Um computador de um funcionário possivelmente comprometido, dezenas de autorizações preparadas com antecedência e uma sequência de transferências realizadas em poucos minutos. Estes são alguns dos elementos que começam a explicar como os hackers conseguiram roubar mais de US$ 6 mil milhões à Binance, naquele que já é considerado o maior ataque informático da história das criptomoedas.
O roubo aconteceu na quinta-feira (dia 29) e atingiu carteiras da maior corretora de criptomoedas do mundo em diferentes blockchains. Segundo a empresa de análise de dados TRM Labs, foram desviados aproximadamente US$ 6,36 mil milhões, com a maior parte dos fundos retirada num intervalo de apenas 20 minutos.
O montante representa mais de quatro vezes os cerca de US$ 1,5 mil milhões roubados à Bybit em fevereiro de 2025, incidente que até então era considerado o maior ataque informático já registado no setor das criptomoedas.
Embora a Binance ainda não tenha concluído a sua investigação, os primeiros comunicados da corretora e as análises de empresas especializadas em rastreamento de criptomoedas permitem reconstruir parte da operação, desde a sua preparação até às estratégias utilizadas pelos criminosos para movimentar e tentar preservar os fundos roubados.
O ataque pode ter começado no computador de um funcionário da Binance
A primeira pista sobre a origem do ataque foi divulgada pela própria Binance na sexta-feira (dia 30). Segundo a corretora, a investigação inicial indica que o portátil de um engenheiro de DevOps — profissional responsável por atividades relacionadas com a infraestrutura e a operação de sistemas — pode ter sido comprometido.
Leia também: Binance perde mais de US$ 6 mil milhões no maior ataque informático da história das criptomoedas
Esse acesso teria permitido aos criminosos alcançar um contentor de serviço da empresa e enviar transações de levantamento não autorizadas. A corretora sublinhou, porém, que não encontrou evidências de fuga das chaves privadas das carteiras, informações criptográficas utilizadas para autorizar movimentações de ativos digitais.
Posteriormente, a Binance informou que tinha identificado outros pontos de comprometimento além do computador inicialmente suspeito, indicando que o ataque foi mais complexo do que se imaginava.
Richard Teng, co-CEO da Binance, afirmou que os criminosos não se limitaram a utilizar as permissões de um único engenheiro para movimentar o dinheiro e que o ataque não foi executado com um simples clique. A empresa afirmou também que a sua investigação não atribuiu responsabilidade pelo incidente a nenhum funcionário.
Enquanto a corretora procura identificar a origem da invasão, a TRM Labs conseguiu reconstruir parte da preparação dos criminosos através das movimentações registadas nas blockchains.
De acordo com a empresa, o planeamento começou pelo menos 36 horas antes do roubo. Na manhã de quarta-feira (dia 28), uma carteira controlada pelos invasores recebeu três pequenas transferências provenientes do Tornado Cash, um serviço utilizado para dificultar o rastreamento da origem das criptomoedas.
No dia seguinte, os criminosos começaram a preparar e a testar códigos que seriam utilizados na operação. A TRM identificou testes em diferentes carteiras, incluindo um ensaio com a versão final do código aproximadamente quatro horas antes de este ser instalado numa carteira da Binance.
Essa preparação indica que o ataque não foi uma tentativa improvisada, mas sim uma operação planeada para permitir a retirada simultânea de fundos de diferentes endereços.
Como os hackers conseguiram retirar milhares de milhões de dólares em minutos
O roubo começou por volta das 20h05 (hora de Lisboa) de quinta-feira (dia 29), quando cinco carteiras da Binance na rede XRP Ledger transferiram aproximadamente 233,46 milhões de XRP para um único endereço controlado pelo invasor.
Poucos minutos depois, carteiras da corretora nas redes Solana e Optimism começaram também a enviar fundos para endereços ligados aos criminosos.
