A empresa de análise de blockchain Chainalysis concluiu que o grupo cibercriminoso norte-coreano TraderTraitor foi responsável pelo roubo de 6,4 mil milhões de dólares em criptomoedas na Binance, segundo um relatório publicado a 30 de outubro. A atribuição da empresa assenta na atividade on-chain que, segundo afirma, liga diretamente o incidente da Binance a um ataque anterior à corretora Bitget.
"Este grupo tem atacado repetidamente a indústria das criptomoedas, corretoras, protocolos DeFi e investidores para angariar fundos para o regime", afirmou a Chainalysis. A empresa de cibersegurança TRM Labs chegou de forma independente à mesma conclusão, apontando para fontes de informação tanto internas como externas.
Segundo a Chainalysis, a pista decisiva foi o facto de os ativos roubados à Binance terem sido misturados em tempo real com fundos retirados da Bitget, cujo servidor crítico foi comprometido a 24 de setembro de 2026, num roubo avaliado em 388 milhões de dólares. "Essa ligação direta on-chain reforçou a nossa avaliação de que o TraderTraitor executou o ataque à Binance", declarou a empresa.
O roubo na Binance começou às 20h20 UTC de 29 de outubro, com o atacante a esvaziar as carteiras quentes da corretora. Os investigadores afirmam que o intruso tentou depois converter rapidamente stablecoins passíveis de congelamento em bitcoin e ether antes que os emissores pudessem intervir, numa manobra destinada a colocar os fundos fora do alcance das ferramentas de bloqueio.
Milhares de milhões congelados, táticas de lavagem mudam
A resposta das empresas de análise e das autoridades foi rápida. A Chainalysis afirmou que cerca de 2,8 mil milhões de dólares foram congelados através de uma ação coordenada, enquanto a Binance situa o total atualmente verificado em 3 mil milhões de dólares. Na sequência deste esforço de contenção, a Chainalysis afirmou que os atacantes alteraram a forma como estão a movimentar os fundos restantes.
"À medida que os investigadores continuam a seguir os fundos roubados à Binance, estamos a observar padrões de lavagem que não tínhamos visto antes", afirmou a empresa. "Milhares de transações num curto período de tempo sugerem que os atacantes estão a usar automação para dificultar o rasto dos fundos." A Chainalysis acrescentou que os fundos são repetidamente feitos circular entre endereços, em vez de simplesmente avançarem: "Em vez de simplesmente moverem os fundos para a frente, fazem-nos circular repetidamente entre endereços, enviando-os muitas vezes de volta para endereços já envolvidos na sequência."
Um portátil comprometido
A investigação preliminar da própria Binance aponta para um ponto de entrada mais trivial do que um código de exploração sofisticado. A corretora afirma que o acesso foi possível através da violação do portátil de um engenheiro de DevOps, o que permitiu aos atacantes entrar num contentor de serviços e executar levantamentos não autorizados. A Binance não divulgou mais pormenores sobre a forma como o dispositivo foi comprometido.
Para as corretoras e custodiantes europeus, o caso sublinha um tema recorrente nas operações ligadas à Coreia do Norte: os atacantes visam cada vez mais a infraestrutura interna e as credenciais dos funcionários, em vez de depender apenas de vulnerabilidades em contratos inteligentes ou ao nível do protocolo, um padrão que a Chainalysis já documentou ao longo do historial do TraderTraitor a visar corretoras, protocolos DeFi e investidores.
