Binance reabre saques e vê saída líquida de US$ 3,6 bi em 9 horas

A Binance reabriu os saques no domingo (1º) e, entre 6h e 15h30 GMT, processou US$ 4,649 bilhões em retiradas contra US$ 1,01 bilhão em depósitos, segundo números divulgados pela corretora e reportados pela Reuters. A saída líquida de US$ 3,64 bilhões equivale a 2,1% dos ativos da plataforma. É o primeiro teste de liquidez depois do roubo de cerca de US$ 6,3 bilhões ocorrido em 29 de outubro, o maior já registrado contra uma corretora de criptoativos.

Nove horas e meia de estresse

A reabertura foi escalonada. Segundo o co-CEO Richard Teng, o bitcoin e ativos de outras 15 blockchains voltaram primeiro, e a liberação dos demais depende de checagens de segurança e estabilidade. A empresa avisou que parte dos usuários pode enfrentar processamento mais lento enquanto a fila é tratada.

Para Ari Redbord, da TRM Labs, o volume coloca as retiradas "na faixa de uma reação preventiva, e não de fuga de capital". A BBC, com base nos mesmos dados, relatou que o pico inicial de pedidos perdeu força ao longo do dia e que os fluxos estavam "se estabilizando como esperado", nas palavras da corretora. Uma saída de 2,1% em um dia é alta para qualquer instituição financeira, mas está longe do padrão de corrida que derrubou corretoras no passado.

O que se sabe do ataque

No sábado (31), o FBI atribuiu a operação a um grupo ligado à Coreia do Norte que a agência chama de TraderTraitor e divulgou centenas de endereços em Ethereum, Bitcoin e Solana, pedindo que empresas do setor bloqueiem transações ligadas a eles. Em fevereiro de 2025, o mesmo FBI havia atribuído a Pyongyang o roubo de US$ 1,5 bilhão da Bybit, até então o recorde. O novo caso é mais de quatro vezes maior.

A investigação preliminar da Binance aponta para o notebook comprometido de um engenheiro de DevOps, que teria dado ao invasor acesso a um contêiner de serviço e permitido submeter transações de saque não autorizadas. A empresa afirma não ter encontrado evidência de vazamento de chaves privadas das carteiras. Teng depois declarou que o ataque não foi uma ação "de um clique" e que o invasor não se limitou às permissões de um único engenheiro.

Quem paga a conta

A Binance diz que os clientes não arcarão com a perda. Teng afirmou que a corretora repôs com recursos próprios a maior parte dos ativos levados, combinando tesouraria corporativa, o fundo SAFU (Secure Asset Fund for Users) e o fundo de seguro do mercado de futuros. A empresa não detalhou quanto saiu de cada fonte, e relatos publicados desde sexta-feira divergem sobre essa divisão. Enquanto não houver esse detalhamento, o mercado não consegue medir quanto do colchão de proteção ao cliente foi consumido.

Para quem acompanha o setor a partir dos Estados Unidos, a atribuição do FBI tem efeito prático imediato: a lista de endereços vira insumo de compliance para qualquer custodiante, banco ou fintech que processe transferências em cripto. Na Coreia do Sul, onde o mesmo ecossistema de grupos norte-coreanos já atacou corretoras locais, a leitura é de continuidade. No Brasil, bancos e fintechs que passaram a oferecer custódia de criptoativos a clientes de varejo herdam a mesma obrigação de triagem, sem ter a escala de monitoramento de uma Binance.

A lição está no pipeline, não no cofre

O dado mais relevante para um CISO corporativo é o vetor. Por uma década, a segurança de corretoras girou em torno da proteção das chaves privadas, com carteiras frias e assinaturas múltiplas. Nos dois maiores roubos já registrados, de US$ 1,5 bilhão na Bybit e de US$ 6,3 bilhões na Binance, a porta de entrada descrita foi a estação de trabalho de alguém com acesso à infraestrutura operacional. No caso Bybit, as investigações publicadas em 2025 apontaram a máquina de um desenvolvedor da Safe{Wallet}, fornecedora da carteira multiassinatura.

O padrão vale para qualquer empresa que automatiza pagamentos, liquidações ou deploys a partir de contêineres com credenciais privilegiadas: o atacante não precisa da chave se consegue mandar o sistema assinar por ele. O teste que falta à Binance não é o de domingo, mas o da reabertura dos ativos que ainda estão travados, quando ficará claro se a confiança medida em nove horas e meia se sustenta em semanas.