Binance publica o relatório preliminar do roubo de 6,34 mil milhões de dólares

A Binance divulgou um relatório preliminar sobre o incidente de segurança de 29 de outubro de 2026. A empresa diz que foram afetados cerca de 6,34 mil milhões de dólares em ativos digitais e que cerca de 2,85 mil milhões foram congelados ou intercetados, valor sujeito a reconciliação e à volatilidade dos preços. Os números e as datas abaixo são os divulgados pela própria Binance.

O que aconteceu

Entre as 20:05 e as 20:09 UTC (Tempo Universal Coordenado), cinco carteiras quentes (hot wallets, ligadas à internet) enviaram 233,46 milhões de XRP para um endereço controlado pelo atacante. Seguiram-se transferências de cerca de 970 500 SOL e de 44,2 milhões de OP, e depois de 18 270 BTC. Segundo a Binance, o atacante usou um serviço interno de assinatura de carteiras para iniciar transações fora do circuito normal de levantamentos.

Depois disso, recorreu ao mecanismo EIP-7702 (Ethereum Improvement Proposal 7702), que permite a uma conta delegar certos direitos de execução a um contrato inteligente sem expor a chave privada. Neste caso, deu a um contrato controlado por si direitos parciais sobre uma carteira quente da Binance.

Porque a contenção demorou

A Binance suspendeu os levantamentos, coordenou-se com parceiros para congelar tokens e tentou revogar as permissões. Mas suspender levantamentos não bastou: as autorizações maliciosas já existiam na cadeia de blocos e funcionavam à margem da infraestrutura de levantamentos da empresa. O atacante enviou 50 transações de assinatura para manipular o contador de transações da conta e fixar essas autorizações.

A carteira usava MPC (Multi-Party Computation, computação multipartidária), pelo que não havia uma chave única capaz de as revogar de imediato. A equipa desenvolveu um procedimento específico, o que alongou o tempo de contenção. A última transferência não autorizada, de 2 961,9 ETH, ficou finalizada às 23:56 UTC. Às 00:10 UTC de 30 de outubro, a Binance limpou a delegação.

Como o atacante chegou lá

A Binance descreve uma campanha em várias fases, e não um simples phishing (burla para roubar credenciais):

• Junho de 2026: um engenheiro de DevOps (Development and Operations, desenvolvimento e operações) descarregou uma instalação adulterada do Homebrew ao procurar uma ferramenta de programação com IA num motor de pesquisa. A equipa de segurança detetou a anomalia, substituiu o dispositivo e rodou as credenciais, mas a função do engenheiro e a dos colegas ficaram expostas ao atacante.
• Setembro de 2026: um engenheiro de software foi contactado numa plataforma de emprego por alguém que se apresentou como diretor de projeto. Seguiram-se duas entrevistas e, no fim da segunda, pediram-lhe que descarregasse um exercício para o computador de trabalho. O exercício continha código malicioso que correu durante a instalação. A Binance diz tratar-se de malware 0-day, não detetado pelas ferramentas de proteção, e que o atacante apagou vestígios da sua atividade.
• 20 de outubro de 2026: o atacante usou o computador comprometido e uma ferramenta interna de inteligência artificial para chegar a outros dois engenheiros e encontrou, no computador do engenheiro de DevOps, um token de implementação de contentores.
• 29 de outubro de 2026: entre as 17:15 e as 19:56, acedeu ao computador de outro engenheiro, usou as credenciais roubadas, implementou um contentor e executou o script malicioso.

A empresa refere ainda que, ao longo de 2026, a sua equipa de segurança travou 57 tentativas suspeitas ligadas à Coreia do Norte.

Medidas anunciadas

A Binance afirma ter fechado os pontos de entrada identificados, reconstruído o sistema de carteiras e a ferramenta interna de IA, substituído os dispositivos afetados, desativado as credenciais e os tokens associados e feito verificações de segurança a todos os dispositivos dos colaboradores. Reforçou também os controlos de risco das carteiras e a deteção de anomalias de comportamento baseada em IA. Prevê uma revisão independente, mais investimento em segurança de IA e um fundo de investigação.

Quanto aos utilizadores, a Binance diz que absorve as perdas e que, a 31 de outubro de 2026, tinha reposto 98% dos tokens afetados, algo que afirma ser verificável na sua página de prova de reservas (Proof of Reserves).

O que fica por confirmar

O relatório é inicial e a investigação continua. A Binance indica que alguns detalhes técnicos ficam confidenciais para não facilitar novos ataques. A responsabilidade da Coreia do Norte é apresentada pela Binance com base em informação divulgada pela FBI (Federal Bureau of Investigation, polícia federal dos EUA); este artigo não a verificou de forma independente.