Por volta das 20h20, uma carteira de Bitcoin da Binance transferiu 18.270 BTC, avaliados em cerca de US$ 1,47 mil milhões. Os fundos começaram imediatamente a ser divididos em transferências menores, principalmente de 1.000 e 100 BTC, uma estratégia que dificulta o rastreamento das criptomoedas.
Quase simultaneamente, outra carteira da Binance, desta vez na rede Tron, enviou 612,7 milhões de USDT e 46,4 milhões de TRX aos invasores.
Mas foi na rede Ethereum que ocorreu a parte mais sofisticada do ataque. Os criminosos exploraram uma funcionalidade conhecida como EIP-7702, introduzida na atualização Pectra do Ethereum, em maio de 2025.
Esta tecnologia permite que uma carteira convencional autorize a execução de código de contratos inteligentes em seu nome. Trata-se de uma funcionalidade legítima da rede, desenvolvida para ampliar as capacidades das carteiras, mas que pode ser explorada caso um invasor obtenha autorizações indevidas.
Segundo a TRM Labs, os criminosos conseguiram preparar antecipadamente 50 autorizações assinadas por uma das carteiras da Binance. Todas direcionavam o controlo de determinadas operações para um contrato inteligente comandado pelo invasor.
O número elevado de autorizações tinha uma finalidade específica. Cada uma correspondia a um contador diferente de transações da carteira, conhecido como nonce. Como a carteira da Binance processava levantamentos continuamente, esse contador mudava rapidamente. Ao preparar 50 possibilidades, o invasor aumentava as hipóteses de que pelo menos uma autorização fosse válida no momento da execução.
A estratégia funcionou. Uma das autorizações foi aceite, permitindo que os criminosos passassem a comandar operações dessa carteira através do contrato inteligente malicioso.
Apenas três minutos e 24 segundos depois, o invasor executou uma transação que retirou 167.464 ETH e outros 63 tokens da carteira, incluindo aproximadamente 1,615 mil milhões de USDT.
O código malicioso continuou ativo e permitiu que os criminosos retirassem novos fundos que chegaram posteriormente ao mesmo endereço. A carteira comprometida tinha ainda permissões relacionadas com outra conta da Binance, o que possibilitou o desvio de 823 milhões de USDC.
O mecanismo utilizado no Ethereum, contudo, não explica por si só a dimensão do ataque.
Outras carteiras da Binance, distribuídas por diferentes redes, realizaram transferências com assinaturas criptográficas válidas, sem recorrer à mesma funcionalidade do Ethereum.
Para a TRM Labs, isto indica que os criminosos provavelmente conseguiram comprometer a infraestrutura utilizada pela Binance para autorizar transações nas suas carteiras ligadas à internet, conhecidas como hot wallets.
Por outras palavras, a principal hipótese é que os hackers tenham conseguido fazer com que os próprios sistemas da corretora autorizassem transferências fraudulentas, em vez de se limitarem a roubar as chaves privadas de uma carteira isolada.
Esta interpretação é compatível com a informação preliminar da Binance de que não foram identificadas evidências de fuga das chaves privadas. No entanto, ainda não está esclarecido como os criminosos conseguiram obter as diferentes autorizações necessárias para executar as transações.
Ao todo, a TRM Labs identificou movimentações fraudulentas em dez blockchains, incluindo Ethereum, Bitcoin, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base e Polygon.
As transferências identificadas pela empresa somaram aproximadamente US$ 6,36 mil milhões, dos quais cerca de US$ 3,79 mil milhões estavam concentrados na rede Ethereum. Além dos valores em Bitcoin e XRP, o ataque envolveu milhares de milhões de dólares em stablecoins, como USDT, USDC e RLUSD.
O que aconteceu aos US$ 6 mil milhões roubados à Binance
Depois da retirada dos fundos, começou uma segunda fase da operação: a tentativa de movimentar as criptomoedas antes que as empresas responsáveis pelos ativos e os mecanismos de segurança das redes conseguissem bloqueá-las.
