Binance perde US$ 6,3 bilhões para hackers, quase tudo em 20 minutos

A Binance, maior corretora de criptomoedas do mundo, perdeu cerca de US$ 6,3 bilhões para hackers que esvaziaram suas carteiras online em dez blockchains — a maior parte do montante em aproximadamente 20 minutos. É o maior roubo de criptomoedas já registrado, cerca de quatro vezes o recorde anterior, de US$ 1,5 bilhão levado da concorrente Bybit. A Binance suspendeu os saques enquanto investiga como os invasores conseguiram entrar. Por enquanto, quem tem moedas na plataforma não pode retirá-las.

A corretora afirma que os clientes não terão de arcar com o prejuízo. “A Binance cobrirá todas as perdas com o fundo SAFU e os recursos da empresa. Os fundos dos usuários estão seguros”, informou em comunicado, referindo-se ao Secure Asset Fund for Users, uma reserva de emergência criada para situações como essa. Os depósitos continuam funcionando normalmente. O problema é o acesso: até que os saques sejam retomados, o saldo na Binance é algo que você pode consultar, mas não transferir para outro lugar — exatamente o risco assumido por quem mantém criptomoedas em uma corretora, em vez de guardá-las em uma carteira sob seu próprio controle.

A primeira explicação da Binance apontou para uma única máquina. A investigação inicial indicou que o laptop comprometido de um engenheiro de DevOps permitiu que um invasor acessasse um contêiner de serviço e enviasse transações de saque não autorizadas. Horas depois, a empresa ampliou essa versão, afirmando ter “identificado outros pontos de violação” e classificando o incidente como um ataque complexo. O codiretor-executivo Richard Teng escreveu que “o invasor não usou simplesmente as permissões de um único engenheiro, e isso não foi uma ação isolada de ‘um clique’”. A Binance afirma não ter encontrado indícios de que uma chave privada de carteira tenha vazado.

Investigadores externos descrevem um roubo ensaiado com antecedência. A empresa de análise de blockchain TRM Labs rastreou cerca de US$ 6,36 bilhões saindo de carteiras da Binance em Ethereum, Bitcoin, Tron, XRP Ledger, Solana e outras cinco redes, além de encontrar testes do código do ataque em outras carteiras algumas horas antes do roubo. Como carteiras com diferentes tipos de chave e esquemas de assinatura produziram assinaturas válidas para o invasor em cerca de meia hora, a TRM conclui que, muito provavelmente, ele conseguiu fazer o próprio sistema de assinatura da Binance aprovar as transações que escolhesse.

A TRM atribui o ataque, com alto grau de confiança, ao TraderTraitor, grupo hacker norte-coreano ligado ao Estado que o FBI responsabilizou pelo roubo da Bybit. A Chainalysis chegou à mesma conclusão. A própria Binance não apontou um responsável.

A corrida para congelar o dinheiro começou em poucos minutos. As stablecoins podem ser bloqueadas pelas empresas que as emitem, e foi o que aconteceu: a Tether congelou cerca de 1,77 bilhão de USDT, a Circle, cerca de 825 milhões de USDC, e a Ripple, 40,5 milhões de RLUSD. Já o Conselho de Segurança da Arbitrum retirou à força aproximadamente US$ 30 milhões da carteira do invasor nessa rede, segundo a TRM. A Binance calcula que o total congelado tenha sido de cerca de US$ 3 bilhões. Bitcoin e Ether não têm um emissor capaz de congelá-los. Por isso, o invasor correu para trocar stablecoins por Ether, vendendo parte delas com desconto superior a 10% para tirá-las do alcance das autoridades.

É nesse ponto que as garantias começam a perder força. A TRM estima que o invasor ainda controla mais de 420 mil ETH e 18.270 BTC, cerca de US$ 2,4 bilhões que ninguém pode bloquear, e espera que os próximos movimentos passem por pontes entre blockchains, serviços de troca e corretoras de balcão. A Binance não informou quanto de sua reserva de emergência será consumido pelo prejuízo nem divulgou a causa-raiz do incidente. Por enquanto, a promessa de que os fundos dos usuários estão seguros depende da palavra da empresa — e “outros pontos de violação” não significam que a brecha tenha sido contida.

As corretoras são alvos atraentes porque mantêm moedas em nome dos clientes em carteiras quentes, conectadas à internet para que os saques sejam processados rapidamente. No mês passado, a Bitget perdeu US$ 387,5 milhões em um ataque que também atribuiu à Coreia do Norte. O mercado como um todo também sentiu o impacto: depois da notícia, Bitcoin e Ether caíram e, ao meio-dia em Hong Kong, eram negociados com baixas de cerca de 2% a 3%, segundo a CNN.

A suspensão também abre espaço para golpes. A Binance orientou os clientes a “ter cautela com golpes” e a “não confiar em links, mensagens ou pedidos não oficiais de informações da conta”. A corretora não anunciou nenhum processo de reembolso ou recuperação que peça senhas, códigos de verificação ou dados de carteira. Portanto, qualquer mensagem que ofereça agilizar um saque é golpe, seja qual for o logotipo usado. A Binance não informou se algum país ou rede terá o acesso restabelecido antes dos demais.

Os saques estão suspensos desde cerca de 22h15 UTC de 29 de outubro. Em uma atualização na manhã de 30 de outubro, a Binance afirmou que mantinha a previsão de retomá-los em aproximadamente 45 horas, o que aponta para o início do domingo, 1º de novembro, embora não tenha informado se todas as redes voltarão a funcionar ao mesmo tempo. A empresa prometeu publicar uma versão atualizada de seu Proof of Reserves assim que os reparos forem concluídos e uma análise técnica do incidente quando a investigação terminar.

Até lá, a maior corretora do setor de criptomoedas está pedindo aos clientes justamente aquilo que as criptomoedas foram criadas para tornar desnecessário: confiança.

Tags: cibersegurança, criptomoedas, Binance, Bybit, Richard Teng, TraderTraitor