O ataque à Binance, ocorrido a 29 de outubro, afetou criptoativos avaliados em aproximadamente 6,3 mil milhões de dólares. A plataforma de negociação de criptomoedas confirmou o incidente e anunciou o bloqueio de cerca de três mil milhões de dólares. Segundo as empresas de análise de cadeias de blocos TRM Labs e Chainalysis, poderá tratar-se do maior roubo de criptomoedas alguma vez registado.
As primeiras conclusões da investigação apontam para o possível comprometimento do computador portátil de um engenheiro da Binance. Os atacantes terão utilizado esse acesso para alcançar sistemas internos e submeter pedidos de levantamento não autorizados. A empresa afirma não ter encontrado indícios de exposição das chaves privadas das carteiras, mas a causa técnica definitiva do incidente continua por esclarecer.
Ataque à Binance movimentou fundos em apenas 20 minutos
De acordo com a investigação publicada pela TRM Labs, os atacantes movimentaram aproximadamente 6,36 mil milhões de dólares através de dez redes blockchain, entre as quais Bitcoin, Ethereum, Tron e Solana.
A maior parte dos fundos foi transferida num intervalo de cerca de 20 minutos. A rapidez das operações dificultou a resposta inicial e permitiu dispersar os ativos por diferentes redes antes de serem aplicadas medidas de contenção.
A dimensão do ataque ultrapassa largamente a do roubo à Bybit, ocorrido em fevereiro de 2025, no qual foram desviados cerca de 1,5 mil milhões de dólares. O incidente da Binance poderá, assim, estabelecer um novo máximo histórico, embora o valor definitivo das perdas dependa dos ativos que venham a ser recuperados.
A investigação identificou operações realizadas através de mecanismos de autorização associados às carteiras da Binance. Estes elementos levantam a possibilidade de os atacantes terem comprometido os sistemas responsáveis por solicitar e validar transações, sem necessidade de obter diretamente as chaves privadas.
Como um sistema comprometido pode autorizar transferências
O incidente evidencia uma vulnerabilidade que não depende exclusivamente da proteção criptográfica das carteiras. Mesmo quando as chaves privadas permanecem protegidas, os sistemas que autorizam a sua utilização podem constituir um ponto de entrada para os atacantes.
Jayant Dave, CISO da Check Point Software para a região Ásia Pacífico, considera que o caso demonstra a importância de proteger toda a cadeia de autorização das operações, desde os equipamentos dos colaboradores com acessos privilegiados até aos serviços que executam as instruções.
É necessário partir do princípio de que um dispositivo ou uma credencial podem ser comprometidos e garantir que nenhum deles permite, isoladamente, autorizar operações de grande dimensão.
Jayant Dave
O especialista recomenda a utilização de validações independentes, limites ao montante e à velocidade das transferências e mecanismos capazes de detetar anomalias em segundos. Estas medidas podem reduzir o impacto de uma intrusão, sobretudo quando os atacantes procuram movimentar grandes quantidades de ativos num curto intervalo de tempo.
A análise da Check Point não demonstra que a Binance tenha falhado na aplicação destes controlos. A investigação ainda não esclareceu quais os mecanismos de segurança existentes nem de que forma terão sido ultrapassados.
O problema também não se limita às plataformas de criptomoedas. Bancos, prestadores de serviços de pagamento e organizações que utilizam sistemas automatizados para movimentar dinheiro ou dados enfrentam riscos semelhantes quando um dispositivo ou uma credencial comprometida permite executar operações privilegiadas.
Um precedente recente surgiu em setembro, quando a Bitget registou perdas de aproximadamente 388 milhões de dólares. Segundo a informação divulgada pela plataforma, os atacantes exploraram uma vulnerabilidade num produto de segurança de terceiros para obter credenciais internas e falsificar instruções de levantamento, sem comprometer diretamente as chaves privadas.
Embora os mecanismos técnicos dos dois incidentes não sejam necessariamente idênticos, ambos colocam em evidência a importância de proteger os sistemas que autorizam operações.
Investigadores associam ataque à Coreia do Norte
A TRM Labs atribui o ataque ao grupo TraderTraitor, associado à Coreia do Norte, com um elevado grau de confiança. A conclusão baseia-se na análise das movimentações dos fundos, nas técnicas utilizadas e em informações recolhidas fora das cadeias de blocos.
A Chainalysis também identificou indícios que relacionam a operação com o mesmo grupo. Segundo a cobertura da Reuters, os investigadores encontraram semelhanças com ataques anteriores atribuídos a intervenientes norte-coreanos.
A atribuição permanece, contudo, uma avaliação das empresas de análise. A Binance não confirmou oficialmente a identidade dos responsáveis e não foi divulgada uma conclusão definitiva das autoridades.
O grupo TraderTraitor já tinha sido associado ao roubo à Bybit. Em maio de 2025, o TecheNet noticiou as conclusões de um relatório da ESET sobre grupos de ciberespionagem, que identificava operações norte-coreanas dirigidas ao setor das criptomoedas.
Binance bloqueia cerca de três mil milhões de dólares
Num comunicado oficial publicado a 30 de outubro, a Binance anunciou que aproximadamente três mil milhões de dólares em ativos tinham sido bloqueados com a colaboração de parceiros do setor.
Entre as entidades envolvidas encontram-se a Tether, a Circle e a Ripple, que dispõem de mecanismos para restringir a movimentação de determinados ativos digitais.
A plataforma suspendeu temporariamente depósitos e levantamentos para realizar verificações de segurança. Também revogou autorizações associadas aos sistemas afetados e iniciou uma investigação em colaboração com as autoridades.
A Binance garante que os clientes não suportarão perdas decorrentes do ataque. Para cumprir esse compromisso, prevê recorrer ao fundo SAFU, criado para proteger os utilizadores em situações de emergência, e a recursos próprios.
A empresa comprometeu-se ainda a divulgar um relatório técnico após a conclusão da investigação e a apresentar uma atualização da sua prova de reservas.
O bloqueio de ativos não significa, porém, que os fundos tenham sido efetivamente recuperados. Parte das criptomoedas permanece fora do controlo da plataforma e a dispersão por diferentes redes pode dificultar a identificação e recuperação dos montantes desviados.
A dimensão definitiva das perdas continua, por isso, por determinar. A investigação terá também de esclarecer como os atacantes conseguiram aceder aos mecanismos internos de autorização e executar transferências desta dimensão num intervalo tão curto.
Outros artigos interessantes:
