Em 29 de outubro de 2026, por volta das 16h20 no horário do Leste dos EUA, fundos começaram a sair das carteiras quentes da Binance sem que ninguém na Binance tivesse aprovado. Quando a poeira baixou na manhã seguinte, a Chainalysis estimou o roubo em cerca de US$ 6,4 bilhões e a Binance em US$ 6,3 bilhões. Isso o torna o maior roubo de criptomoedas já registrado, aproximadamente quatro vezes o tamanho do hack da Bybit que detinha o título desde fevereiro de 2025. O número manchete é brutal. O número mais interessante é o outro: perto de US$ 3 bilhões foram congelados on-chain em poucas horas, e quase tudo isso veio de uma única fonte. Emissores de stablecoins apertaram um botão.
Esse botão é a parte da cripto da qual a maioria dos nativos de cripto adora reclamar. Esta semana foi a única coisa que funcionou.
O que aconteceu no hack da Binance?
A investigação inicial da Binance aponta para o laptop comprometido de um engenheiro de DevOps. A partir daí, o atacante alcançou um contêiner de serviço e enviou transações de saque que o sistema tratou como legítimas. A Binance disse depois que encontrou pontos adicionais de violação além do laptop, e que não viu evidências de vazamento de chave privada de carteira..... Um post mortem completo é prometido assim que os fatos forem verificados. Por outro lado, o co-CEO Richard Teng descreveu algo mais cirúrgico do que um assalto à mão armada. Ele disse que o ataque não foi uma ação de "um clique", que o atacante usou um mecanismo de autodestruição para limpar rastros.... E que uma delegação EIP 7702 deu ao atacante autoridade de execução sobre uma carteira quente, contornando os controles normais de aprovação. Ido Ben Natan, da Blockaid, colocou de forma clara: a atualização deu aos atacantes "uma maneira de fazer isso em uma única varredura". Sem ela, a mesma drenagem teria exigido muitas transações separadas, cada uma uma chance de o monitoramento disparar.A Chainalysis e a TRM Labs atribuem o roubo ao TraderTraitor, a unidade norte-coreana que o FBI nomeou no hack da Bybit. A TRM diz que sustenta essa visão com alta confiança. O investigador on-chain ZachXBT e a Chainalysis descobriram que os proventos da Binance foram misturados com fundos do exploit da Bitget do mês passado, chegando ao mesmo endereço via THORChain. Mesmo ator, segunda exchange em cerca de quatro semanas.
Como o EIP 7702 tornou a drenagem mais rápida?
O EIP 7702 veio com a atualização Pectra da Ethereum.. Ele permite que uma conta de propriedade externa comum delegue sua execução a código de contrato inteligente, para que uma carteira normal possa agrupar transações, patrocinar gas ou seguir regras personalizadas de gastos. , Sob a especificação EIP-7702, essa delegação é definida por uma autorização assinada e permanece em vigor até ser substituída ou limpa.
Para os usuários, isso é um recurso de conveniência. Para um atacante que obtém uma autorização válida assinada de dentro da infraestrutura de uma exchange, é uma chave mestra com um processador de lote embutido.. Em vez de empurrar saques um de cada vez pelas filas de aprovação, o código delegado pode varrer uma carteira em um único fluxo. Ivo Georgiev, da Ambire, sinalizou o risco subsequente: engenheiros que recuperam o controle de uma conta comprometida podem não perceber que uma delegação maliciosa ainda está anexada a ela.
Nada disso significa que o EIP 7702 está quebrado. Significa que a infraestrutura de assinatura de exchanges agora tem uma nova classe de permissão para monitorar. E pelo menos um dos maiores operadores do setor não estava observando com atenção suficiente.
Quem congelou o quê, e com que rapidez?
