O gigante das criptomoedas Binance anunciou na quinta-feira que um incidente de segurança em sua plataforma afetou aproximadamente US$ 6,3 bilhões em ativos. A maior corretora de criptomoedas do mundo afirmou que quase US$ 3 bilhões desses fundos já foram congelados on-chain. Em resposta à violação, as emissoras de stablecoins Tether e Circle relataram o congelamento de mais de 1,567 bilhão de USDT e 800 milhões de USDC, respectivamente. Além disso, o Conselho de Segurança do Arbitrum executou uma transação para congelar cerca de US$ 30,5 milhões relacionados à exploração.
A investigação inicial da Binance sugere que o incidente envolveu o comprometimento do laptop de um engenheiro de DevOps, o que permitiu a um invasor acessar um contêiner de serviço e enviar transações de saque não autorizadas. A corretora esclareceu que não há evidências de vazamento de chaves privadas de carteira. Para mitigar perdas adicionais, a Binance suspendeu temporariamente depósitos e saques, revogou as autorizações dos endereços afetados e envolveu forças policiais e parceiros de inteligência em blockchain. A empresa confirmou que cobrirá todas as perdas usando seu Fundo de Ativos Seguros para Usuários (SAFU) e fundos internos, com a expectativa de que os saques retomem dentro de 48 horas após uma revisão de segurança.
Este evento marca o maior roubo de criptomoedas registrado até hoje, superando o furto de US$ 1,5 bilhão da Bybit em fevereiro de 2025. A firma de inteligência em blockchain Chainalysis estimou o valor roubado em aproximadamente US$ 5,912 bilhões no momento do roubo, quase quatro vezes a quantia levada no segundo maior assalto de criptomoedas. A TRM Labs atribuiu o ataque a atores de ameaça norte-coreanos com alta confiança, vinculando-o ao grupo TraderTraitor, que também foi responsável pelo roubo da Bybit em 2025 e pelo hack do KelpDAO em abril de 2026.
De acordo com a TRM Labs, a preparação para o ataque começou pelo menos 36 horas antes do roubo. Os invasores assumiram o controle de uma carteira quente (hot wallet) da Binance enviando uma única transação contendo 50 autorizações pré-assinadas. Esta técnica envolveu preparar assinaturas para contagens de transações consecutivas para garantir a validade quando executadas. Três minutos e 24 segundos após a delegação, o operador instruiu a carteira quente a transferir todo o seu saldo, incluindo 167.464 ETH e 63 tokens, como 1,615 bilhão de USDT, para um endereço controlado pelo invasor.
O cientista-chefe da Elliptic, Dr. Tom Robinson, avaliou que atores vinculados à Coreia do Norte perpetraram o roubo, citando técnicas semelhantes e a mistura de fundos da recente exploração da Bitget. A Elliptic observou que, em vez de roubar chaves privadas, o invasor manipulou os próprios sistemas da Binance para assinar transações em seu nome, um método semelhante ao roubo da Bybit, onde a infraestrutura e o pessoal foram comprometidos em vez da criptografia. Até agora, Tether, Circle, Ripple e World Liberty Financial congelaram cerca de US$ 2,67 bilhões em stablecoins, enquanto o Arbitrum congelou aproximadamente US$ 30 milhões em ETH e ARB.
Apesar desses esforços, o invasor mantém o controle de mais de 420.000 ETH e 18.270 BTC, avaliados em cerca de US$ 2,4 bilhões, juntamente com quantias menores em outras cadeias. A Elliptic relatou que, embora 2,84 bilhões em fundos tenham sido congelados, o invasor controla cerca de US$ 3,33 bilhões em ativos espalhados por cerca de 43 endereços de carteira que não podem ser congelados por uma emissora. Isso inclui 511.861 ETH, 18.270 BTC, 233 milhões de XRP e 670 milhões de TRX.
Os vínculos com a Coreia do Norte baseiam-se em vários fatores, incluindo a mistura de fundos das explorações da Binance e Bitget no mesmo endereço Ethereum. Os invasores utilizaram pequenos saques via Tornado Cash para financiar suas carteiras e executaram transações pré-assinadas em um único surto, técnicas observadas em hacks anteriores atribuídos ao regime. No entanto, a Elliptic pediu cautela na atribuição devido a desvios nos padrões de lavagem; diferentemente dos grupos norte-coreanos típicos que trocam stablecoins por ativos nativos em minutos, este invasor manteve os USDT roubados por 37 a 46 minutos sem converter a maior parte deles e utilizou market makers e protocolos de empréstimo DeFi de maneira diferente do observado após o hack da Bybit.
O co-CEO da Binance, Richard Teng, afirmou que, embora o incidente possa ter começado com um laptop comprometido, o ataque foi complexo e não uma ação simples de um clique. A empresa revelou desde então que sua investigação em curso descobriu pontos adicionais de violação além do comprometimento inicial do laptop. A Binance está coordenando com as forças policiais para confirmar a identidade dos criminosos e levá-los à justiça.
Fontes: The Hacker News.