos em outras redes.

Autoria e investigação

A TRM Labs atribuiu o ataque ao TraderTraitor, grupo de invasores da Coreia do Norte, com alto grau de confiança. A Chainalysis chegou à mesma conclusão depois de observar que recursos retirados da Binance haviam sido movimentados junto de valores roubados da corretora Bitget em setembro de 2026, em outro ataque atribuído a agentes norte-coreanos. A avaliação se baseava no acompanhamento das transações entre endereços.

Em 30 de outubro, a Binance ainda não havia confirmado quem realizara o ataque. O FBI informou que trabalhava com parceiros públicos e privados para apurar o alcance do incidente. O Serviço Secreto dos Estados Unidos anunciou que seus investigadores colaboravam com empresas, entre elas a Circle, para localizar, bloquear e recuperar os ativos desviados.

Consequências

Suspensão dos saques e cobertura das perdas

Nas primeiras comunicações após o ataque, a Binance anunciou a suspensão temporária dos depósitos e saques enquanto verificava seus sistemas. Em uma atualização publicada em 30 de outubro, esclareceu que os depósitos não haviam sido afetados e continuavam funcionando normalmente. Os saques permaneciam suspensos, e a empresa informou que havia revogado a autorização do endereço atingido.

A Binance prometeu cobrir todas as perdas com o fundo SAFU e recursos da própria empresa.A empresa também afirmou que os recursos dos usuários estavam "completamente seguros". Em outro comunicado de 30 de outubro, anunciou ter reservado mais de US$ 6,34 bilhões e iniciado a reposição dos ativos. Desse total, declarou já possuir US$ 5 bilhões nas mesmas moedas e ativos atingidos, enquanto comprava os restantes. Os cerca de US$ 3 bilhões congelados não estavam incluídos nessa reserva e ainda dependiam de recuperação e verificação.

A empresa anunciou que publicaria uma prova de reservas atualizada depois de concluir as medidas de reparação.

Congelamento e rastreamento dos ativos

A Binance informou que havia conseguido congelar cerca de US$ 3 bilhões com a ajuda de parceiros do setor. A Elliptic havia verificado US$ 2,84 bilhões congelados em sua atualização das 19h30min UTC de 30 de outubro, quase todos em USDT e USDC.

Parte dos recursos estava em stablecoins emitidas por empresas capazes de bloquear sua movimentação, como o USDT da Tether e o USDC da Circle. Outros valores estavam em bitcoin e ether, que não têm um emissor com esse poder. A Chainalysis acompanhou a troca de parte das stablecoins roubadas por ether e a movimentação posterior entre endereços. A ausência de um mecanismo de congelamento pelo emissor não tornava impossível uma recuperação posterior, por exemplo, com a apreensão das chaves de acesso ou uma intervenção quando os recursos chegassem a uma corretora.

Mercado

Na noite de 29 de outubro, após a divulgação do ataque, a cotação do bitcoin caiu 3,2% e ficou abaixo de US$ 79 mil.

Ver também

• Crime informático, infrações cometidas por meio de computadores ou contra sistemas digitais.
• Segurança da informação, proteção de dados e sistemas contra acessos e alterações sem autorização.
• Mt. Gox, corretora de bitcoins que suspendeu as operações após a perda de recursos em 2014.
• Assinatura digital, mecanismo usado para verificar a autorização de uma transação.