Um computador de funcionário possivelmente comprometido, dezenas de autorizações preparadas antecipadamente e uma sequência de transferências realizadas em poucos minutos. Esses são alguns dos elementos que começam a explicar como hackers conseguiram roubar mais de US$ 6 bilhões da Binance, no que já é considerado o maior ataque hacker da história das criptomoedas.O roubo aconteceu na quinta-feira (29) e atingiu carteiras da maior corretora de criptomoedas do mundo em diferentes blockchains. Segundo a empresa de análise de dados TRM Labs, foram desviados aproximadamente US$ 6,36 bilhões, com a maior parte dos recursos retirada em um intervalo de apenas 20 minutos.O montante representa mais de quatro vezes os cerca de US$ 1,5 bilhão roubados da Bybit em fevereiro de 2025, incidente que até então era considerado o maior ataque hacker já registrado no setor de criptomoedas.Embora a Binance ainda não tenha concluído sua investigação, os primeiros comunicados da corretora e análises de empresas especializadas em rastreamento de criptomoedas permitem reconstruir parte da operação, desde sua preparação até as estratégias utilizadas pelos criminosos para movimentar e tentar preservar os recursos roubados.Ataque pode ter começado em computador de funcionário da BinanceA primeira pista sobre a origem do ataque foi divulgada pela própria Binance na sexta-feira (30). Segundo a corretora, a investigação inicial indica que o notebook de um engenheiro de DevOps — profissional responsável por atividades relacionadas à infraestrutura e operação de sistemas — pode ter sido comprometido.Leia também: Binance perde mais de US$ 6 bilhões no maior ataque hacker da história das criptomoedasEsse acesso teria permitido aos criminosos alcançar um contêiner de serviço da empresa e enviar transações de saque não autorizadas. A corretora ressaltou, porém, que não encontrou evidências de vazamento das chaves privadas das carteiras, informações criptográficas utilizadas para autorizar movimentações de ativos digitais.Binance's initial investigation suggests that the security incident may involve a compromised DevOps engineer’s laptop, which allowed an attacker to gain access to a service container and submit unauthorized withdrawal transactions. We have found no evidence of any wallet private… pic.twitter.com/5REncAI77y— Binance (@binance) October 30, 2026Posteriormente, a Binance informou que identificou outros pontos de comprometimento além do computador inicialmente suspeito, indicando que o ataque foi mais complexo do que se imaginava.Richard Teng, co-CEO da Binance, afirmou que os criminosos não utilizaram simplesmente as permissões de um único engenheiro para movimentar o dinheiro e que o ataque não foi executado com apenas um clique. A empresa também afirmou que sua investigação não atribuiu responsabilidade pelo incidente a nenhum funcionário.I want to speak to you directly about what happened.Bottom line – your money is safe, and we're covering every loss.Our initial investigation suggests this security incident may have started with a compromised DevOps engineer's laptop. That gave an attacker access to a…— Richard Teng (@_RichardTeng) October 30, 2026Enquanto a corretora procura identificar a origem da invasão, a TRM Labs conseguiu reconstruir parte da preparação dos criminosos por meio das movimentações registradas nas blockchains.De acordo com a empresa, o planejamento começou pelo menos 36 horas antes do roubo. Na manhã de quarta-feira (28), uma carteira controlada pelos invasores recebeu três pequenas transferências provenientes do Tornado Cash, serviço utilizado para dificultar o rastreamento da origem das criptomoedas.No dia seguinte, os criminosos começaram a preparar e testar códigos que seriam utilizados na operação. A TRM identificou testes em diferentes carteiras, incluindo um ensaio com a versão final do código aproximadamente quatro horas antes de ele ser instalado em uma carteira da Binance.Essa preparação indica que o ataque não foi uma tentativa improvisada, mas uma operação planejada para permitir a retirada simultânea de recursos de diferentes endereços.Como