Hack da Binance em 2026: o maior ataque hacker de criptomoedas da história

A Binance afirmou aos seus clientes que o dinheiro deles estava seguro. No entanto, as carteiras que foram esvaziadas apareceram na própria lista de ativos da exchange, publicada quatro semanas antes, que garantia a segurança desses clientes. Ambas as afirmações podem ser verdadeiras simultaneamente, e a discrepância entre elas é o fator mais importante para entender o ataque hacker à Binance em 2026.

Primeiro os fatos. Na noite de 29 de outubro, um ataque drenou carteiras online da Binance, a maior corretora de criptomoedas do mundo, em cerca de dez blockchains. A Binance estima o prejuízo em cerca de US$ 6,3 bilhões, a maior parte movimentada em aproximadamente 20 minutos. Isso torna este o maior ataque hacker a criptomoedas da história, cerca de quatro vezes maior que o roubo da Bybit em 2025. A Binance suspendeu depósitos e saques e prometeu cobrir todas as perdas.

Alguns dos números abaixo podem mudar. A notícia tem dois dias e a Binance ainda não publicou sua análise pós-evento; considere cada número como um retrato do período de 30 e 31 de outubro.

O que aconteceu no ataque hacker à Binance em 2026, minuto a minuto

A velocidade era a arma aqui. Mas essa velocidade foi conquistada com paciência, e é a paciência que faz com que isso pareça uma operação profissional, e não um golpe de sorte.

Vinte minutos em dez blockchains

De acordo com a empresa de análise de blockchain TRM Labs, o atacante começou a financiar carteiras por meio do Tornado Cash, um serviço de mistura que oculta a origem das moedas, na manhã de 28 de outubro. Isso ocorreu pelo menos 36 horas antes de uma única moeda sair da Binance.

Os primeiros saques ocorreram às 20h05 UTC do dia 29 de outubro, na XRP Ledger. O Bitcoin seguiu às 20h20 UTC. No mesmo minuto, o atacante enviou 50 solicitações de autorização para uma carteira quente da Binance na rede Ethereum. Cerca de três minutos e meio depois, essa carteira foi completamente esvaziada em uma única transação. Outros saques continuaram até às 23h56 UTC, com uma segunda onda na Avalanche e na Polygon por volta das 23h05 UTC.

Pouco antes da meia-noite UTC, tudo havia terminado.

De onde vieram os US$ 6,3 bilhões?

O dinheiro não veio de um único lugar. Veio de carteiras online em pelo menos dez redes, o que indica que o atacante tinha algum tipo de acesso ao sistema de saques da Binance em várias blockchains simultaneamente.

Fonte: TRM Labs, dados de 30 de outubro, 00h30 UTC.

Você verá totais diferentes nas notícias, e isso é normal. A Binance fala em cerca de US$ 6,3 bilhões. A TRM Labs contabiliza US$ 6,36 bilhões no momento do roubo. A Chainalysis estima aproximadamente US$ 6,4 bilhões, e a Elliptic, US$ 6,43 bilhões em 11 blockchains. A diferença se deve ao momento da precificação e às blockchains incluídas por cada empresa; ninguém contesta o que aconteceu.

Como o EIP-7702 fez com que uma carteira quente da Binance se voltasse contra si mesma.

A parte do ataque à Binance relacionada ao Ethereum é engenhosa e atraiu a maior parte da atenção. No entanto, por si só, essa explicação é incompleta.

Carteiras quentes e armazenamento a frio, em termos simples.

Uma corretora armazena criptomoedas da mesma forma que uma loja armazena dinheiro em espécie. A maior parte fica em um cofre, que no contexto de criptomoedas é chamado de " armazenamento a frio ": as chaves são mantidas offline e sua movimentação é deliberadamente lenta. Uma quantia menor fica no caixa para que os clientes possam sacar rapidamente. Esse caixa é a carteira quente, conectada aos sistemas da corretora e capaz de assinar transações sob demanda.

