A Binance afirmou que o ataque de 29 de outubro resultou de uma campanha de vários meses contra funcionários. Os invasores recorreram a software adulterado, uma falsa entrevista de emprego, uma ferramenta interna de IA e credenciais que permitiram acessar o serviço de assinatura de carteiras. A WuBlockchain destacou a linha do tempo no X nesta terça-feira, 3 de novembro de 2026, com base na investigação preliminar que a própria exchange divulgou.

O caso acrescenta detalhes relevantes sobre o que já figura entre os maiores roubos da história do mercado cripto. Em sua atualização inicial, a Binance informou que o ataque impactou cerca de US$ 6,34 bilhões em ativos digitais. A empresa afirmou que repôs 98% dos tokens afetados até 31 de outubro e que congelou ou interceptou aproximadamente US$ 2,85 bilhões. Esses valores ainda exigem reconciliação e podem variar conforme os preços dos ativos.

Como a campanha avançou até a Binance

De acordo com a Binance, a primeira etapa ocorreu em junho de 2026. Um engenheiro de DevOps de carteiras baixou uma versão adulterada do Homebrew ao tentar instalar uma ferramenta popular de programação com IA. A exchange afirma que detectou a anomalia, substituiu o dispositivo e rotacionou credenciais relacionadas. No entanto, a função do funcionário e seus contatos na área de infraestrutura de carteiras ficaram expostos aos invasores.

Depois disso, a campanha avançou em setembro.

Uma pessoa que se apresentou como diretor de projeto abordou o segundo engenheiro por meio de uma plataforma legítima de recrutamento. A falsa seleção incluiu uma entrevista em vídeo com uma suposta representante de RH e outra conversa com alguém que dizia ser CEO de uma empresa fictícia. Ao final, o funcionário recebeu uma tarefa de programação e baixou um repositório malicioso no computador de trabalho.

A Binance afirma que o malware usou técnicas de ofuscação e evasão. Além disso, o código substituiu um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa, capaz de executar comandos e se comunicar com um servidor controlado pelo invasor. Naquele momento, as proteções de endpoint não detectaram a ameaça.

Ferramenta interna de IA virou ponto de apoio

Segundo a investigação preliminar, em 20 de outubro, os invasores usaram o computador comprometido do segundo engenheiro e uma ferramenta interna de IA para alcançar os dispositivos de outros dois funcionários da equipe de carteiras. A partir daí, eles alcançaram o computador do engenheiro de DevOps citado na etapa de junho e o de um terceiro funcionário da área de carteiras.

Nessa fase, os atacantes encontraram um token de permissão para implantação de contêiner no computador do engenheiro de DevOps. Então, em 29 de outubro, entre 17h15 e 19h56 UTC, eles acessaram o computador do terceiro engenheiro, usaram credenciais furtadas do primeiro funcionário, implantaram um contêiner e acionaram um script malicioso.

A cobertura da CoinDesk também confirmou a descrição pública da Binance. O veículo citou executivos da exchange e relatou a campanha de vários meses, que envolveu uma falsa entrevista de emprego, software malicioso e o uso de sistemas internos antes da drenagem dos ativos.

Assinatura de carteiras e EIP-7702

O ponto mais sensível envolve o serviço interno de assinatura de carteiras. A Binance afirma que o invasor explorou acesso não autorizado a esse serviço para iniciar transações fora do fluxo normal de saque. A empresa também diz que não encontrou evidência de vazamento de chaves privadas.

No Ethereum, a exchange informou que os invasores exploraram o mecanismo EIP-7702. Esse mecanismo permite que uma conta Ethereum delegue a execução de determinadas operações a um contrato inteligente, sem revelar a chave privada ao contrato. No incidente, segundo a Binance, os atacantes usaram essa autorização para dar direitos parciais de execução a um contrato controlado por eles sobre uma hot wallet da companhia.

Por isso, suspender saques não bastava para encerrar completamente o risco, já que as autorizações maliciosas existiam on-chain. Além disso, a hot wallet utilizava computação multipartidária (MPC), por isso a equipe precisou seguir um procedimento adicional de autorização para revogar a delegação, em vez de depender de uma única chave privada. A Binance afirmou que removeu a delegação às 00h10 UTC de 30 de outubro.

A análise on-chain da Bitquery estimou que os recursos saíram de 17 hot wallets da Binance em nove blockchains entre 20h04 e 23h56 UTC de 29 de outubro.  O levantamento também apontou que emissores de stablecoins e mecanismos de resposta das redes afetadas congelaram uma parcela relevante dos ativos.

FBI atribui o ataque à Coreia do Norte

O componente geopolítico ampliou a pressão sobre o setor. O FBI atribuiu o ataque ao grupo TraderTraitor, ligado à Coreia do Norte. Essa atribuição representa a posição oficial das autoridades norte-americanas, enquanto o governo norte-coreano nega envolvimento no caso. A agência pediu que serviços DeFi, exchanges instantâneas, operadores de nós e empresas de análise bloqueiem transações ligadas aos endereços usados na lavagem dos valores roubados.

Autoridades norte-coreanas, por sua vez, negaram envolvimento no ataque e criticaram a acusação dos Estados Unidos. Mesmo assim, a atribuição do FBI representa a posição oficial das autoridades norte-americanas. A Coreia do Norte, por sua vez, nega envolvimento no ataque..

O caso combina três vetores que preocupam o mercado cripto. Engenharia social contra desenvolvedores, abuso de ferramentas internas e uso de infraestrutura autorizada para assinar transações. Portanto, a discussão vai além da proteção de chaves privadas e alcança o controle de acesso a sistemas que solicitam assinaturas.

Para o usuário comum, a Binance reforça que os fundos de clientes não serão afetados e que a companhia absorverá o impacto financeiro. Ainda assim, o episódio deve manter o debate sobre segurança operacional em exchanges centralizadas.

	Receba nossas últimas notícias em primeira mão.   Adicione-nos como sua fonte preferida no Google    e toque em “Favorito” para priorizar nossas atualizações.