As investigações revelam uma operação planejada durante meses, suspeitas de envolvimento norte-coreano e falhas na segurança de uma das maiores plataformas financeiras do planeta. Entenda o caminho dos bilhões desviados, a reação dos investidores e o que esse episódio pode mudar no futuro das criptomoedas.
Não foi apenas um ataque hacker. Foi um alerta para todo o mercado financeiro digital.
O ataque à Binance, ocorrido em 29 de outubro, continua provocando repercussões internacionais. Dias depois do episódio, novas informações começaram a revelar uma operação muito mais elaborada do que uma simples invasão de sistemas.
Com aproximadamente US$ 6,34 bilhões em ativos digitais envolvidos, o caso se tornou um dos maiores roubos já registrados no mercado de criptomoedas.
Mas o tamanho do prejuízo não é o único elemento preocupante.
As investigações apontam para uma operação que teria começado meses antes, com computadores comprometidos, falsas oportunidades de emprego, manipulação de funcionários e exploração de acessos internos.
Em 31 de outubro, o FBI atribuiu oficialmente o roubo ao grupo TraderTraitor, associado à Coreia do Norte. A acusação acrescentou uma dimensão geopolítica ao episódio: a possibilidade de que operações cibernéticas patrocinadas por Estados estejam utilizando o mercado de criptomoedas como fonte de financiamento.
Enquanto isso, investidores acompanham a recuperação dos ativos, a movimentação dos recursos roubados e as explicações da Binance.
A questão agora vai além de uma corretora. O episódio colocou sob pressão a confiança em todo um ecossistema financeiro que movimenta bilhões de dólares diariamente.
1. Como aconteceu o ataque à Binance?
As informações mais detalhadas foram divulgadas pela própria Binance em 3 de novembro, quando a empresa publicou um relatório preliminar sobre o incidente.
Segundo a investigação interna, os invasores não conseguiram acesso aos sistemas de uma hora para outra. A operação envolveu diferentes etapas e teria começado ainda em junho de 2026.
Junho: o primeiro acesso
Um engenheiro da equipe responsável pela infraestrutura de carteiras digitais baixou uma instalação adulterada de uma ferramenta de desenvolvimento após encontrá-la em uma pesquisa na internet.
O arquivo continha elementos maliciosos que expuseram informações sobre a equipe e sua estrutura de trabalho.
A Binance identificou a atividade suspeita, substituiu o equipamento e alterou credenciais. Entretanto, segundo o relatório, os invasores já haviam obtido informações que ajudariam a preparar uma nova etapa da operação.
Setembro: uma falsa oportunidade de emprego
O segundo movimento foi ainda mais sofisticado.
Um funcionário da equipe de desenvolvimento foi abordado por pessoas que se apresentavam como recrutadores de uma empresa interessada em contratá-lo.
Foram realizadas entrevistas por vídeo, compartilhados perfis em redes sociais e construído um relacionamento de confiança.
Em uma das etapas, o profissional recebeu uma tarefa técnica que exigia baixar um repositório de códigos em seu computador corporativo.
O arquivo continha um programa malicioso que substituiu um componente legítimo de uma ferramenta utilizada pelo desenvolvedor, criando uma porta de acesso aos sistemas.
O detalhe é importante: os criminosos utilizaram uma situação aparentemente comum no mercado de tecnologia, uma entrevista de emprego, como instrumento para comprometer a segurança de uma empresa bilionária.
Outubro: o uso de uma ferramenta de inteligência artificial
De acordo com a Binance, em 20 de outubro os invasores utilizaram o computador comprometido e uma ferramenta interna de inteligência artificial para alcançar outros funcionários e ampliar o acesso à infraestrutura de carteiras.
A empresa informou que um dos computadores comprometidos possuía um token de permissão para implantação de sistemas.
Esse acesso foi fundamental para a etapa seguinte.
29 de outubro: a movimentação dos bilhões
Com as credenciais e permissões obtidas, os criminosos conseguiram explorar um serviço interno responsável pela assinatura e autorização de transações.
