Binance: os bastidores do maior roubo de cripto da história

O maior ataque hacker da história das criptomoedas começou com um ensaio.

Enquanto as negociações seguiam normalmente na Binance no meio da semana, hackers rodavam discretamente sequências de código em contas que controlavam na blockchain do Ethereum, movimentando só uns dois dólares por vez.

Segundo analistas de cibersegurança, eles estavam testando um programa feito para tomar o controle de contas da maior corretora de cripto do mundo e desviar o conteúdo delas para outro lugar.

Pouco depois das 16h de quinta-feira, no horário de Nova York, eles atacaram.

Em pouco tempo, os invasores drenaram mais de US$ 6 bilhões de carteiras em pelo menos quatro blockchains diferentes, o que desencadeou um esforço mundial para conter os danos.

De Nova York a Abu Dhabi e Kiev, pesquisadores de segurança e executivos da Binance correram para rastrear o dinheiro roubado, congelar contas e entender como os atacantes tinham invadido a corretora e executado um roubo que abalou a confiança no setor de cripto, justamente quando ele tenta ganhar mais aceitação no mercado monetário tradicional.

“É o maior assalto a banco da história da humanidade”, disse Ari Redbord, chefe global de políticas públicas e relações governamentais da TRM Labs, firma de análise de blockchain. A firma de Redbord foi uma das várias que se mobilizaram depois do início do ataque. “Eu literalmente não dormi nem parei.”

Enquanto a Binance dizia publicamente, na sexta-feira, que poderia reembolsar com facilidade qualquer prejuízo do ataque, funcionários comentavam entre si, em privado, a dúvida de que receberiam bônus neste ano, segundo pessoas a par do assunto.

O setor de cripto está acostumado com gente mal-intencionada. Há apenas um mês, a corretora Bitget sofreu um ataque cibernético que drenou US$ 388 milhões. Em fevereiro de 2025, hackers roubaram quase US$ 1,5 bilhão da corretora Bybit. Mas a escala do ataque desta semana chocou até veteranos do setor.

No exato momento em que o ataque foi disparado, Taylor Monahan, pesquisadora da SEAL, uma organização de segurança sem fins lucrativos, baseada em Los Angeles, estava num grupo de mensagens com outros investigadores de cripto quando alguém da zeroShadow, firma de segurança em blockchain, mandou uma mensagem sobre transações estranhas na Binance.

“Vou continuar otimista de que está tudo bem”, disse Monahan para si mesma. Mas ela sabia que, se as coisas não estivessem bem, estariam muito mal. “É tipo um ataque. Tipo, um bem grande.”

Às 16h38, Monahan já suspeitava do pior e entrou em contato com a Tether, firma que emite a stablecoin USDT, lastreada em dólar. “No fundo da alma, a gente sabia que era um ataque”, disse ela. A Tether respondeu na hora, mas não confirmou que havia uma invasão. Menos de 30 minutos depois, a firma começou a congelar as transações na sua blockchain, assim como a Circle, emissora da stablecoin USDC.

Rolando o X

Yi He, cofundadora e co-CEO da Binance, estava em casa, em Abu Dhabi, quando percebeu pela primeira vez que havia algo errado.

A executiva, que está em estágio avançado de gravidez, tinha encerrado o expediente e rolava o X antes de dormir, por volta de 0h30 em Abu Dhabi, 16h30 em Nova York. Publicações na rede social a alertaram sobre o problema.

Alarmada, ela voltou a se conectar e viu que as equipes de segurança e de carteiras da Binance, que têm autonomia para agir contra ataques sem aval dos executivos, já estavam trabalhando para evitar mais perdas. Em minutos, a firma montou uma sala de crise que chegou a reunir cerca de 100 pessoas ao redor do mundo. Yi e centenas de funcionários da Binance passariam a noite em claro, coordenando os esforços dentro da firma, com outras firmas de cripto e com órgãos de segurança, entre eles o FBI e o Serviço Secreto dos EUA.

Às 17h15, a Binance reconheceu publicamente que estava ciente de um “possível problema de segurança” e que investigava os rumores de invasão.

