Notebook comprometido abriu caminho para o roubo na Binance?

Um ataque que resultou em saques não autorizados de criptoativos da Binance, avaliado em cerca de US$ 6,3 bilhões, é considerado o maior roubo desse tipo já registrado. A própria exchange diz que um computador comprometido pode ter sido a porta de entrada, mas essa relação ainda não está comprovada publicamente.

O que se confirma

A checagem confirmou em três fontes independentes que o valor chega a cerca de US$ 6,3 bilhões. g1, Jovem Pan e Metrópoles registram o mesmo número e o apontam como o maior roubo de moedas digitais já registrado.

Jovem Pan e Metrópoles confirmam que o FBI atribui a ação ao grupo TraderTraitor, que, segundo o comunicado da agência, é patrocinado pelo governo norte-coreano. No texto oficial, lê-se:

“O roubo foi realizado pelo TraderTraitor, um grupo de cibercriminosos patrocinados pela Coreia do Norte”

As mesmas duas fontes confirmam que, segundo o FBI, os criminosos já começaram a converter os ativos roubados, principalmente para ethereum (ETH). A agência também pediu que corretoras e empresas de análise de blockchain bloqueiem transações ligadas aos endereços identificados na investigação.

O que não está confirmado

Sobre o ponto de entrada, só o g1 publicou que a Binance trata o computador comprometido como possível origem do incidente. Nenhuma outra fonte consultada confirma a relação. Na fala citada pelo g1, a equipe de segurança da empresa disse:

“Nossa equipe de segurança está rastreando todo o caminho do ataque através do computador comprometido, que pode ser o ponto de entrada do incidente”

Ou seja, a empresa fala em possibilidade, não em conclusão. Não há detalhe público sobre como o notebook foi acessado nem sobre qual método foi usado. O g1 também informou que a Binance identificou depois outros pontos de invasão, mas esse dado aparece só nessa fonte.

A atribuição à Coreia do Norte também depende de comunicado. Segundo o g1, a empresa de análise TRM Labs afirmou ter alta confiança de que foi o TraderTraitor, citando dados dentro e fora da blockchain. A empresa disse que “várias características do ataque coincidem com roubos anteriores vinculados à Coreia do Norte”. Essa afirmação vem de uma fonte, e o FBI não divulgou provas públicas detalhadas.

Sobre a reposição dos ativos, as versões divergem:

• Segundo a Jovem Pan, a Binance diz ter reservas das mesmas criptomoedas roubadas suficientes para cobrir 90% dos ativos desaparecidos.
• Segundo o Metrópoles, a empresa diz já ter reposto 90% dos criptoativos roubados, percentual que era de cerca de 80% no balanço anterior.

A checagem não confirma nenhuma das duas versões como fato. A promessa de ressarcir integralmente os clientes aparece apenas na Jovem Pan e vem da própria empresa.

Contexto

Analistas associam o TraderTraitor ao grupo Lazarus, que ganhou notoriedade em 2014, quando foi acusado de invadir a Sony Pictures. O g1 lembra que a Mt Gox perdeu cerca de US$ 500 milhões há 12 anos. Já a Bybit sofreu roubo de US$ 1,5 bilhão em fevereiro de 2025, citado por Jovem Pan e Metrópoles como comparação.

O Metrópoles afirma que o valor equivale a cerca de R$ 34 bilhões e que é quatro vezes o roubo da Bybit. Para o ex-chefe da Mt Gox, Mark Karpeles, a Binance parece ter dividido seus ativos em vários sistemas, o que limita o alcance de um único ataque. Ele avaliou, porém, que um ataque desse porte ainda representa perda enorme.

O que ainda não se sabe

• Como o notebook foi invadido e qual vetor de acesso foi usado, seja phishing, malware ou credenciais.
• Quais provas sustentam a atribuição à Coreia do Norte além dos comunicados do FBI e da TRM Labs.
• Se há valores recuperados ou congelados até agora.
• Qual será o mecanismo de ressarcimento, já que a promessa da empresa não foi detalhada.
• Quais orientações a Binance deu aos usuários para proteger seus ativos. As fontes consultadas não informam isso.
• Se os saques serão retomados em 1º/11, como prevê o Metrópoles, já que a data não foi detalhada pela empresa.