As carteiras online (hot wallets) são projetadas para armazenar uma fração do total de ativos. No entanto, em uma corretora do porte da Binance, essa fração ainda pode representar bilhões de dólares.

Cinquenta assinaturas e uma falha na teoria

A EIP-7702 é uma atualização do Ethereum que entrou em vigor com a atualização Pectra em maio de 2025. Ela permite que uma carteira comum delegue o controle de suas ações a um código de contrato inteligente, desde que a carteira assine uma autorização. Pense nisso como uma procuração para uma conta bancária.

O atacante usou exatamente isso. A TRM Labs relata que o atacante preparou 50 autorizações assinadas, cada uma vinculada a um contador de transações diferente, de forma que uma delas correspondesse ao estado atual da carteira. E uma delas correspondeu. A carteira online então executou o código "varredor" do atacante e enviou seus tokens em uma única ação. O co-CEO da Binance, Richard Teng, afirmou que a delegação contornou os controles de aprovação normais da exchange.

Eis a parte que não faz sentido para mim. O EIP-7702 existe apenas no Ethereum e em blockchains compatíveis. Ele não explica como 18.270 BTC saíram de uma carteira Bitcoin, ou como os fundos Tron e XRP foram movimentados. Essas transações exigiram transferências assinadas comuns, o que sugere que o atacante acessou a própria infraestrutura de assinatura da Binance.

A própria Binance já mudou de versão. Sua primeira atualização — publicada poucas horas após o roubo — atribuiu a culpa a um único laptop comprometido, pertencente a um engenheiro de DevOps, que teria dado acesso a um contêiner de serviço, e afirmou que "não havia evidências de vazamento de chave privada". Um dia depois, a exchange disse ter encontrado "pontos adicionais de violação". Nenhuma das versões está necessariamente errada. Mas uma história que muda em 24 horas é motivo para aguardar a análise completa do incidente antes de tirar conclusões definitivas.

A Binance afirma que seus fundos estão seguros. Leia as letras miúdas.

Para os usuários comuns, o ataque hacker à Binance em 2026 se resume a uma frase da corretora, repetida em todas as atualizações. A mensagem da Binance tem sido consistente: os fundos dos clientes estão seguros e a corretora cobrirá todas as perdas com seu fundo de emergência e recursos da empresa. Não tenho motivos para acreditar que a corretora deixará de pagar. A questão é: que tipo de promessa é essa?

O que a SAFU pode e não pode cobrir

A Binance afirma ter reservado US$ 6,34 bilhões para cobrir o ataque hacker, dos quais cerca de US$ 5 bilhões já estão em tokens afetados. A empresa está comprando o restante no mercado e por meio de mesas de negociação de balcão. Os ativos congelados não estão incluídos nesse valor.

O Fundo de Ativos Seguros para Usuários (SAFU, na sigla em inglês) é mencionado com frequência. Ele é menor do que muitos imaginam. A Binance o descreve como tendo aproximadamente US$ 1 bilhão, e sua carteira Bitcoin on-chain detém cerca de 15.000 BTC, equivalentes a cerca de US$ 1,17 bilhão aos preços de sexta-feira. Sean Farrell, da Fundstrat, estima que o SAFU poderia cobrir cerca de um terço das perdas não congeladas. O restante provém do próprio balanço patrimonial da Binance.

Esse é um ótimo resultado se o balanço patrimonial for sólido. Ainda assim, as próprias regras da SAFU dão à Binance "total discricionariedade" sobre os pagamentos, e advogados citados pela BBC alertaram que a promessa pode não ser juridicamente vinculativa. Uma promessa respaldada por bilhões ainda é uma promessa, não um contrato.

O problema da prova de reservas

A prova de reservas é uma lista pública de carteiras que uma corretora usa para demonstrar que possui pelo menos a mesma quantidade de criptomoedas que seus clientes depositaram. O CoinDesk verificou o relatório da Binance de 1º de outubro e constatou que a carteira Ethereum esvaziada, identificada como Binance 14, estava listada nele.