Às 17h18, o CEO da Circle, Jeremy Allaire, anunciou que a emissora de stablecoin tinha congelado mais de US$ 800 milhões ligados a um “possível ataque envolvendo a Binance”. Sete minutos depois, o CEO da Tether, Paolo Ardoino, anunciou que sua firma tinha congelado mais de US$ 1,5 bilhão “relacionados a um possível ataque hacker à corretora Binance”.

Logo, firmas de cripto de todo tipo começaram a inundar as redes sociais para garantir ao público que estavam seguras. Concorrentes da Binance como Kraken, Coinbase e Bybit declararam que não tinham sido afetadas.

As firmas de inteligência em blockchain TRM Labs, Chainalysis e Elliptic afirmaram que a Coreia do Norte está por trás do roubo. Elas observaram fundos roubados da Binance se misturando a criptomoedas tomadas no ataque à Bitget, que os pesquisadores já tinham atribuído à República Popular Democrática da Coreia. A Chainalysis classificou o incidente como “o maior da história das criptomoedas e um dos maiores crimes monetários isolados de todos os tempos”.

Ainda assim, mesmo com o roubo ganhando cada vez mais repercussão, os hackers continuaram drenando recursos da Binance. O código usado pelos atacantes dava acesso a contas de blockchain da Binance e permitia esvaziá-las, enquanto recursos da própria corretora continuavam reabastecendo essas contas. As estimativas do valor roubado foram subindo, até chegar a US$ 6,3 bilhões.

Cripto para o grande público

O ataque chega num momento ruim para um setor que vem recebendo um apoio sem precedentes do governo americano. O governo Trump vem defendendo a adoção em larga escala de criptomoedas e da tecnologia blockchain, inclusive por meio de seus órgãos reguladores. Em setembro, a SEC, a CVM americana, aprovou uma regra que permite que ações de firmas de capital aberto sejam negociadas em blockchains. Especialistas temem que o ataque à Binance possa minar esses esforços.

Odysseas Lamtzidis, fundador da firma de segurança em blockchain Phylax Systems, estava num avião de Nova York para Miami quando viu um grupo no Telegram discutindo o ataque. “Foi muito assustador. Lembro de estar respirando pesado, porque eram quantias enormes de capital se movimentando, e as pessoas no avião me perguntavam se eu estava bem”, disse.

Ele acompanhou os atacantes passando de uma carteira para outra e continuou publicando no X para alertar os usuários.

“Acho que isso é muito assustador para as organizações e para a adoção de cripto, porque esse tipo de evento deveria ser impossível de acontecer, não improvável”, disse ele. “Ainda é um faroeste.”

Na sexta-feira, Yi e seu co-CEO, Richard Teng, encararam o potencial estrago à reputação que o ataque pode causar. Num vídeo publicado no X, Yi prometeu que a Binance vai continuar trabalhando com as autoridades para encontrar os atacantes. A firma se comprometeu a reembolsar todos os usuários que perderam recursos no ataque.

“Não vamos deixar que os hackers tirem o impulso que este setor merece”, disse ela no vídeo, falando em mandarim. “É claro que há pontos em que poderíamos ter feito melhor. Deveríamos ter investido mais em segurança antes e estabelecido padrões mais rígidos. Daqui para a frente, não vamos economizar, seja para investir em segurança, seja para combater hackers.”

No sábado, a firma disse que já repôs 90% dos tokens levados pelos hackers e prometeu restabelecer a possibilidade de os clientes sacarem recursos no dia seguinte.

Questionado sobre a preocupação dos funcionários com os bônus, um porta-voz disse que a Binance também não espera nenhum impacto nesse ponto.

Em meio à turbulência, alguns traders viram oportunidade. Morten Christensen, trader de criptomoedas que também comanda o AirdropAlert.com, site que acompanha distribuições gratuitas de criptomoedas, ganhou dezenas de milhares de dólares na quinta-feira. Ele estava no México, numa chamada no Discord com seis amigos, discutindo estratégias para tirar proveito do ataque. Eles tinham decidido apostar na queda das criptomoedas, que começavam a perder valor, quando a mulher dele entrou no escritório. Ele pediu que ela saísse. “Hackearam a Binance, amor”, disse. “Preciso me concentrar.”

Por Ben Weiss, Muyao Shen e Olga Kharif