Binance investiga ataque de US$ 6,3 bilhões após comprometimento de laptop. Empresa não confirma vazamento de chaves privadas
Maior roubo de criptoativos já relatado coloca em discussão a proteção das chaves privadas e a segurança dos sistemas de autorização de transações. Binance aponta computador comprometido, mas não confirma vazamento de chaves.
A Binance investiga um ataque cibernético ocorrido na quinta-feira, 29 de outubro de 2026, que pode representar o maior roubo de criptoativos já registrado. A exchange estima o impacto em aproximadamente US$ 6,3 bilhões e informa que cerca de US$ 3 bilhões em ativos foram congelados com a colaboração de empresas do setor.
A investigação preliminar aponta para o comprometimento do laptop de um engenheiro DevOps, responsável por atividades relacionadas à infraestrutura tecnológica da companhia. Segundo a Binance, o invasor teria utilizado esse acesso para alcançar um contêiner de serviços e enviar solicitações de saque não autorizadas.
O episódio coloca em evidência uma questão central para a segurança dos ativos digitais: a proteção das chaves criptográficas, isoladamente, não é suficiente quando os sistemas capazes de solicitar ou autorizar transações podem ser comprometidos.
A Binance declarou não ter encontrado evidências de vazamento de chaves privadas, mas ainda não apresentou uma explicação técnica definitiva sobre o mecanismo utilizado pelos invasores.
Ataque pode superar todos os roubos anteriores de criptoativos
As primeiras estimativas divulgadas por empresas de análise de blockchain apontavam valores distintos, entre US$ 3,3 bilhões e US$ 6,36 bilhões, dependendo dos ativos identificados e do momento da contabilização.
Na atualização de 30 de outubro, a Binance informou que o impacto estimado estava próximo de US$ 6,3 bilhões.
A dimensão do incidente supera o ataque à Bybit, ocorrido em fevereiro de 2025, quando aproximadamente US$ 1,5 bilhão em criptoativos foi roubado.
Segundo análise da TRM Labs, a movimentação principal ocorreu em aproximadamente 20 minutos, envolvendo carteiras utilizadas pela Binance e endereços controlados pelos invasores.
Embora o episódio já seja tratado por analistas internacionais como o maior ataque da história do setor, o prejuízo definitivo dependerá da identificação dos ativos efetivamente subtraídos, dos valores bloqueados e da capacidade de recuperação dos recursos.
O que a Binance revelou sobre a origem do ataque
Em comunicado publicado nesta sexta-feira, 30 de outubro, a Binance informou que a investigação inicial identificou como possível ponto de entrada o laptop comprometido de um engenheiro DevOps.
O acesso teria permitido ao invasor alcançar um contêiner de serviços da infraestrutura da empresa e enviar solicitações de retirada sem autorização.
A companhia informou que revogou autorizações relacionadas aos endereços afetados, iniciou verificações adicionais de segurança e trabalha com autoridades policiais e empresas de inteligência blockchain para rastrear os ativos.
A Reuters reproduziu uma declaração da Binance sobre a investigação:
“This was a complex attack, and we are doing all we can in coordination with law enforcement to resolve it.”
Em tradução livre, a empresa classificou o episódio como um ataque complexo e afirmou estar fazendo todo o possível, em coordenação com as autoridades policiais, para solucioná-lo.
A Binance também informou que identificou outros pontos de comprometimento durante a investigação, sem detalhar publicamente toda a sequência técnica do ataque.
A companhia prometeu divulgar um relatório técnico completo, conhecido como post-mortem, após a conclusão da apuração.
As chaves criptográficas foram roubadas?
Esta é uma das principais questões ainda em aberto.
A Binance afirma que, até o momento, não encontrou evidências de vazamento das chaves privadas de suas carteiras digitais.
A declaração é relevante porque uma transação válida em blockchain normalmente depende de uma assinatura criptográfica produzida com a chave privada correspondente ao endereço de origem.