A Chainalysis cronometrou os primeiros congelamentos às 17h14 no horário do Leste, cerca de 54 minutos após as primeiras saídas.... Paolo Ardoino, da Tether, e Jeremy Allaire, da Circle, estavam postando totais de congelamento antes mesmo de a Binance ter interrompido os saques.. Aqui está o que os emissores e protocolos relataram.
| Parte congeladora | Ativo | Valor congelado | Mecanismo de congelamento |
|---|---|---|---|
| Tether | USDT | Mais de US$ 1,567 bilhão | Lista negra do emissor no contrato do token |
| Circle | USDC | Mais de US$ 800 milhões | Lista negra do emissor no contrato do token |
| Conselho de Segurança da Arbitrum | 74...6M ARB e 8.425 ETH | Cerca de US$ 30,5 milhões | Ação de governança de emergência na Arbitrum |
| World Liberty Financial | USD1 e WLFI | US$ 27 milhões em USD1, US$ 2 milhões em WLFI | Lista negra do emissor |
| Ripple | RLUSD | Não divulgado | Lista negra do emissor |
| First Digital | FDUSD | Não divulgado | Lista negra do emissor |
| Ninguém | ETH na mainnet, BTC | US$ 0 | Nenhum existe |
O total corrente da própria Binance chegou a cerca de US$ 3 bilhões congelados. A Chainalysis coloca mais perto de US$ 2,8 bilhões, e a Elliptic estimou que cerca de 44% dos ativos roubados foram congelados, com stablecoins respondendo por quase tudo isso. Tether e Circle sozinhas respondem por aproximadamente US$ 2,37 bilhões. Tire os emissores de stablecoins e o esforço coletivo de congelamento do setor chega a algumas dezenas de milhões de dólares, a maior parte de uma única ação de emergência do Conselho de Segurança da Arbitrum.
Por que os hackers puderam ficar com os outros US$ 3 bilhões?
Porque os outros US$ 3 bilhões eram, ou rapidamente se tornaram, ativos que ninguém controla. ETH nativo e BTC não têm chave de administrador nem função de lista negra.... Uma vez que o valor roubado está lá, as únicas ferramentas restantes são rastreamento, cooperação de exchanges e sorte. Claro, os atacantes sabiam disso e agiram de acordo.... A Chainalysis rastreou cerca de US$ 500 milhões em stablecoins para uma carteira criada para um único trabalho: converter ativos congeláveis em não congeláveis. Em cerca de 20 minutos, US$ 325 milhões em stablecoins se tornaram US$ 285 milhões em ETH. Cerca de dez minutos depois, os US$ 175 milhões restantes foram enviados para carteiras de passagem. , A TRM Labs diz que os atacantes também venderam USDT para formadores de mercado e tomaram ETH emprestado usando stablecoins como garantia.Curiosamente, essa última tática atingiu a Aave diretamente. Cerca de 40 minutos antes dos congelamentos chegarem, o explorador depositou 60 milhões de USDT e tomou emprestado cerca de 19.762 WETH, no valor de aproximadamente US$ 44,6 milhões..... A LlamaRisk confirmou que a posição estava sobrecolateralizada e não representava risco para os fornecedores. A Aave ainda congelou 175 reservas V3 em 16 redes e 117 reservas V4 em quatro redes como precaução, depois reativou empréstimos e tomadas em 30 de outubro... A lógica da operação é sombriamente inteligente: deposite USDT que pode ser congelado, saia com ETH que não pode, e deixe o protocolo de empréstimo segurando a sacola de garantia na lista negra.
Nossa análise dos dados de fluxo da Chainalysis mostra quanto a velocidade valeu para o atacante. Trocar US$ 325 milhões de stablecoins por US$ 285 milhões de ETH custou cerca de US$ 40 milhões, um corte de 12,3% devido a slippage e execução apressada. Pagar mais de um dólar em cada oito para escapar da lista de congelamento mostra o quão a sério os operadores da Coreia do Norte levam o tempo de resposta da Tether e da Circle. A Chainalysis também sinalizou milhares de transações automatizadas, com muitos endereços novos recebendo exatamente 1 TRX primeiro, e Levin disse que grandes somas foram movidas para endereços Tron.
Hack da Binance vs hack da Bybit: o que mudou?
