Um invasor retirou cerca de 18.270 bitcoins, avaliados em US$ 1,4 bilhão, da Binance e os fracionou em 19 carteiras diferentes, nenhuma das quais havia enviado recursos adiante até a madrugada de sexta-feira, segundo rastreamento da blockchain feito pela CoinDesk com dados do mempool.space.
A empresa de inteligência blockchain TRM Labs atribuiu o ataque à TraderTraitor, unidade de hackers ligada à Coreia do Norte, com "alta confiança". Já a Binance informou que suas apurações preliminares apontam para um laptop comprometido de um funcionário, usado para submeter saques não autorizados.
A Binance estimou o prejuízo total do ataque em US$ 6,3 bilhões e se comprometeu a cobrir integralmente as perdas. Depósitos e saques na exchange seguem suspensos.
Como os fundos foram movimentados
Segundo a reconstrução da CoinDesk, a carteira quente da Binance — o endereço conectado à internet usado para processar saques de clientes — enviou pouco mais de 18.270 BTC para um único endereço às 20h20 UTC de quinta-feira, em 11 transações confirmadas no bloco 973.732. Ao preço do início da manhã de sexta-feira, o volume equivalia a cerca de US$ 1,4 bilhão, mais de duas vezes e meia os 7.000 BTC perdidos pela própria Binance no hack de 2019 — quando, no entanto, o bitcoin era negociado abaixo de US$ 5.000.
As transações que fracionaram os fundos foram confirmadas no mesmo bloco 973.732, logo após os depósitos no endereço receptor. De acordo com a CoinDesk, os recursos passaram por uma chamada peel chain, técnica em que cada transação separa 1.000 BTC para um endereço novo e repassa o restante ao próximo salto da cadeia.
Parte dos valores remanescentes foi reunida e redistribuída novamente. Uma última varredura concentrou os montantes fracionados em uma carteira com 832,5 BTC. Vinte e oito minutos depois, no bloco 973.738, um último lote de 437,7 BTC chegou a um 19º endereço.
Ao final do processo, 17 carteiras passaram a reter exatamente 1.000 BTC cada uma, uma concentra 832,5 BTC e outra, 437,7 BTC. Às 4h23 UTC de sexta-feira, nenhuma das 19 havia movimentado sequer uma moeda. A única atividade registrada nos endereços desde a noite de quinta-feira é de spam: terceiros têm enviado depósitos residuais, de um ou dois dólares, às carteiras.
Por que o rastro é mais difícil em bitcoin
A CoinDesk observa que o restante do material roubado em episódios anteriores do gênero costuma seguir caminho diferente quando envolve stablecoins: emissoras como Tether, Circle e Ripple controlam os contratos por trás de seus tokens e podem bloquear endereços de atacantes em poucas horas. O bitcoin não tem esse tipo de emissor central, de modo que os fundos só podem ser interrompidos quando alcançam uma exchange, uma mesa de balcão (OTC) ou um serviço de swap.
A TRM Labs lembrou que, após o roubo de US$ 1,5 bilhão sofrido pela exchange Bybit em fevereiro de 2025, a mesma unidade de hackers levou cerca de dez dias para converter o ether roubado em bitcoin — um indício do tipo de janela temporal que pode anteceder movimentações dos fundos atuais.
Saques com aparência legítima
Cada uma das 11 transferências que originaram o desvio foi estruturada como um saque comum da Binance. Em uma delas, 18 frações de bitcoin partiram de um endereço identificado pelo rastreador Whale Alert como pertencente à "Binance" rumo ao atacante, com o troco retornando normalmente à exchange. Todas as transferências carregavam assinaturas válidas de endereços de bitcoin controlados pela Binance.
Em publicação no X na segunda-feira, a Binance afirmou que sua investigação inicial sugere que um laptop comprometido, pertencente a um engenheiro de DevOps, deu ao invasor acesso a um contêiner de serviço, posteriormente usado para submeter os saques não autorizados. A empresa reforçou não haver evidências de vazamento da chave privada de nenhuma carteira.
O que isso significa para o investidor
Para quem acompanha o mercado cripto a partir do Brasil, o episódio reforça um ponto estrutural: ao contrário de stablecoins, cujo controle centralizado permite bloqueio quase imediato de endereços suspeitos, o bitcoin roubado só pode ser neutralizado no ponto em que tenta entrar no sistema financeiro — uma exchange, uma mesa OTC ou um serviço de swap. Isso significa que o destino dos US$ 1,4 bilhão ainda parados nas 19 carteiras pode levar dias ou semanas para se definir, como ocorreu no caso da Bybit em 2025, quando o grupo acusado levou cerca de dez dias para movimentar os fundos roubados.
O episódio também já havia gerado efeitos colaterais imediatos no mercado, segundo cobertura anterior do AAR News: liquidações forçadas de apostas alavancadas somaram US$ 1,53 bilhão, com quase 84% concentradas em posições compradas em bitcoin, ether e XRP, e a própria Binance respondendo por quase metade do volume liquidado, de acordo com dados da CoinGlass citados pela CoinDesk. Paralelamente, grandes operadores do mercado de opções de bitcoin correram para comprar proteção (puts) minutos após os primeiros saques suspeitos, segundo rastreamento da Paradigm.
Às 21h53 (horário de Brasília) desta sexta-feira, o bitcoin era cotado a US$ 77.394,01, alta de 0,28% no dia, segundo o scanner da TradingView — um movimento modesto que sugere, até aqui, reação contida do preço à notícia, ainda que o mercado de derivativos já tenha mostrado maior nervosismo. Para investidores expostos a exchanges centralizadas, o caso reforça a importância de observar comunicados oficiais sobre a suspensão de saques e depósitos da Binance, além do desenrolar da investigação sobre a origem do comprometimento interno, antes de reposicionar carteiras ou estratégias alavancadas.
Agregado por AAR News · fonte: CoinDesk
Texto reescrito pela redação AAR com assistência de IA · confira a fonte · como produzimos