Um portátil comprometido poderá ter permitido desviar 6,3 mil milhões de dólares em criptomoedas da Binance. O caso levanta questões sobre a segurança dos sistemas que autorizam transferências automáticas.
O maior roubo de criptomoedas de que há registo terá começado, segundo as primeiras conclusões divulgadas pela Binance, no portátil de um engenheiro DevOps. Do acesso inicial a um computador de trabalho, os atacantes terão conseguido chegar a um serviço interno capaz de submeter pedidos de levantamento e desviar entre 6,3 e 6,36 mil milhões de dólares em criptoativos através de 10 redes blockchain.
O ataque ocorreu a 29 de outubro. De acordo com a empresa de análise TRM Labs, a maior parte dos fundos foi movimentada em cerca de 20 minutos, um intervalo que ilustra a velocidade com que operações automatizadas podem ser exploradas quando o mecanismo que autoriza as transferências fica sob controlo de terceiros. A TRM Labs classifica o incidente como o maior roubo de criptomoedas conhecido, com um valor cerca de quatro vezes superior ao ataque à Bybit, registado em fevereiro de 2025.
A Binance afirma não ter encontrado indícios de fuga de chaves privadas. A investigação continua e a causa técnica definitiva ainda não foi tornada pública. As informações disponíveis até agora apontam, contudo, para o comprometimento de um equipamento de um colaborador com acesso privilegiado, que terá permitido aceder a um serviço interno e submeter levantamentos não autorizados.
A lógica do ataque, tal como descrita nas primeiras conclusões, não exige necessariamente roubar diretamente as chaves privadas. Basta comprometer o sistema ou a credencial que autoriza a sua utilização. A partir do portátil do engenheiro, os atacantes terão alcançado um serviço capaz de submeter pedidos de levantamento, com transferências de milhares de milhões de dólares concluídas em poucos minutos.
Este risco não se limita às plataformas de criptomoedas. Bancos, prestadores de serviços de pagamento, empresas de cloud e qualquer organização que movimente dinheiro ou dados através de sistemas automatizados enfrenta um problema semelhante: se um dispositivo ou uma credencial comprometida puder, por si só, autorizar operações de grande dimensão, a superfície de ataque torna-se particularmente perigosa.
A prevenção assume particular importância neste tipo de incidente. Depois de os fundos serem dispersos por várias redes blockchain, a recuperação torna-se exceção, e não regra. A velocidade da transferência, aliada à fragmentação dos ativos por múltiplas redes, reduz drasticamente as hipóteses de intervenção eficaz após a deteção do ataque.
O caso da Binance surge cerca de cinco semanas depois de a Bitget ter registado perdas de aproximadamente 388 milhões de dólares. Segundo informação publicada pela própria plataforma, os atacantes exploraram uma vulnerabilidade num produto de segurança de terceiros para obter credenciais internas e falsificar instruções de levantamento, sem comprometer as chaves privadas. Os dois episódios, apesar das diferenças técnicas, apontam para a mesma vulnerabilidade estrutural: a proteção insuficiente dos mecanismos que permitem utilizar chaves criptográficas.
A TRM Labs atribui o ataque à Binance, com elevado grau de confiança, ao grupo TraderTraitor, associado à Coreia do Norte. Trata-se de uma avaliação da empresa de análise blockchain e não de uma atribuição oficial feita por autoridades. A Binance anunciou entretanto a suspensão temporária de depósitos e levantamentos, o congelamento de cerca de três mil milhões de dólares em ativos e o compromisso de cobrir todas as perdas através do fundo SAFU e de recursos próprios.
Para além do prejuízo imediato, o incidente coloca uma questão que ultrapassa a Binance: num sistema onde transferências de valor elevado podem ser executadas automaticamente, a segurança deixa de estar apenas nas chaves e passa a depender de quem, ou do quê, tem autoridade para ordenar a sua utilização.
