O roubo da Binance, que provocou perdas estimadas em US$ 6,3 bilhões (aproximadamente R$ 34,15 bilhões), foi oficialmente atribuído pelo Federal Bureau of Investigation (FBI) a operadores cibernéticos ligados à Coreia do Norte. Em comunicado divulgado em 31 de outubro de 2026, a agência identificou o grupo responsável como TraderTraitor, uma unidade de hackers patrocinada pelo Estado norte-coreano e associada ao ecossistema de ameaças conhecido como Lazarus Group.
O ataque aconteceu em 29 de outubro e atingiu carteiras utilizadas pela Binance para processar transações. A dimensão financeira transformou o episódio no maior roubo de criptomoedas já registrado, superando incidentes anteriores envolvendo grandes exchanges. Mais preocupante do que o valor perdido foi o caminho utilizado pelos criminosos: a investigação inicial da plataforma apontou para o comprometimento do notebook de um engenheiro de DevOps, que teria permitido o acesso a um contêiner de serviços internos e a execução de saques não autorizados.
Enquanto as autoridades norte-americanas trabalham para rastrear os ativos, os invasores convertem os valores roubados principalmente em Ethereum (ETH), preparando novas etapas de lavagem por meio de protocolos descentralizados. A Binance, por sua vez, comprometeu recursos próprios e do fundo de proteção aos usuários para cobrir as perdas, além de anunciar a retomada gradual dos saques. O caso expõe um problema que vai muito além do mercado de criptomoedas: uma estação de trabalho comprometida pode se transformar em uma porta de entrada para sistemas financeiros de enorme escala.
Como aconteceu o roubo da Binance por meio de um engenheiro de DevOps
O primeiro detalhe técnico divulgado pela Binance aponta para o comprometimento do notebook de um engenheiro de DevOps. A informação foi apresentada pela exchange em 30 de outubro, quando explicou que o equipamento poderia ter permitido ao invasor alcançar um contêiner de serviços e enviar transações de retirada sem autorização.
Esse tipo de profissional costuma trabalhar diretamente com infraestrutura de produção, automação, implantação de aplicações e administração de serviços. Por isso, seu ambiente de desenvolvimento pode concentrar acessos que representam um risco significativo quando não estão adequadamente isolados.
Um notebook corporativo utilizado por um engenheiro de infraestrutura pode ter sessões autenticadas, tokens de acesso, certificados, credenciais temporárias e permissões para interagir com sistemas internos. Se um criminoso consegue controlar esse dispositivo, pode tentar utilizar os privilégios legítimos do funcionário para avançar pela rede.
No caso da Binance, o acesso ao ambiente interno permitiu alcançar componentes envolvidos no processamento de operações financeiras. A análise de registros da blockchain indica que os criminosos conseguiram movimentar aproximadamente US$ 6,3 bilhões (R$ 34,15 bilhões), com a maior parte das transferências concentrada em cerca de 20 minutos.
O ataque atingiu carteiras quentes, conhecidas como hot wallets, utilizadas pelas exchanges para atender às operações cotidianas dos clientes. Essas carteiras permanecem conectadas à infraestrutura operacional, o que permite maior agilidade nas movimentações, mas também exige controles rigorosos para impedir acessos indevidos.
É importante observar que a Binance não apresentou, até o momento do comunicado, uma reconstrução técnica completa da invasão. A própria empresa informou que a investigação encontrou outros pontos de comprometimento além da suspeita inicial envolvendo o notebook. Portanto, não é correto tratar toda a cadeia de exploração como definitivamente esclarecida.
A anatomia técnica da invasão: contêineres e credenciais comprometidas
O acesso a um contêiner de serviços é um dos aspectos mais relevantes para profissionais de segurança da informação. Tecnologias como Docker e Kubernetes permitem empacotar aplicações, distribuir cargas de trabalho e isolar processos em ambientes controlados. Entretanto, contêineres não são barreiras absolutas contra invasões.