O relatório da Binance registra que cinco carteiras quentes enviaram aproximadamente 233,46 milhões de XRP para um endereço controlado pelos invasores em apenas quatro minutos.
Também foram movimentados aproximadamente:
- 970.500 SOL, da rede Solana;
- 44,2 milhões de OP, da rede Optimism;
- 18.270 BTC, em uma das transferências identificadas;
- Outros ativos digitais em diferentes redes.
A maior parte do roubo ocorreu em aproximadamente 20 minutos, embora as movimentações não autorizadas tenham continuado por algumas horas.
O episódio mostra que os criminosos não precisaram simplesmente quebrar a criptografia das moedas. Eles conseguiram explorar mecanismos internos que autorizavam as transferências.
2. Como os hackers conseguiram movimentar tanto dinheiro?
Uma das questões técnicas mais importantes do caso está no chamado sistema de assinatura de carteiras.
As carteiras quentes, conhecidas como hot wallets, são utilizadas por corretoras para facilitar operações e movimentações de criptomoedas. Por permanecerem conectadas à infraestrutura operacional, precisam de mecanismos rigorosos de proteção.
Segundo a Binance, os invasores obtiveram acesso não autorizado ao serviço interno de assinatura de transações.
O ataque também explorou o mecanismo EIP-7702, associado à rede Ethereum, que permite delegar determinadas permissões de execução a contratos inteligentes.
Na prática, os invasores conseguiram fazer com que uma carteira executasse operações sob permissões controladas por eles.
A Binance afirmou que não encontrou evidências de vazamento das chaves privadas das carteiras.
Outro detalhe técnico dificultou a contenção: o sistema utilizava computação multipartidária, conhecida como MPC, uma tecnologia que distribui o controle criptográfico entre diferentes participantes.
Isso significa que não existia uma única chave privada que pudesse simplesmente ser utilizada para cancelar imediatamente todas as autorizações maliciosas.
A empresa precisou executar procedimentos adicionais diretamente na blockchain para revogar as permissões.
Esse intervalo ajudou a prolongar o ataque.
3. Quem está por trás do ataque? FBI aponta grupo ligado à Coreia do Norte
A investigação ganhou uma dimensão internacional quando o FBI divulgou, em 31 de outubro, um comunicado atribuindo o roubo à Coreia do Norte.
O grupo identificado foi o TraderTraitor, associado às operações cibernéticas norte-coreanas.
Segundo as autoridades norte-americanas, os criminosos começaram a converter os ativos roubados principalmente em Ethereum e poderiam utilizar serviços de finanças descentralizadas e plataformas de troca instantânea para dificultar o rastreamento.
O grupo é relacionado a operações cibernéticas anteriores contra empresas do setor de criptomoedas.
A preocupação das autoridades é que esse tipo de operação possa ajudar a financiar atividades do governo norte-coreano, inclusive programas militares submetidos a sanções internacionais.
A Coreia do Norte nega envolvimento
Em 4 de novembro, a Reuters publicou novas declarações de Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un.
Ela rejeitou novamente a acusação norte-americana e afirmou que a declaração do FBI demonstraria a postura hostil dos Estados Unidos contra seu país.
Portanto, existe uma atribuição oficial do FBI, mas a Coreia do Norte nega responsabilidade.
É importante distinguir uma atribuição feita por autoridades de uma conclusão judicial definitiva sobre os responsáveis.
A investigação internacional continua.
4. Quanto dinheiro foi congelado e quanto ainda pode estar nas mãos dos criminosos?
Um dos pontos mais importantes é entender que dinheiro congelado não significa necessariamente dinheiro recuperado.
Segundo o relatório preliminar da Binance, aproximadamente US$ 2,85 bilhões em ativos foram congelados ou interceptados por meio da cooperação com empresas do setor.
Isso representa uma parte expressiva do valor envolvido, mas não significa que todos esses recursos já tenham retornado à empresa.
Segundo estimativa da empresa de análise blockchain Elliptic, divulgada pela Reuters em 2 de novembro, aproximadamente US$ 3,28 bilhões ainda estariam sob controle dos invasores, principalmente em Bitcoin e Ethereum.
