A Binance confirmou aquilo que a empresa de análise blockchain TRM Labs situa agora em 6,36 mil milhões de dólares em perdas, ultrapassando os 1,5 mil milhões de dólares roubados à Bybit em fevereiro como o maior ataque informático alguma vez sofrido por uma exchange de criptomoedas. O primeiro relato público da exchange sobre o incidente, publicado na quinta-feira à noite, apontava para 2,5 mil milhões de dólares retirados de uma carteira quente em Ethereum. No início de sexta-feira, o valor tinha subido para 6,3 mil milhões de dólares à medida que a dimensão da violação em várias blockchains se tornava clara.
Segundo a reconstituição da TRM Labs, o ataque começou às 21h05 (hora de Paris), com o esvaziamento de carteiras na XRP Ledger, Solana e Optimism. Às 21h20, uma das carteiras quentes em Ethereum mais conhecidas da Binance recebeu uma delegação ao abrigo do EIP-7702, uma funcionalidade do Ethereum ativa desde a atualização Pectra, em maio. A carteira foi esvaziada três minutos depois. Segundo consta, o atacante tinha preparado previamente cinquenta autorizações assinadas; apenas uma foi necessária para executar o roubo.
As emissoras de stablecoins agiram rapidamente. A Tether congelou 971 milhões de USDT associados à principal carteira do hacker às 22h01, seguida três minutos depois pela Circle, que congelou 823 milhões de USDC. Changpeng Zhao, fundador da Binance, escreveu no X às 22h15: \"Os fundos dos utilizadores estão seguros! Isto parece de facto um ataque à Binance. Obrigado à Tether (cerca de 971 milhões de dólares) e à Circle (cerca de 823 milhões de dólares) pelo congelamento rápido. Já não dirijo a Binance (.com). Mas, enquanto acionista, espero que todos os fundos dos utilizadores sejam totalmente cobertos.\" A Ripple congelou 40,5 milhões de RLUSD às 23h01, e a World Liberty Financial congelou 27,8 milhões de USD1 nove minutos depois.
Uma segunda vaga de transferências atingiu a Avalanche e a Polygon pouco depois da meia-noite. A Aave congelou os seus mercados de empréstimo às 00h17, depois de o atacante ter depositado 60 milhões de USDT para pedir emprestados cerca de 20.000 ETH, no valor de aproximadamente 44 milhões de dólares. Yi He, cofundadora da Binance, anunciou às 00h59 que a exchange cobriria todas as perdas e suspendeu depósitos e levantamentos. Às 01h08, o Conselho de Segurança da Arbitrum forçou duas transferências no valor de cerca de 30 milhões de dólares da carteira do hacker para um endereço congelado. \"ÚLTIMA HORA: O Conselho de Segurança da Arbitrum executou uma transação para congelar cerca de 30,5 milhões de dólares do ataque à Binance. Obrigado a todos os outros signatários envolvidos\", escreveu o investigador on-chain ZachXBT.
A atualização de segurança da Binance, às 03h23, apontou como provável ponto de entrada um \"portátil comprometido de um engenheiro de DevOps\", afirmando: \"A investigação inicial sugere que o incidente pode envolver o portátil comprometido de um engenheiro de DevOps. Isto, segundo consta, permitiu que um atacante acedesse a um contentor de serviço e submetesse transações de levantamento não autorizadas. Não encontrámos evidência de uma fuga de chave privada de carteira.\" Uma atualização posterior, às 05h30, suavizou essa formulação para \"vários fatores\". Yi He afirmou que os levantamentos deverão ser retomados dentro de 48 horas.
Perdas por blockchain
O Ethereum representou a maior fatia, com 3,79 mil milhões de dólares, incluindo 200.630 ETH e 1,875 mil milhões de USDT. As perdas em Bitcoin totalizaram 18.270 BTC, cerca de 1,47 mil milhões de dólares. A Tron perdeu 628 milhões de dólares, a XRP Ledger 296 milhões de dólares, a Solana 96 milhões de dólares, e a Arbitrum, a Optimism e a Base, em conjunto, 39 milhões de dólares, com a Avalanche e a Polygon a somarem mais 38 milhões de dólares. A Binance tinha rastreado 2,54 mil milhões de dólares congelados on-chain até às 00h35. Face à estimativa da DefiLlama de 144 mil milhões de dólares em ativos totais da Binance, a soma roubada representa pouco mais de 4%.
A TRM Labs atribuiu a operação, com elevado grau de confiança, ao TraderTraitor, o grupo que o FBI já tinha associado ao ataque à Bybit, conclusão a que Jonathan Levin, presidente executivo da Chainalysis, chegou de forma independente durante a noite. A empresa estima que 2,4 mil milhões de dólares em bitcoin e ether roubados, incluindo a totalidade dos 18.270 BTC, estejam fora do alcance de qualquer congelamento por parte de emissoras. A Arkham designou o conjunto de 70 endereços verificados do atacante como entidade oficialmente rastreada, contabilizando pela última vez 5,88 mil milhões de dólares em 65 tokens, dos quais 1,77 mil milhões de USDT já foram congelados pela Tether. O hacker não vendeu qualquer bitcoin, mas começou a trocar UNI, PEPE e LINK por ether.
Impacto no mercado e nas exchanges
O bitcoin caiu abaixo dos 77.000 dólares durante a noite, o nível mais baixo em mais de um mês, enquanto o ether perdeu quase 6% e o próprio token BNB da Binance caiu mais de 8%. Dados da CoinDesk mostraram liquidações superiores a 1,5 mil milhões de dólares em 24 horas, dominadas por posições longas. Uma exceção notável foi o HYPE, que subiu 15% na sequência de uma parceria anunciada no mesmo dia com a ICE, empresa-mãe da Bolsa de Valores de Nova Iorque. Os market makers Wintermute e GSR afirmaram que a sua exposição à Binance representava, respetivamente, menos de 20% e menos de 5% do capital próprio. O fundo de seguro SAFU da Binance, criado em 2018, detém cerca de mil milhões de dólares em bitcoin. O incidente eleva as perdas totais com ataques informáticos a cripto no ano para além dos 2,81 mil milhões de dólares antes desta violação, valor agora ofuscado pela dimensão do roubo à Binance por si só.