| Métrica | Bybit (fevereiro de 2025) | Binance (outubro de 2026) |
|---|---|---|
| Valor roubado | Cerca de US$ 1,5 bilhão | US$ 6,3 a 6,4 bilhões |
| Atribuído a | TraderTraitor (FBI) | TraderTraitor (Chainalysis, TRM Labs) |
| Ponto de entrada | Máquina de desenvolvedor comprometida em um provedor de carteira | Laptop de engenheiro DevOps comprometido, mais outros pontos de violação |
| Mistura de ativos roubados | Principalmente ETH e ETH em staking | Grande parcela de stablecoins mais ETH, BTC e outros tokens |
| Parcela congelada | Uma pequena fração | Cerca de 44 a 48% |
| Primeiros congelamentos de emissores | Limitados, poucos ativos congeláveis | Cerca de 54 minutos após as primeiras saídas |
O contraste é a história.. A Bybit perdeu quase inteiramente ETH não congelável, e o esforço de recuperação foi principalmente um exercício de assistir à lavagem.. A Binance perdeu uma pilha muito maior, mas uma fatia muito maior dela estava em tokens com um emissor por trás. , Quanto mais da carteira quente de uma exchange é mantida em stablecoins emitidas centralmente, mais de um roubo pode ser recuperado.... , Essa é uma lição desconfortável para quem vendeu stablecoins como "cripto sem a volatilidade" e pulou a parte "com um interruptor de emergência".
Os clientes da Binance estão cobertos?
A Binance diz que sim. A cofundadora Yi He disse que a exchange cobrirá todas as perdas, e Changpeng Zhao postou que espera que os fundos dos usuários sejam totalmente cobertos. A Binance diz que reservou mais de US$ 6,34 bilhões em fundos da empresa, cerca de US$ 5 bilhões dos quais já estão mantidos nos mesmos tokens que foram roubados. Está comprando o restante no mercado de balcão e em exchanges, alertando que a liquidez escassa pode atrasar algumas compras.
Surpreendentemente, os depósitos continuaram funcionando... Os saques foram pausados às 18h55 no horário do Leste em 29 de outubro, e a orientação mais recente aponta para uma reinicialização faseada dentro de cerca de 40 horas após a atualização da Binance de 30 de outubro, que cai neste fim de semana... Uma prova de reservas atualizada está prevista para segunda-feira.. A Binance estaria trabalhando com o FBI.
Só para você saber, as contrapartes divulgaram sua exposição rapidamente. A Wintermute disse que sua exposição era inferior a 20% do patrimônio líquido, e a GSR disse menos de 5%. A Bybit confirmou que não foi afetada.
Como o mercado cripto reagiu?
Mal, embora o hack tenha caído em um dia já instável após uma pausa do Fed e resultados fracos de tecnologia.... Em 30 de outubro, dados da CoinGecko mostravam o Bitcoin caindo 4,9% em 24 horas para cerca de US$ 76.937.... O Ether caiu 5,7% para cerca de US$ 2.211. O BNB caiu 8% para aproximadamente US$ 693, o AAVE perdeu 11,3% e o UNI 10,7%.... O Índice de Medo e Ganância do Bitcoin caiu para 30, sua leitura mais baixa desde agosto.
O que isso significa para quem mantém cripto em uma exchange
Algumas conclusões práticas, nenhuma delas nova, todas recém-sublinhadas. Mais importante, Saldos em exchanges são uma promessa de pagamento. A Binance parece capaz de absorver uma perda de US$ 6 bilhões. Muito poucos operadores no mundo conseguiriam.... Pausas de saque acontecem mesmo quando a exchange é solvente, e acontecem exatamente quando você mais quer suas moedas.Congelamentos de stablecoins cortam dos dois lados. A mesma lista negra que salvou cerca de US$ 2,4 bilhões aqui é a que pode bloquear uma carteira inocente que por acaso recebeu fundos contaminados. Se você receber USDT ou USDC de uma fonte desconhecida após um grande hack, verifique o endereço de envio em rastreadores públicos antes de movimentá-lo.
Verifique suas próprias delegações EIP 7702. Se você usou um recurso de carteira inteligente na Ethereum, revise quais delegações suas contas carregam e limpe as que não reconhece.. Uma delegação maliciosa pode sobreviver ao momento em que você recuperou o controle.
Mantenha fundos ociosos em autocustódia. Isso se aplica a contas de negociação e saldos de apostas igualmente. Plataformas como a CryptoCasino.Vegas que pagam ganhos diretamente de volta à carteira do próprio jogador tornam o princípio fácil de seguir: quanto menos tempo suas moedas ficam na carteira quente de outra pessoa, menos um laptop comprometido do outro lado do mundo pode custar a você.
O número final de recuperação vai mudar conforme o rastreamento continua, e a história diz que ele desce, não sobe. O próprio resumo de Levin da fase de lavagem é o certo para lembrar: quanto mais os fundos viajam, menos oportunidades de apreensão... O botão de congelamento recuperou quase metade em uma hora... Tudo depois disso é perseguição.