A recuperação desses recursos depende de rastreamento, cooperação entre empresas, bloqueios em plataformas e, em determinadas situações, decisões das autoridades.
As stablecoins apresentam uma característica importante nesse processo: emissores como Tether e Circle possuem mecanismos que permitem congelar determinados ativos.
Já Bitcoin e Ethereum não possuem um emissor central que possa simplesmente bloquear moedas em qualquer endereço.
Isso torna a recuperação mais complexa.
5. Binance afirma que 98% dos ativos afetados já foram recompostos
Em meio às preocupações, a Binance passou a divulgar atualizações sobre sua capacidade de absorver as perdas.
A empresa afirma que não transferirá o prejuízo aos clientes e que utilizará recursos próprios, reservas e seu fundo de proteção aos usuários, conhecido como SAFU.
Em 4 de novembro, a plataforma publicou uma nova atualização informando que aproximadamente 98% dos ativos afetados já haviam sido recompostos.
Os 2% restantes envolvem tokens com menor liquidez, cuja aquisição pode demorar mais.
A Binance também informou que reservou mais de 100% dos recursos necessários para cobrir as perdas.
Outro movimento foi a ampliação do relatório de Proof of Reserves, mecanismo utilizado para demonstrar a cobertura dos saldos dos clientes.
A nova fotografia de reservas, realizada em 4 de novembro, passou a abranger 44 tokens, contra 10 na publicação anterior. A geração da prova criptográfica completa ainda estava em andamento, com previsão de 50 a 60 horas.
Um esclarecimento importante: os 98% representam ativos recompostos pela Binance, não necessariamente criptomoedas recuperadas dos hackers.
Essa diferença é fundamental para compreender o tamanho real da recuperação.
A empresa ainda precisa concluir a investigação independente e esclarecer todos os pontos técnicos do incidente.
6. O mercado reagiu: Bitcoin, Ethereum e investidores sentiram o impacto
O episódio provocou uma reação imediata nos mercados de criptomoedas.
Em 30 de outubro, o Bitcoin chegou a aproximadamente US$ 76.400, enquanto o Ethereum recuou momentaneamente para cerca de US$ 2.170.
Segundo a CoinDesk, as liquidações de contratos futuros de criptomoedas saltaram para aproximadamente US$ 1,57 bilhão após o episódio.
Isso significa que muitos investidores que operavam com alavancagem tiveram suas posições encerradas automaticamente em meio à volatilidade.
O impacto também chegou aos fundos negociados em bolsa.
Segundo a Reuters, os ETFs de Bitcoin à vista registraram saídas de US$ 643 milhões na sexta-feira, 30 de outubro, um dos maiores movimentos de retirada do mês.
Entretanto, o mercado começou a apresentar recuperação nos dias seguintes.
Em 4 de novembro, a Reuters informou que o Bitcoin estava sendo negociado próximo de US$ 78.354, com valorização de 0,7% naquele momento, enquanto o Ethereum alcançava aproximadamente US$ 2.323.
É importante destacar que o movimento geral do mercado também estava relacionado a fatores econômicos e políticos, como juros, expectativas de retorno dos investimentos em inteligência artificial e mudanças no cenário regulatório norte-americano.
Portanto, nem toda a desvalorização recente das criptomoedas pode ser atribuída ao ataque.
7. US$ 4,72 bilhões retirados da Binance: os investidores perderam a confiança?
Talvez um dos indicadores mais relevantes para entender a repercussão do episódio seja o comportamento dos próprios clientes.
Segundo reportagem da Reuters publicada em 2 de novembro, os investidores retiraram aproximadamente US$ 4,72 bilhões líquidos da Binance após a retomada gradual dos saques.
O montante representava aproximadamente 3% dos ativos mantidos na plataforma.
A maior parte das retiradas ocorreu em USDT, a stablecoin da Tether.
Ao mesmo tempo, a Binance informou ter recebido aproximadamente US$ 2,7 bilhões em novos depósitos e afirmou que o volume de retiradas estava se estabilizando.
Outras corretoras também registraram entradas de recursos.
