Binance retoma saques após hack norte-coreano de US$ 6,3 bilhões

A Binance reabriu os saques de criptomoedas em fases em 1º de novembro de 2026, três dias depois de cerca de US$ 6,3 bilhões serem levados de suas carteiras quentes. O FBI disse na noite de 31 de outubro que a Coreia do Norte foi a responsável, informa a CNBC. Para quem tem fundos na corretora, as perguntas agora são quando a sua rede reabre e como a Binance cobre o rombo.

O que foi roubado

O roubo foi anunciado na quinta-feira, 29 de outubro, e atingiu as carteiras quentes que a Binance usa para pagamentos de rotina, segundo o CoinDesk. Uma carteira quente é aquela mantida conectada à internet para que os saques sejam pagos rapidamente. A Binance estima a perda em cerca de US$ 6,3 bilhões.

A empresa de análise de blockchain TRM Labs detalhou a saída por ativo, informa o CoinDesk:

Ativo	Quantidade levada, segundo a TRM Labs
Bitcoin (BTC)	18.270 BTC, cerca de US$ 1,47 bilhão
Ether (ETH)	200.630 ETH
Tether (USDT) na Ethereum	1,875 bilhão de USDT
USD Coin (USDC) na Ethereum	823 milhões de USDC
XRP	233,46 milhões de XRP
Solana (SOL)	970.500 SOL

A Binance culpou primeiro «o notebook comprometido de um engenheiro de DevOps», informa a CNBC. O co-CEO Richard Teng disse depois que o ataque foi mais complexo que o uso indevido das permissões de um único engenheiro. A empresa ainda não explicou como os invasores foram dali até as carteiras. O TechCrunch diz que a Binance publicará um relatório de incidente mais detalhado quando sua investigação terminar.

A atribuição do FBI

O FBI disse no sábado que um grupo norte-coreano conhecido como TraderTraitor foi o responsável, informa o TechCrunch. Os ativos roubados foram convertidos principalmente em Ethereum, e o FBI espera «novas etapas de lavagem», segundo a CNBC. Empresas de análise de blockchain já haviam ligado o ataque ao TraderTraitor antes de o FBI se pronunciar, diz o CoinDesk. «Várias características deste ataque coincidem com assaltos anteriores ligados à Coreia do Norte», declarou a TRM Labs.

Nem todo o dinheiro continua em movimento. Cerca de US$ 3 bilhões estão congelados, principalmente em USDT e USDC, informa o CoinDesk. As empresas que emitem essas stablecoins podem bloquear os tokens em endereços específicos. Bitcoin e Ether não têm emissor e não podem ser congelados da mesma forma.

A atividade da Coreia do Norte contra empresas de tecnologia dos EUA já estava no noticiário neste outono. Em outubro, o Departamento de Justiça acusou 14 pessoas por trabalhadores de TI norte-coreanos remotos contratados por mais de 70 empresas americanas.

Como os saques estão voltando

A fase um ocorreu das 06:00 às 09:00 UTC de 1º de novembro, informa o CoinDesk. Bitcoin, Ether, USDT, USDC, BNB e XRP reabriram primeiro, junto com ativos em outras 15 blockchains. A Binance priorizou as redes com mais pedidos de saque, e cada cadeia precisa passar por verificações de segurança e estabilidade antes de reabrir.

Os veículos descrevem a ordem de forma um pouco diferente. A CNBC diz que o Bitcoin abriu primeiro, com Ethereum e BNB Smart Chain restaurados mais tarde no mesmo dia. O CoinDesk lista seis ativos na primeira janela. Na manhã de domingo, horário dos EUA, o TechCrunch encontrou depósitos e saques de Bitcoin ainda parcialmente suspensos. Depósitos em Ethereum estavam normais, enquanto os saques em Ethereum estavam parcialmente suspensos.

A Binance não deu data para as redes restantes. «Retomar os saques é um marco importante, mas nosso trabalho continua», disse a empresa, segundo o TechCrunch.

Como a Binance está cobrindo as perdas

A Binance diz que vai absorver a perda sozinha. «A Binance absorverá o impacto financeiro desses fundos roubados, não nossos usuários», escreveu a empresa em sua terceira atualização de recuperação em 31 de outubro. Essa atualização colocava a cobertura em 90% dos ativos roubados, acima dos cerca de 80% da atualização anterior. No domingo, o número estava em cerca de 95%, informam CoinDesk e TechCrunch.

«Coberto» tem aqui um significado preciso. A Binance restaurou o lastro dos saldos dos clientes com dinheiro próprio. Isso não significa que os fundos roubados voltaram.

O dinheiro vem de três lugares, diz a atualização. Um é parte do Secure Asset Fund for Users (SAFU), a reserva de emergência da Binance para violações. Os outros são uma parcela do seu fundo de seguro de Futuros e o caixa da empresa. A Binance diz que depois vai recompor o SAFU para cerca de US$ 1 bilhão. A atualização anterior dizia que a empresa havia comprometido mais de US$ 6,34 bilhões de recursos próprios.

Dez tokens principais já estão totalmente lastreados, informa a CNBC: BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC. A parcela restante, cerca de 5% no domingo, está em tokens fora dos dez maiores que a Binance chama de «menos líquidos». Ela continua comprando esses ativos pelo mercado e por canais de balcão. Um retrato da prova de reservas tirado às 00:00 UTC de 31 de outubro está publicado. O relatório completo de prova de reservas com conhecimento zero é esperado para 3 de novembro de 2026.

O que isso significa para desenvolvedores

• Se você tem fundos lá, confira a sua rede antes de enviar. Os saques estão abrindo cadeia por cadeia, e a Binance não deu data para as últimas. A fase um levou três horas para seis ativos. Espere que a longa cauda de tokens menores leve dias.
• Um notebook foi a primeira versão da história. A explicação inicial da Binance foi a máquina comprometida de um engenheiro de DevOps. Teng diz que o quadro completo é mais complexo, mas a lição para qualquer equipe que opera infraestrutura de assinatura se mantém. Um equipamento de desenvolvedor com acesso à produção é um alvo, e mover dinheiro de uma carteira quente deveria exigir mais do que as credenciais de uma única máquina.
• Stablecoins podem ser congeladas. Moedas, não. Cerca de US$ 3 bilhões pararam de circular porque os emissores de USDT e USDC podem bloquear endereços. Equipes que escolhem um ativo de liquidação devem entender essa propriedade. Ela protege vítimas, e também significa que um terceiro pode congelar os seus fundos.
• Fique de olho em 3 de novembro. O relatório completo de prova de reservas é a primeira coisa que pessoas de fora podem verificar por conta própria. O relatório do incidente não tem data. Até ele sair, ninguém fora da Binance sabe como os invasores foram do notebook de um engenheiro até as carteiras quentes.
• Espere uma longa trilha de lavagem. O FBI prevê novas etapas de conversão, informa a CNBC. Os endereços envolvidos devem permanecer por meses nas listas de vigilância de corretoras e empresas de análise, então qualquer serviço que toque nesses fundos deve esperar perguntas.