Hackers norte-coreanos são apontados como responsáveis por roubo de US$ 6,3 bilhões da Binance
Pesquisadores de segurança atribuem a hackers ligados à Coreia do Norte o roubo de pelo menos US$ 6,3 bilhões em criptomoedas da Binance, a maior corretora de ativos digitais do mundo. Cerca de metade desse montante teria sido congelada durante a transferência dos recursos entre diferentes redes blockchain.
Se confirmado, o caso será o maior roubo de criptomoedas já registrado, superando ataques anteriores contra empresas do setor. As investigações, porém, ainda estão em andamento, e o valor total comprometido pode ser revisto à medida que os ativos são rastreados.
A Binance afirmou que a apuração inicial identificou o notebook de um engenheiro da empresa como possível ponto de entrada dos invasores. De acordo com a corretora, o comprometimento do dispositivo permitiu que os hackers acessassem um contêiner de serviço na infraestrutura corporativa e realizassem saques sem autorização.
A empresa declarou não ter encontrado indícios de que suas chaves privadas tenham sido expostas. Essas chaves são usadas para controlar diretamente os ativos armazenados em carteiras digitais, e seu vazamento poderia ampliar significativamente o alcance de um ataque.
Para conter a ameaça, a Binance interrompeu temporariamente depósitos e saques. A suspensão, inicialmente aplicada a algumas redes blockchain, foi ampliada enquanto a companhia avaliava a extensão do incidente. A corretora disse que os fundos dos clientes permaneciam seguros, mas não apresentou naquele momento evidências que comprovassem essa afirmação. Também informou que divulgará uma nova prova de reservas após concluir as medidas de recuperação e correção.
Andie Cooper, porta-voz da Binance, confirmou que aproximadamente US$ 3 bilhões foram congelados com a ajuda de parceiros do setor. A empresa trabalha para recuperar os ativos restantes e colabora com autoridades policiais, emissores de criptomoedas, firmas de inteligência blockchain e outras organizações na identificação e no bloqueio dos recursos.
Ainda não foram esclarecidas as circunstâncias em que o notebook do funcionário foi comprometido, nem a ferramenta utilizada para obter acesso. Uma possibilidade considerada em incidentes desse tipo é a instalação de software adulterado. Aplicativos modernos dependem frequentemente de componentes de terceiros e de projetos de código aberto, que podem ser modificados para distribuir códigos maliciosos.
Outra forma de invasão consiste em espalhar programas nocivos disfarçados de aplicativos legítimos ou jogos. Depois de instalados, eles podem capturar senhas, credenciais e tokens de sessão – informações que permitem aos invasores se passar por funcionários autorizados e tentar acessar sistemas corporativos.
O episódio também levanta dúvidas sobre os controles internos da Binance. Entre as questões a esclarecer estão como um único dispositivo teria permitido alcançar serviços capazes de executar transações de grande escala e quais barreiras adicionais poderiam ter impedido essa passagem. Também não está claro se a infraestrutura havia sido submetida a auditorias independentes antes do ataque.
Pesquisadores da TRM Labs atribuíram a operação a hackers norte-coreanos e a relacionaram ao grupo TraderTraitor, conhecido por atacar empresas e corretoras de ativos digitais. O mesmo grupo foi responsabilizado pelo roubo de cerca de US$ 1,4 bilhão em criptomoedas da Bybit, em 2025. Até o caso da Binance, aquele episódio era considerado o maior roubo conhecido do setor.
Segundo a TRM Labs, os bilhões de dólares retirados das carteiras da Binance foram movimentados em cerca de 20 minutos. A Elliptic também associou o ataque a agentes norte-coreanos. Em sua análise, a empresa identificou que parte dos ativos foi enviada a uma carteira usada anteriormente em um ataque contra a corretora Bitget, no início de 2026, que teria causado perdas de US$ 351 milhões. A reutilização da carteira é um indício de conexão entre as operações, mas a atribuição depende das investigações em curso.
O que o caso revela sobre a segurança das corretoras
A ausência de evidências de vazamento das chaves privadas não significa, por si só, que a infraestrutura esteja livre de riscos. Sistemas corporativos podem oferecer outras rotas para iniciar saques ou autorizar operações. Por isso, além de proteger carteiras, as empresas precisam limitar o que cada conta e dispositivo pode fazer.
Um princípio importante é o de menor privilégio: cada funcionário deve ter acesso apenas aos recursos necessários para sua função. Em uma operação financeira, ações de alto impacto também podem exigir aprovações adicionais, validações independentes e limites de movimentação. Essas medidas reduzem a possibilidade de que uma conta comprometida seja suficiente para executar transferências expressivas.
A segurança dos dispositivos usados no trabalho também é parte essencial da defesa. Atualizações regulares, monitoramento de atividades incomuns, autenticação forte e restrições à instalação de programas ajudam a diminuir o risco de roubo de credenciais ou de acesso indevido. A análise de componentes de terceiros, por sua vez, pode revelar alterações maliciosas antes que elas atinjam sistemas internos.
Para os clientes, a interrupção temporária de depósitos e saques pode ser uma medida preventiva, embora cause transtornos. Em uma situação assim, é importante acompanhar os comunicados oficiais, evitar clicar em mensagens que prometam liberar fundos e nunca fornecer senhas ou códigos de autenticação a terceiros. Golpistas costumam explorar a insegurança provocada por notícias de ataques para imitar equipes de suporte.
A prova de reservas pode ajudar a demonstrar que uma plataforma mantém determinados ativos, mas não responde sozinha a todas as dúvidas sobre segurança. Ela não substitui uma investigação sobre acessos, controles internos e capacidade de impedir transações não autorizadas. A avaliação completa depende também da transparência sobre as medidas adotadas e sobre o andamento da recuperação.
O rastreamento em blockchain permite acompanhar movimentações entre carteiras, mas identificar um endereço não garante que os recursos possam ser devolvidos. O bloqueio depende, entre outros fatores, de onde os ativos chegam, de quais serviços podem cooperar e da rapidez com que as equipes de resposta e as autoridades atuam. Congelar parte do montante é um resultado relevante, mas não equivale necessariamente à recuperação definitiva dos valores.
Enquanto as apurações continuam, permanecem em aberto a origem do acesso, o alcance da invasão e a quantia que poderá ser recuperada. A conclusão dessas etapas será importante para estabelecer a sequência do ataque e avaliar se as proteções existentes eram suficientes para impedir que o comprometimento de um dispositivo alcançasse sistemas críticos.