os hackers conseguiram retirar bilhões de dólares em minutosO roubo começou por volta das 17h05 de quinta-feira (29), no horário de Brasília, quando cinco carteiras da Binance na rede XRP Ledger transferiram aproximadamente 233,46 milhões de XRP para um único endereço controlado pelo invasor.Poucos minutos depois, carteiras da corretora nas redes Solana e Optimism também começaram a enviar recursos para endereços ligados aos criminosos.Por volta das 17h20, uma carteira de Bitcoin da Binance transferiu 18.270 BTC, avaliados em cerca de US$ 1,47 bilhão. Os recursos começaram imediatamente a ser divididos em transferências menores, principalmente de 1.000 e 100 BTC, uma estratégia que dificulta o rastreamento das criptomoedas.Quase simultaneamente, outra carteira da Binance, desta vez na rede Tron, enviou 612,7 milhões de USDT e 46,4 milhões de TRX aos invasores.Mas foi na rede Ethereum que ocorreu a parte mais sofisticada do ataque. Os criminosos exploraram uma funcionalidade conhecida como EIP-7702, introduzida na atualização Pectra do Ethereum, em maio de 2025.Essa tecnologia permite que uma carteira convencional autorize a execução de códigos de contratos inteligentes em seu nome. Trata-se de um recurso legítimo da rede, desenvolvido para ampliar as funcionalidades das carteiras, mas que pode ser explorado caso um invasor obtenha autorizações indevidas.Segundo a TRM Labs, os criminosos conseguiram preparar antecipadamente 50 autorizações assinadas por uma das carteiras da Binance. Todas direcionavam o controle de determinadas operações para um contrato inteligente comandado pelo invasor.O número elevado de autorizações tinha uma finalidade específica. Cada uma correspondia a um contador diferente de transações da carteira, conhecido como nonce. Como a carteira da Binance processava saques continuamente, esse contador mudava rapidamente. Ao preparar 50 possibilidades, o invasor aumentava as chances de que pelo menos uma autorização fosse válida no momento da execução.A estratégia funcionou. Uma das autorizações foi aceita, permitindo que os criminosos passassem a comandar operações daquela carteira por meio do contrato inteligente malicioso.Apenas três minutos e 24 segundos depois, o invasor executou uma transação que retirou 167.464 ETH e outros 63 tokens da carteira, incluindo aproximadamente 1,615 bilhão de USDT.O código malicioso continuou ativo e permitiu que os criminosos retirassem novos recursos que chegaram posteriormente ao mesmo endereço. A carteira comprometida também tinha permissões relacionadas a outra conta da Binance, o que possibilitou o desvio de 823 milhões de USDC.O mecanismo utilizado no Ethereum, entretanto, não explica sozinho a dimensão do ataque.Outras carteiras da Binance, distribuídas por diferentes redes, realizaram transferências com assinaturas criptográficas válidas, sem utilizar a mesma funcionalidade do Ethereum.Para a TRM Labs, isso indica que os criminosos provavelmente conseguiram comprometer a infraestrutura utilizada pela Binance para autorizar transações em suas carteiras conectadas à internet, conhecidas como hot wallets.Em outras palavras, a principal hipótese é que os hackers tenham conseguido fazer os sistemas da própria corretora autorizarem transferências fraudulentas, em vez de simplesmente roubar as chaves privadas de uma carteira isolada.Essa interpretação é compatível com a informação preliminar da Binance de que não foram identificadas evidências de vazamento das chaves privadas. No entanto, ainda não está esclarecido como os criminosos conseguiram obter as diferentes autorizações necessárias para executar as transações.Ao todo, a TRM Labs identificou movimentações fraudulentas em dez blockchains, incluindo Ethereum, Bitcoin, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base e Polygon.As transferências identificadas pela empresa somaram aproximadamente US$ 6,36 bilhões, dos quais cerca de US$ 3,79 bilhões estavam concentrados na rede Ethereum. Além dos valores em Bitcoin e XRP, o ataque envolveu bilhões de dólares em stablecoins, como USDT, USDC e RLUSD.O que aconteceu com os US$ 6 bilhões