Quando um atacante compromete uma estação de trabalho privilegiada, pode tentar utilizar as credenciais disponíveis para alcançar APIs internas, serviços de gerenciamento e componentes de infraestrutura. Se as permissões estiverem excessivamente amplas, o comprometimento de um único equipamento poderá produzir consequências muito maiores do que o esperado.
A análise divulgada pela empresa de inteligência blockchain TRM Labs apontou para o comprometimento da infraestrutura responsável por autorizar a assinatura de transações. Em termos simples, isso significa que os criminosos podem ter conseguido manipular o mecanismo que permite às carteiras executar transferências, sem necessariamente obter as chaves privadas originais.
Essa diferença é fundamental. A Binance declarou não ter encontrado evidências de vazamento das chaves privadas das carteiras. Isso não significa que a infraestrutura estivesse protegida, mas indica que os invasores podem ter explorado outro componente do processo de autorização.
O incidente demonstra por que a segurança de uma exchange precisa considerar toda a cadeia de execução das operações financeiras. Proteger apenas as carteiras, os contratos inteligentes e a interface de acesso dos clientes não é suficiente quando serviços internos também possuem capacidade de autorizar movimentações.
Para reduzir esse risco, administradores devem adotar menor privilégio, autenticação entre serviços, segmentação de rede, rotação de credenciais e monitoramento de atividades administrativas. Operações financeiras de alto impacto também precisam de mecanismos independentes de aprovação e limites de movimentação.
Operação DreamJob: como o Lazarus Group utiliza falsas vagas para atacar desenvolvedores
O comprometimento de um profissional de DevOps também chama atenção para o histórico de engenharia social associado ao Lazarus Group. Uma das campanhas conhecidas desse ecossistema é a Operação DreamJob, que utiliza falsas oportunidades profissionais para atingir trabalhadores do setor de tecnologia.
Nesse tipo de operação, criminosos se apresentam como recrutadores de empresas conhecidas e entram em contato com desenvolvedores por plataformas profissionais, incluindo o LinkedIn. Depois de estabelecer uma relação de confiança, enviam descrições de vagas, documentos e supostos desafios de programação.
O objetivo é convencer a vítima a executar arquivos ou projetos preparados para instalar malware. Em determinadas campanhas, os criminosos utilizam repositórios aparentemente legítimos e códigos que escondem rotinas maliciosas.
A abordagem é perigosa porque explora uma atividade comum na rotina de desenvolvedores: testar aplicações, instalar dependências e executar códigos recebidos de terceiros. Uma simples avaliação técnica pode se transformar em uma oportunidade de comprometimento do equipamento corporativo.
O FBI já associou operações anteriores do TraderTraitor a ataques contra empresas de criptomoedas. Um dos casos mais conhecidos foi o roubo da exchange Bybit, em fevereiro de 2025, quando aproximadamente US$ 1,5 bilhão (R$ 8,13 bilhões) em ativos digitais foi levado por hackers norte-coreanos.
Entretanto, é necessário separar o histórico do grupo dos detalhes específicos do incidente atual. A atribuição oficial do FBI identifica o TraderTraitor como responsável pelo ataque à Binance, mas não confirma que a Operação DreamJob tenha sido o método utilizado para infectar o engenheiro envolvido neste caso.
Resposta da Binance, impacto aos usuários e o destino do dinheiro roubado
Depois de identificar o incidente, a Binance iniciou uma operação de contenção para impedir novas movimentações não autorizadas. A resposta envolveu equipes internas de segurança, empresas especializadas em análise de blockchain, emissores de stablecoins e autoridades norte-americanas.
O FBI informou que os operadores do TraderTraitor estavam convertendo os recursos roubados principalmente em Ethereum (ETH). A estratégia preocupa porque os criminosos podem utilizar diferentes protocolos e serviços para fragmentar os valores, dificultando a identificação dos destinatários e a recuperação dos ativos.
