Binance liga incidente de US$ 6,3 bi a notebook de engenheiro

A Binance confirmou um incidente de segurança com impacto estimado em cerca de US$ 6,3 bilhões. Segundo a investigação inicial da própria corretora, o invasor pode ter usado o notebook comprometido de um engenheiro de DevOps para chegar a um contêiner de serviço e submeter ordens de saque não autorizadas. A empresa afirma não ter encontrado indício de vazamento de chaves privadas de carteiras e diz ter congelado cerca de US$ 3 bilhões dos ativos afetados.

Segundo a TRM Labs, empresa de análise de blockchain, a maior parte dos recursos saiu de carteiras da Binance em cerca de 20 minutos a partir das 20h05 UTC de quinta-feira (29), em dez blockchains diferentes. A TRM estima o valor em US$ 6,36 bilhões e o classifica como o maior roubo de criptoativos já registrado, perto de quatro vezes o ataque de US$ 1,5 bilhão à Bybit em fevereiro de 2025.

A atribuição, e o que ainda falta

A TRM atribui o ataque ao TraderTraitor, unidade de hackers ligada ao governo da Coreia do Norte, e diz fazer essa avaliação "com alta confiança", com base em inteligência dentro e fora da blockchain. A Chainalysis chegou a uma conclusão semelhante, segundo o CoinDesk, que ressalta que a autoria ainda não foi definida de forma conclusiva. A Binance não havia atribuído publicamente o ataque à Coreia do Norte até o fechamento desta matéria, e nenhum governo havia feito essa atribuição oficial.

O histórico explica por que analistas chegaram rápido ao mesmo nome. No caso Bybit, o FBI atribuiu formalmente à Coreia do Norte o roubo de US$ 1,5 bilhão. O padrão se repete: em vez de quebrar a criptografia das carteiras, o grupo compromete a pessoa ou o fornecedor que tem acesso legítimo à infraestrutura de assinatura e saque.

Um problema de endpoint, não de blockchain

Para um CISO fora do mundo cripto, esse é o ponto da história. A explicação preliminar da Binance descreve um ataque clássico a ambiente corporativo: um dispositivo de engenheiro com privilégios elevados, acesso a um contêiner de produção e capacidade de disparar transações sem que um segundo controle barrasse a operação. Nada disso depende de blockchain. A mesma cadeia funciona contra o sistema de pagamentos de um banco ou contra o pipeline de implantação de um provedor de software.

O contraponto merece registro. A Binance afirma que nenhuma chave privada vazou e congelou perto de metade do valor em poucas horas, o que mostra que monitoramento em cadeia reduz o prejuízo efetivo. Para quem enxerga o caso como prova de que corretoras centralizadas são inseguras por natureza, os US$ 3 bilhões congelados são um dado incômodo. Para quem confia nesses controles, os outros US$ 3,3 bilhões também são.

O que a Binance ainda não explicou é por que uma única credencial de engenharia bastou para movimentar bilhões em 20 minutos. A empresa prometeu um relatório detalhado depois da conclusão da investigação.

O mesmo vetor em outros mercados

No Japão, o caso tem precedente direto. Em dezembro de 2024, o FBI e a Agência Nacional de Polícia japonesa atribuíram ao TraderTraitor o roubo de mais de US$ 300 milhões da corretora DMM Bitcoin, executado depois que um funcionário de uma fornecedora de software de carteiras foi enganado por uma falsa oferta de emprego. A rota é a mesma: a pessoa com acesso, não o protocolo.

No Brasil, o ataque de julho de 2025 à C&M Software, empresa que conecta instituições financeiras ao Pix, partiu de credenciais de um funcionário e desviou recursos de contas de reserva de instituições clientes. Não houve ligação com a Coreia do Norte, mas o vetor é idêntico ao descrito pela Binance, e levou o Banco Central a apertar as exigências sobre prestadores de tecnologia do sistema financeiro.

Nos Estados Unidos e na Europa, o efeito chega aos bancos que oferecem custódia de criptoativos a clientes institucionais e às fintechs que integram corretoras por API. Para esses compradores, um incidente de US$ 6,3 bilhões com origem em um único notebook transforma a pergunta padrão de due diligence, sobre chaves e carteiras frias, em uma pergunta sobre quem administra os contêineres de produção do fornecedor.

A conta que importa para conselhos de administração não é o tamanho do roubo. É quantas pessoas, dentro de casa ou em fornecedores, conseguem hoje disparar uma transferência relevante sem que um segundo par de olhos aprove a operação.