roubados da BinanceDepois da retirada dos recursos, começou uma segunda etapa da operação: a tentativa de movimentar as criptomoedas antes que as empresas responsáveis pelos ativos e os mecanismos de segurança das redes conseguissem bloqueá-las.Essa corrida foi particularmente importante para as stablecoins. Diferentemente do Bitcoin e do Ethereum, algumas dessas moedas digitais possuem mecanismos que permitem aos seus emissores congelar valores em endereços específicos.Assim que as movimentações suspeitas foram identificadas, empresas como Tether, Circle, Ripple e World Liberty Financial começaram a bloquear os tokens associados ao ataque.A TRM Labs identificou aproximadamente US$ 2,7 bilhões em ativos congelados nas primeiras horas, incluindo medidas adotadas pelo conselho de segurança da Arbitrum. Posteriormente, a Binance informou que o total bloqueado havia chegado a aproximadamente US$ 3 bilhões.Os invasores, por sua vez, tentaram converter rapidamente parte das stablecoins em Ethereum, um ativo que não possui o mesmo mecanismo de congelamento controlado por um emissor.Segundo a investigação da TRM Labs, aproximadamente 325 milhões de USDT foram convertidos em cerca de 122.300 ETH por meio de operações envolvendo protocolos descentralizados e formadores de mercado. Para executar rapidamente essas negociações, os criminosos aceitaram condições significativamente desfavoráveis em comparação com os preços de mercado.Em outra movimentação, o invasor depositou cerca de 60 milhões de USDT no protocolo de empréstimos Aave e utilizou esses recursos como garantia para obter aproximadamente 19.760 ETH.A movimentação levou a Aave a adotar medidas emergenciais de segurança para impedir novas operações com recursos associados ao roubo. TRM LabsO rastreamento também revelou uma possível conexão com hackers ligados à Coreia do Norte. A TRM Labs atribuiu o ataque ao grupo TraderTraitor, associado ao governo norte-coreano, com alto grau de confiança. A empresa afirmou ter identificado semelhanças com ataques anteriores, incluindo a preparação antecipada de transações e o uso de serviços destinados a dificultar o rastreamento de criptomoedas.O mesmo grupo foi responsabilizado pelo FBI pelo roubo de aproximadamente US$ 1,5 bilhão da Bybit, em fevereiro de 2025.A Elliptic, outra empresa especializada em rastreamento de criptomoedas, também identificou evidências que apontam para a participação de criminosos ligados à Coreia do Norte, incluindo movimentações associadas a um ataque anterior à corretora Bitget. Apesar dessas conclusões, a autoria ainda não foi confirmada oficialmente pela Binance. MarketScreener+1A corretora afirma que os clientes não terão prejuízos e que cobrirá todas as perdas utilizando os recursos de seu fundo de emergência, conhecido como SAFU, e dinheiro da própria empresa.Como medida de segurança, a Binance suspendeu temporariamente os saques, revogou a autorização de endereços afetados e começou a trabalhar com empresas de análise de blockchain e autoridades policiais para recuperar os ativos. Na sexta-feira, os depósitos já haviam sido normalizados, enquanto os saques permaneciam suspensos.A empresa também prometeu divulgar um relatório técnico completo após a conclusão da investigação, além de uma versão atualizada de sua prova de reservas.Por enquanto, a principal questão em aberto é como os invasores conseguiram transformar um possível comprometimento de sistemas internos em autorizações válidas para retirar bilhões de dólares de carteiras espalhadas por diferentes blockchains. A resposta poderá ajudar a esclarecer não apenas o maior roubo já registrado no mercado de criptomoedas, mas também as vulnerabilidades dos sistemas de custódia utilizados pelas maiores exchanges do mundo.Se você quer investir em criptomoedas com segurança, o Mercado Bitcoin oferece um benefício especial aos nossos leitores: use o cupom PORTAL250 no cadastro e ganhe R$ 50 de bônus em Bitcoin ao comprar R$ 250 em ativos. Clique aqui para abrir sua conta.O post Hack da Binance: como hackers roubaram US$ 6 bilhões em apenas 20 minutos apareceu primeiro em Portal do Bitcoin.