Esta corrida foi particularmente importante no caso das stablecoins. Ao contrário do Bitcoin e do Ethereum, algumas destas moedas digitais possuem mecanismos que permitem aos seus emissores congelar valores em endereços específicos.
Assim que as movimentações suspeitas foram identificadas, empresas como a Tether, a Circle, a Ripple e a World Liberty Financial começaram a bloquear os tokens associados ao ataque.
A TRM Labs identificou aproximadamente US$ 2,7 mil milhões em ativos congelados nas primeiras horas, incluindo medidas adotadas pelo conselho de segurança da Arbitrum. Posteriormente, a Binance informou que o total bloqueado tinha atingido aproximadamente US$ 3 mil milhões.
Os invasores, por sua vez, tentaram converter rapidamente parte das stablecoins em Ethereum, um ativo que não possui o mesmo mecanismo de congelamento controlado por um emissor.
Segundo a investigação da TRM Labs, aproximadamente 325 milhões de USDT foram convertidos em cerca de 122.300 ETH através de operações envolvendo protocolos descentralizados e criadores de mercado. Para executar rapidamente estas negociações, os criminosos aceitaram condições significativamente desfavoráveis em comparação com os preços de mercado.
Noutra movimentação, o invasor depositou cerca de 60 milhões de USDT no protocolo de empréstimos Aave e utilizou esses fundos como garantia para obter aproximadamente 19.760 ETH.
A movimentação levou a Aave a adotar medidas de segurança de emergência para impedir novas operações com fundos associados ao roubo. TRM Labs
O rastreamento revelou ainda uma possível ligação a hackers associados à Coreia do Norte. A TRM Labs atribuiu o ataque ao grupo TraderTraitor, associado ao governo norte-coreano, com um elevado grau de confiança. A empresa afirmou ter identificado semelhanças com ataques anteriores, incluindo a preparação antecipada de transações e o recurso a serviços destinados a dificultar o rastreamento de criptomoedas.
O mesmo grupo foi responsabilizado pelo FBI pelo roubo de aproximadamente US$ 1,5 mil milhões à Bybit, em fevereiro de 2025.
A Elliptic, outra empresa especializada em rastreamento de criptomoedas, identificou também evidências que apontam para a participação de criminosos ligados à Coreia do Norte, incluindo movimentações associadas a um ataque anterior à corretora Bitget. Apesar destas conclusões, a autoria ainda não foi confirmada oficialmente pela Binance. MarketScreener+1
A corretora afirma que os clientes não sofrerão prejuízos e que cobrirá todas as perdas utilizando os recursos do seu fundo de emergência, conhecido como SAFU, e dinheiro da própria empresa.
Como medida de segurança, a Binance suspendeu temporariamente os levantamentos, revogou a autorização de endereços afetados e começou a trabalhar com empresas de análise de blockchain e autoridades policiais para recuperar os ativos. Na sexta-feira, os depósitos já tinham sido normalizados, enquanto os levantamentos permaneciam suspensos.
A empresa prometeu também divulgar um relatório técnico completo após a conclusão da investigação, além de uma versão atualizada da sua prova de reservas.
Por agora, a principal questão em aberto é saber como é que os invasores conseguiram transformar um possível comprometimento de sistemas internos em autorizações válidas para retirar milhares de milhões de dólares de carteiras espalhadas por diferentes blockchains. A resposta poderá ajudar a esclarecer não só o maior roubo já registado no mercado das criptomoedas, mas também as vulnerabilidades dos sistemas de custódia utilizados pelas maiores exchanges do mundo.
Se quer investir em criptomoedas com segurança, o Mercado Bitcoin oferece um benefício especial aos nossos leitores: use o código PORTAL250 no registo e ganhe 8,27 EUR de bónus em Bitcoin ao comprar 41,33 EUR em ativos. Clique aqui para abrir a sua conta.