Entretanto, existem diferentes formas pelas quais um invasor pode provocar uma transferência não autorizada.
Uma delas é a obtenção direta da chave privada, que permite ao criminoso assinar transações como se fosse o legítimo controlador dos ativos.
Outra possibilidade envolve o comprometimento dos sistemas que interagem com a infraestrutura de assinatura. Nesse cenário, um invasor pode conseguir submeter operações a componentes autorizados sem necessariamente extrair o material criptográfico.
É essa segunda hipótese que merece atenção especial diante das informações preliminares divulgadas pela Binance.
A ausência de evidências de vazamento de chaves não significa, por si só, que a infraestrutura de assinatura permaneceu protegida contra uso indevido.
Para determinar o mecanismo efetivamente explorado, será necessário esclarecer como o contêiner comprometido se relacionava com os serviços de custódia, quais permissões estavam disponíveis e quais controles deveriam impedir a execução de retiradas não autorizadas.
Até o momento, a Binance não divulgou informações suficientes para determinar se houve uso indevido de um serviço legítimo de assinatura, comprometimento de credenciais operacionais ou exploração de outro mecanismo de autorização.
O desafio de proteger a infraestrutura de assinatura digital
Em ambientes institucionais de custódia de criptoativos, as chaves privadas podem ser protegidas por diferentes arquiteturas de segurança, incluindo módulos de segurança de hardware (HSMs), sistemas de computação multipartidária (MPC) e mecanismos de assinatura com múltiplas aprovações.
Os HSMs podem permitir a realização de operações criptográficas sem expor diretamente as chaves privadas aos sistemas que solicitam as assinaturas.
A computação multipartidária pode distribuir a capacidade de assinatura entre diferentes participantes ou componentes, reduzindo a dependência de uma única chave integralmente disponível.
Entretanto, nenhuma dessas tecnologias elimina a necessidade de controles independentes sobre as operações autorizadas.
Se um sistema comprometido consegue encaminhar solicitações aceitas como legítimas, a infraestrutura criptográfica pode executar assinaturas tecnicamente válidas para transações que não deveriam ter sido aprovadas.
O problema, portanto, ultrapassa a confidencialidade das chaves. Envolve também a autenticação das solicitações, a segregação de funções, a limitação de privilégios e a capacidade de detectar movimentações anormais.
O incidente da Binance ainda não permite concluir quais desses controles falharam. Mas reforça a importância de investigar toda a cadeia de autorização, e não apenas a eventual exposição do material criptográfico.
Tether e Circle congelam bilhões em ativos digitais
A resposta ao ataque envolveu a participação de empresas responsáveis pela emissão de stablecoins, criptoativos projetados para manter valor relativamente estável em relação a moedas tradicionais.
A Tether informou ter congelado aproximadamente US$ 1,57 bilhão em ativos associados ao incidente.
A Circle, emissora do USDC, bloqueou mais de US$ 800 milhões.
A Binance informou posteriormente que o total verificado de ativos congelados em blockchain alcançou aproximadamente US$ 3 bilhões.
Essas medidas são possíveis porque determinadas stablecoins possuem mecanismos administrativos que permitem aos emissores bloquear a movimentação de tokens em endereços específicos.
O congelamento, entretanto, não significa necessariamente que os ativos já tenham sido devolvidos à Binance. Trata-se de uma medida de contenção, cuja efetividade depende da localização dos recursos e das características técnicas de cada ativo.
Coreia do Norte é apontada por empresas de inteligência blockchain
A TRM Labs atribuiu o ataque a operadores associados à Coreia do Norte, destacando semelhanças entre a movimentação dos recursos e técnicas observadas em operações anteriores.
A Chainalysis também manifestou elevada confiança na atribuição, segundo reportagem da Reuters.
A hipótese remete ao ataque à Bybit em fevereiro de 2025, posteriormente atribuído pelo FBI a operadores norte-coreanos.
