Willie Sutton, o assaltante de bancos norte-americano, ter-se-á explicado em tempos com uma frase que lhe sobreviveu: "Porque é lá que está o dinheiro." Quase um século depois, a frase assenta bem ao aparelho de pirataria informática da Coreia do Norte. Segundo dados publicados a 30 de outubro pela conta de dados unfolded, o país extraiu cerca de 9,6 mil milhões de dólares em criptomoedas desde 2019 — e uma única operação, o ataque à Binance de 29 de outubro, representa sozinha cerca de dois terços desse valor.
As hot wallets da Binance foram esvaziadas em poucos minutos, a partir de cerca das 21h05 (hora de Paris), com fundos drenados através de cerca de dez blockchains. A TRM Labs afirmou ter "um elevado grau de confiança" de que a maior parte dos ativos roubados saiu da exchange em cerca de 20 minutos. O atacante explorou o EIP-7702, uma funcionalidade da Ethereum ativada em maio de 2025 que permite às contas delegar a execução, submetendo 50 autorizações pré-assinadas para movimentar fundos. No processo, 167.464 ETH e 1,6 mil milhões de USDT saíram da Binance num único movimento.
A Binance atribuiu a violação a um computador comprometido pertencente a um engenheiro de DevOps, afirmando que nenhuma chave privada terá sido divulgada. A própria estimativa da exchange situa a perda em cerca de 6,3 mil milhões de dólares, próxima dos 6,4 mil milhões calculados pela Chainalysis e dos 6,36 mil milhões registados pela TRM Labs no momento do ataque.
Maior do que os nove ataques anteriores juntos
Para dar a dimensão do caso, os cálculos da unfolded mostram que os nove maiores ataques informáticos a criptomoedas da história antes deste — uma lista que vai da Mt. Gox à FTX, passando pelo ataque à Bybit no ano passado — somam 5,4 mil milhões de dólares no total. O ataque à Binance ultrapassa sozinho essa soma combinada em cerca de mil milhões de dólares.
Excluindo a Binance, o total acumulado pela Coreia do Norte ao longo de seis anos fica em 3,2 mil milhões de dólares. Esse valor inclui os 49 milhões de dólares do ataque à Upbit em 2019, os 624 milhões do ataque à ponte Ronin, ligada à Axie Infinity, em 2022, os 1,4 mil milhões do ataque à Bybit em fevereiro de 2025 — branqueados em cerca de dez dias, sobretudo através da THORChain, segundo os dados do relatório — além de incidentes mais recentes: 295 milhões provenientes da Drift e 293 milhões da Kelp DAO em 2026, e um ataque de 387 milhões à Bitget no mês passado. A Elliptic assinalou uma sobreposição de 39.000 dólares entre fundos dos incidentes da Bitget e da Binance num endereço partilhado usado para efeitos de atribuição, e a Chainalysis atribui o ataque à Binance ao TraderTraitor, uma célula norte-coreana ligada ao Lazarus Group, qualificando a ligação como "provável" na avaliação da Elliptic.
Emissores de stablecoins avançaram para congelar fundos
Os emissores agiram rapidamente para bloquear as stablecoins roubadas. A Tether congelou cerca de 1,77 mil milhões de USDT, a Circle bloqueou 823 milhões de USDC, a Ripple congelou 40,5 milhões de RLUSD e a World Liberty Financial bloqueou 27,8 milhões de USD1. O conselho de segurança da Arbitrum bloqueou separadamente 8.426 ETH. A Elliptic contabiliza o total de fundos congelados em 2,84 mil milhões de dólares, ou 44% do montante roubado, enquanto o valor da própria Binance para os ativos congelados ronda os 3 mil milhões de dólares.
O atacante pediu ainda emprestados cerca de 19.760 ETH na Aave e movimentou 18.270 BTC usando uma técnica de "peel chain" para dificultar o rasto. A Elliptic estima que 3,3 mil milhões de dólares permanecem inacessíveis, espalhados por cerca de quarenta endereços. A Binance suspendeu depósitos e levantamentos em várias redes e afirma que cobrirá todas as perdas dos clientes através do seu fundo SAFU e de recursos próprios.