Entre elas estavam OKX, Gate e Bybit.
O comportamento mostra que parte dos investidores preferiu diversificar seus recursos ou retirar temporariamente seus ativos, enquanto outros continuaram utilizando a plataforma.
O episódio não provocou uma fuga generalizada de todo o mercado, mas colocou a segurança das corretoras novamente no centro das discussões.
8. E no Brasil? O que aconteceu com os usuários brasileiros?
O Brasil também foi diretamente alcançado pelas medidas preventivas adotadas após o incidente.
Em comunicado publicado em 30 de outubro, a entidade responsável pelas operações brasileiras da Binance informou que os saques de ativos virtuais estavam temporariamente suspensos durante uma revisão de segurança.
A empresa afirmou que os recursos dos clientes brasileiros permaneciam protegidos e que os ativos eram mantidos em carteiras frias, desconectadas da internet.
Também destacou o cumprimento das exigências de segregação patrimonial estabelecidas pelo Banco Central.
Segundo o comunicado, os demais serviços da plataforma continuavam funcionando normalmente.
No ambiente global, a Binance iniciou a retomada gradual dos saques em 1º de novembro e publicou novas atualizações sobre a liberação de redes e ativos nos dias seguintes.
A situação brasileira, entretanto, deve ser acompanhada pelos comunicados específicos da plataforma, pois a disponibilidade de saques pode variar conforme a rede e o ativo.
Para investidores brasileiros, o caso reforça a importância de compreender onde os recursos estão custodiados e quais mecanismos de proteção são oferecidos pela empresa responsável.
9. O que esse ataque revela sobre o futuro das criptomoedas?
Existe uma diferença importante entre invadir uma blockchain e comprometer uma empresa que utiliza essa tecnologia.
No caso da Binance, as informações divulgadas apontam para uma exploração de sistemas internos, ferramentas de autorização e dispositivos de funcionários.
Não há indicação de que a estrutura fundamental do Bitcoin ou do Ethereum tenha sido quebrada.
Mesmo assim, o incidente revela um problema relevante: a segurança de uma criptomoeda não depende apenas da tecnologia da blockchain, mas também das empresas que armazenam, administram e movimentam esses ativos.
O episódio pode acelerar mudanças em diversas áreas.
Segurança operacional
Corretoras precisarão revisar permissões internas, autenticações e sistemas que autorizam movimentações financeiras.
Proteção contra engenharia social
Falsas entrevistas de emprego, arquivos adulterados e programas maliciosos mostram que funcionários podem se tornar portas de entrada para ataques sofisticados.
Auditorias independentes
Investidores e instituições podem exigir maior transparência sobre reservas, infraestrutura de segurança e procedimentos de resposta a incidentes.
Inteligência artificial
O uso de ferramentas internas de IA no caminho do ataque também levanta novas preocupações sobre permissões, integração com sistemas corporativos e proteção de dados.
Regulamentação internacional
Episódios dessa dimensão podem aumentar a pressão sobre governos e órgãos reguladores para estabelecer padrões mais rigorosos de segurança e responsabilidade das plataformas.
10. O que os investidores devem fazer agora?
Embora o episódio não represente o fim das criptomoedas, ele reforça a importância de alguns cuidados.
Para quem mantém patrimônio em ativos digitais, algumas medidas merecem atenção:
- Evitar concentrar todo o patrimônio em uma única corretora.
- Utilizar autenticação multifator e mecanismos adicionais de proteção.
- Nunca compartilhar senhas, códigos de autenticação ou frases de recuperação.
- Considerar carteiras próprias para ativos que não precisam permanecer disponíveis para negociação.
- Manter os dispositivos utilizados para acessar contas protegidos e atualizados.
- Verificar comunicados exclusivamente nos canais oficiais das plataformas.
- Desconfiar de pessoas que prometem recuperar criptomoedas roubadas mediante pagamento antecipado.
A autocustódia também exige responsabilidade. Perder a frase de recuperação ou expor as chaves privadas pode significar perder definitivamente o acesso aos ativos.
O objetivo não é agir por medo, mas compreender os riscos envolvidos.