Entre os mecanismos que podem ser utilizados estão plataformas de finanças descentralizadas (DeFi) e serviços de troca instantânea de criptomoedas. Essas ferramentas permitem converter ativos e movimentá-los entre diferentes redes, criando uma cadeia de transações que exige análise especializada.
O FBI, em conjunto com o Serviço Secreto dos Estados Unidos (USSS) e a divisão de investigação criminal da Receita Federal norte-americana (IRS-CI), publicou uma relação com 628 endereços de criptomoedas associados aos operadores do ataque.
A lista reúne:
- 608 endereços Ethereum;
- 19 endereços Bitcoin;
- 1 endereço Solana.
As autoridades pediram que exchanges, operadores de nós RPC, serviços de troca instantânea, plataformas DeFi e empresas de análise de blockchain monitorem e bloqueiem transações relacionadas aos endereços identificados, quando houver capacidade técnica e respaldo para isso.
A iniciativa demonstra como a transparência das redes blockchain pode ajudar investigações financeiras. Mesmo quando os criminosos movimentam recursos entre diversas carteiras, as transações deixam registros públicos que permitem reconstruir parte do caminho percorrido pelos ativos.
Entretanto, identificar uma carteira não significa recuperar automaticamente o dinheiro. O bloqueio depende de mecanismos disponíveis em cada rede, da participação de intermediários e da cooperação entre empresas e autoridades.
Binance utiliza reservas próprias para cobrir as perdas
A resposta financeira da exchange foi um dos pontos mais importantes para reduzir o impacto sobre os clientes. Em seu comunicado de 30 de outubro, a Binance informou que assumiria integralmente as perdas, utilizando recursos corporativos e o Secure Asset Fund for Users (SAFU), fundo criado para proteger os usuários em situações excepcionais.
Naquele momento, a empresa declarou ter separado mais de US$ 6,34 bilhões (R$ 34,37 bilhões) em recursos para cobrir o incidente. Desse montante, aproximadamente US$ 5 bilhões (R$ 27,11 bilhões) já estavam disponíveis nas mesmas criptomoedas afetadas pelo ataque.
A Binance também informou que aproximadamente US$ 3 bilhões (R$ 16,26 bilhões) em ativos roubados haviam sido congelados na blockchain, mediante cooperação com emissores de tokens e parceiros do setor.
Em 1º de novembro, a exchange anunciou que havia coberto aproximadamente 95% das perdas, equivalentes a cerca de US$ 5,985 bilhões (R$ 32,45 bilhões), considerando o prejuízo inicial estimado em US$ 6,3 bilhões.
Os 5% restantes correspondiam a ativos com menor liquidez, que exigiam mais tempo para serem adquiridos nas quantidades necessárias.
É importante diferenciar duas situações: cobrir as perdas dos clientes não significa recuperar todo o dinheiro roubado. A Binance pode recompor os saldos utilizando suas próprias reservas mesmo que parte dos ativos continue sob controle dos invasores.
Retomada gradual dos saques e situação dos usuários
A suspensão temporária dos saques foi uma das consequências mais imediatas do ataque. A medida permitiu que a empresa realizasse verificações adicionais, revogasse autorizações comprometidas e reforçasse os controles da infraestrutura.
A Binance informou que os depósitos e outros serviços não afetados continuaram funcionando durante a interrupção.
Em 1º de novembro, a empresa anunciou a retomada gradual dos saques. A primeira fase foi programada para começar entre 6h e 9h UTC, contemplando ativos como Bitcoin, Ethereum, BNB, Solana, XRP e Dogecoin, além de outras criptomoedas.
A liberação seria realizada por etapas, conforme as verificações de segurança fossem concluídas. Portanto, o anúncio de retomada não deve ser interpretado como garantia de disponibilidade simultânea de todos os ativos, redes e funcionalidades.
Para os clientes, a recomendação é consultar diretamente a disponibilidade de cada criptomoeda na plataforma e acompanhar os comunicados oficiais. Também é importante evitar links recebidos por mensagens privadas que prometam acelerar saques ou oferecer compensações especiais.