Entretanto, a Binance não confirmou a identidade dos responsáveis pelo incidente de outubro de 2026.
A atribuição permanece baseada nas análises de empresas especializadas e não deve ser confundida com uma conclusão definitiva da investigação conduzida pela exchange ou pelas autoridades policiais.
Binance promete cobrir perdas e mantém saques suspensos
A Binance informou que os recursos dos clientes estão seguros e que assumirá integralmente as perdas decorrentes do incidente.
A cobertura será realizada com recursos do fundo SAFU, criado para proteger usuários em situações extraordinárias, e com recursos próprios da companhia.
A empresa também anunciou que publicará uma atualização de suas provas de reservas (Proof of Reserves) após a conclusão das medidas de recuperação.
Na atualização operacional divulgada em 30 de outubro, a Binance informou que os depósitos haviam voltado a funcionar normalmente, enquanto os saques permaneciam temporariamente suspensos para verificações de segurança.
A expectativa comunicada pela empresa era retomar as retiradas em até 48 horas, condicionada à conclusão dos procedimentos de segurança.
A declaração de que os recursos dos clientes estão protegidos representa um compromisso da companhia, mas a efetiva extensão dos prejuízos e a recuperação dos ativos ainda dependem da investigação.
O que o ataque representa para o mercado de custódia de criptoativos
O incidente ocorre em um momento de expansão dos serviços institucionais de custódia digital e de crescente integração entre infraestrutura financeira tradicional e ativos tokenizados.
Bancos, exchanges, custodiantes e prestadores de serviços de ativos virtuais dependem de mecanismos criptográficos para autenticar operações e proteger a movimentação de recursos.
Nesse contexto, a proteção de uma chave privada constitui apenas uma parte da arquitetura de segurança.
A gestão de identidades privilegiadas, o isolamento de ambientes críticos, a autenticação de sistemas, a autorização independente de transações e o monitoramento contínuo tornam-se componentes igualmente relevantes.
Para o mercado brasileiro, onde a Binance oferece serviços a investidores em criptoativos, a investigação interessa tanto aos usuários da plataforma quanto às instituições que desenvolvem estruturas próprias de custódia e tokenização.
Até o momento, não há informação confirmada de que o ataque tenha comprometido especificamente contas ou credenciais de clientes brasileiros.
A pergunta central ainda depende de resposta
O relatório técnico prometido pela Binance deverá esclarecer como o invasor conseguiu transformar o comprometimento de um equipamento corporativo em operações capazes de movimentar bilhões de dólares.
Será especialmente importante identificar quais sistemas receberam as solicitações, como as transações foram autorizadas e quais controles criptográficos e operacionais estavam envolvidos.
Também será necessário determinar se as chaves privadas permaneceram protegidas durante todo o incidente e se os mecanismos de assinatura foram utilizados de maneira indevida.
O episódio evidencia uma distinção fundamental para a segurança da custódia digital: uma transação pode ser criptograficamente válida e, ainda assim, não representar uma operação legitimamente autorizada pelo proprietário dos recursos.
É nessa diferença entre validade criptográfica e autorização operacional que se concentra uma das principais questões técnicas levantadas pelo ataque à Binance.
Binance anuncia nova solução durante o Blockchain.Rio
Binance solicita licença ao Banco Central para operar com ativos virtuais no Brasil
Binance se associa à ABcripto em momento de amadurecimento do mercado brasileiro de ativos virtuais
Acompanhe artigos sobre Criptoativos, Tokenização, Criptomoedas em nossa coluna Crypto News!
Criptografia Forte é o Padrão que Mantém Bilhões de Pessoas Seguras Todos os Dias! Leia sobre Criptografia no canal que fala a sua língua! Acesse agora mesmo!
Conheça a coluna Cibersegurança.
Conselheiro de administração ou CISO? Leia também: Orçamento 2027: guia da NACD ensina CISOs a falar a língua do conselho.