O que ainda falta descobrir?
Apesar das informações divulgadas, algumas questões permanecem abertas.
A investigação independente ainda precisa avaliar os mecanismos de segurança que permitiram a exploração dos sistemas.
Também será necessário esclarecer todos os detalhes sobre a utilização da ferramenta interna de inteligência artificial e identificar eventuais falhas adicionais nos processos de autorização.
A recuperação dos ativos que continuam sob controle dos invasores é outro ponto central.
Além disso, a atribuição do ataque à Coreia do Norte permanece contestada pelo próprio país.
Esses elementos serão importantes para determinar a dimensão definitiva do incidente e as possíveis consequências jurídicas e regulatórias.
O maior prejuízo pode ser a confiança
O ataque à Binance representa um dos episódios mais importantes da história recente do mercado de criptomoedas.
Os bilhões de dólares envolvidos impressionam, mas a dimensão mais profunda do caso está na confiança.
A Binance afirma ter recursos suficientes para cobrir as perdas e já informou que aproximadamente 98% dos ativos afetados foram recompostos. Também iniciou mudanças em sua infraestrutura e contratou especialistas independentes para avaliar o incidente.
Por outro lado, a investigação continua, parte dos recursos ainda está sendo rastreada e as dúvidas sobre os mecanismos de segurança permanecem.
O episódio demonstra que o mercado de criptomoedas amadureceu em volume, alcance e importância econômica, mas ainda enfrenta desafios significativos de segurança.
Para investidores, empresas e governos, a mensagem é clara: não basta que o dinheiro seja digital, rápido e descentralizado. É preciso garantir que as estruturas responsáveis por movimentá-lo sejam capazes de resistir a ataques cada vez mais sofisticados.
A pergunta que permanece é: se uma das maiores corretoras do mundo passou por uma operação dessa dimensão, quantas outras empresas estão realmente preparadas para enfrentar um ataque semelhante?
E você, depois de tudo o que foi revelado, ainda confiaria todo o seu patrimônio em uma grande corretora de criptomoedas?
Sua empresa está preparada para enfrentar um ataque cibernético?
O caso Binance mostra que nem mesmo grandes estruturas tecnológicas estão livres de ataques sofisticados. Quando a segurança falha, os impactos podem ir muito além dos prejuízos financeiros.
Na Athena, ajudamos organizações a identificar vulnerabilidades, antecipar ameaças e fortalecer sua infraestrutura digital contra ataques cibernéticos.
Não espere um incidente acontecer para descobrir onde estão suas vulnerabilidades.
Proteja seus dados. Fortaleça sua segurança. Antecipe-se às ameaças.
👉 Entre em contato com nossa equipe e descubra como podemos proteger sua empresa.
Fontes e referências
Este conteúdo foi elaborado com base em comunicados oficiais, documentos de investigação e publicações jornalísticas. Os dados foram considerados até 4 de novembro de 2026.
Fontes oficiais
- Binance – Relatório preliminar sobre o incidente de segurança de 29 de outubro, publicado em 3/11/2026.
- Binance – Atualização nº 7: 98% dos ativos recompostos, publicada em 4/11/2026.
- FBI – Comunicado oficial sobre a atribuição do ataque ao grupo TraderTraitor, publicado em 31/10/2026.
- Binance Brasil – Comunicado aos usuários brasileiros sobre o incidente, publicado em 30/10/2026.
Veículos de imprensa e análise especializada
- Reuters – Como ocorreu o roubo bilionário à Binance e por que as movimentações foram tão rápidas, 30/10/2026.
- Reuters – Clientes retiram US$ 4,72 bilhões da Binance após o ataque, 2/11/2026.
- Reuters – Coreia do Norte nega acusação dos Estados Unidos relacionada ao ataque, 4/11/2026.
- Reuters – Reação do mercado de criptomoedas e impactos econômicos, 4/11/2026.
- CoinDesk – Liquidações de US$ 1,57 bilhão após o ataque à Binance, 30/10/2026.
- The Verge – Como falsas entrevistas e ferramentas internas foram utilizadas na operação, 3/11/2026.