Lições do roubo da Binance para a segurança de infraestruturas cripto
O ataque deixa uma lição importante para o mercado: a segurança de uma exchange não depende exclusivamente da proteção das carteiras digitais. O comprometimento de uma estação de trabalho privilegiada pode abrir caminho para sistemas internos capazes de autorizar operações financeiras de enorme impacto.
O mesmo risco existe em empresas tradicionais que utilizam ambientes de nuvem, pipelines de integração contínua, ferramentas de automação e infraestrutura baseada em contêineres.
Para equipes de DevOps, SysAdmins e profissionais de segurança da informação, o incidente reforça a necessidade de adotar uma arquitetura de Zero Trust, ou confiança zero. Nesse modelo, nenhum usuário, dispositivo ou serviço recebe confiança automática apenas por estar conectado à rede corporativa.
Entre as principais medidas preventivas estão:
- Isolamento de credenciais: evitar armazenar tokens, chaves de API e certificados de produção em notebooks utilizados para desenvolvimento.
- Privilégio mínimo: conceder somente as permissões necessárias para cada usuário, aplicação e serviço.
- Autenticação resistente a phishing: adotar mecanismos capazes de dificultar o roubo e a reutilização de credenciais.
- Proteção de endpoints: monitorar notebooks corporativos, detectar comportamentos suspeitos e impedir a execução de códigos não autorizados.
- Segurança de contêineres: restringir permissões, segmentar serviços e proteger APIs de gerenciamento do Docker e Kubernetes.
- Separação de funções: exigir aprovações independentes para operações financeiras de alto impacto.
- Monitoramento de transações: estabelecer limites de movimentação, alertas de anomalias e mecanismos automáticos de interrupção.
Os processos seletivos também precisam receber atenção. Empresas de tecnologia devem orientar seus funcionários sobre falsas oportunidades de emprego, repositórios desconhecidos e testes de programação enviados por supostos recrutadores.
O histórico do Lazarus Group mostra que a engenharia social pode atingir até mesmo profissionais altamente especializados. Nesse cenário, treinamento de segurança precisa fazer parte da rotina de desenvolvedores e administradores, e não ficar restrito aos departamentos corporativos de TI.
O caso também evidencia como ataques patrocinados por Estados podem transformar o mercado de criptomoedas em uma fonte de financiamento ilícito. A atribuição oficial do FBI ao TraderTraitor reforça a necessidade de cooperação internacional entre exchanges, autoridades policiais, emissores de ativos digitais e empresas de inteligência blockchain.
Para o setor, o episódio deve servir como um alerta sobre a concentração de privilégios em ambientes de produção. Uma infraestrutura pode utilizar criptografia avançada, carteiras protegidas e monitoramento permanente, mas continuar vulnerável quando as credenciais de um único profissional permitem alcançar componentes críticos.
O roubo da Binance deixa uma pergunta importante para todo o setor de tecnologia: até que ponto uma infraestrutura pode ser considerada segura quando um único dispositivo comprometido consegue abrir caminho para operações financeiras de bilhões de dólares?
A resposta passa por uma mudança de abordagem. Não basta proteger o perímetro da rede. É necessário tratar cada identidade, dispositivo, credencial e serviço como um possível ponto de comprometimento.
Você acredita que exchanges e empresas de tecnologia estão preparadas para enfrentar ataques que exploram os próprios profissionais e ferramentas de infraestrutura? Compartilhe sua opinião nos comentários e acompanhe o SempreUpdate para mais notícias sobre cibersegurança, Linux, DevOps e tecnologia.
Conversões utilizadas no artigo: dólar comercial pela cotação PTAX de venda do Banco Central de 30 de outubro de 2026, último dia útil disponível em 1º de novembro de 2026: US$ 1 = R$ 5,4212. Os valores em reais são aproximados e não incluem custos cambiais.