Os aproximadamente 204.500 ETH roubados no ataque à Binance representavam cerca de 5,6% do Ether que a Binance listava como lastro para os clientes. Até que esse Ether fosse reposto, as reservas de ETH representavam cerca de 94% dos saldos dos clientes, em vez de mais de 100%. A Binance pode repor esse valor rapidamente, e seu lastro em USDC estava em 108%. Mas a afirmação "os fundos dos clientes não foram afetados" é melhor interpretada como "os clientes não arcarão com o prejuízo", o que é uma afirmação diferente.

Para ser justo, Farrell não vê nenhum risco significativo para a solvência. Seu teste é simples: a rapidez com que os saques são retomados e se as saídas de recursos permanecem ordenadas.

O ataque hacker à Binance congelou as criptomoedas: por que as stablecoins voltaram a funcionar e o Bitcoin não?

O congelamento foi a única parte dessa história que funcionou, e funcionou por um motivo que os puristas das criptomoedas costumam detestar.

As stablecoins, como USDT e USDC, são emitidas por empresas que controlam o contrato do token. Elas podem congelar, queimar e reemitir tokens. A TRM Labs registrou a seguinte resposta: a Tether congelou fundos às 21:01 UTC, a Circle às 21:04, a Ripple às 22:01, a World Liberty Financial às 22:10 e o Conselho de Segurança da Arbitrum logo após a meia-noite.

Segundo a Elliptic, US$ 2,84 bilhões estão agora congelados, cerca de 44% do valor roubado, e quase tudo em stablecoins. A própria Binance estima que o valor chegue perto de US$ 3 bilhões.

Bitcoin e ether não têm emissor. Ninguém pode desligá-los. A TRM estima que aproximadamente US$ 2,4 bilhões em BTC e ETH permaneçam sob o controle do atacante. Os investigadores podem rastrear essas moedas em blockchains públicas e tentar interceptá-las em corretoras, mas isso leva tempo.

Mesmo o dinheiro congelado não é devolvido da noite para o dia. Em declarações à CNBC, Ari Redbord, da TRM Labs, afirmou que o congelamento "impede a movimentação do dinheiro", enquanto a recuperação exige uma ordem judicial. Eric Jardine, chefe de pesquisa da Chainalysis, disse que a devolução dos fundos "pode levar meses ou anos".

Como o ataque hacker à Binance se classifica entre os maiores da história

As manchetes têm se concentrado no tamanho do recorde. O padrão por trás dele preocupa mais os analistas da TRM Labs e da Elliptic, pois eles o monitoraram diversas vezes este ano.

Tanto a TRM Labs quanto a Chainalysis atribuem o ataque, com alto grau de certeza, ao TraderTraitor, um grupo de hackers apoiado pelo Estado norte-coreano. Parte das evidências está na blockchain: os lucros da Binance foram misturados com fundos roubados da Bitget um mês antes. A Elliptic é mais cautelosa, e nenhum governo fez uma atribuição formal ainda. A própria Binance não nomeou nenhum culpado.

O método é conhecido: longa preparação, transações assinadas antecipadamente e, em seguida, um ataque massivo antes que alguém possa reagir. O mesmo padrão apareceu na Bybit, KelpDAO e Bitget. Segundo a TRM, a Coreia do Norte roubou US$ 12,8 bilhões em criptomoedas desde 2017, sendo US$ 7,4 bilhões somente em 2026, cerca de 85% do valor total roubado em ataques neste ano. O setor conhece essa estratégia há pelo menos 20 meses. Mesmo assim, funcionou na maior corretora do mundo.

Notícias do mercado e da política após o ataque hacker à Binance.

Para os padrões das criptomoedas, os mercados reagiram com calma à queda. A CNBC noticiou que o Bitcoin caiu 4,1%, para cerca de US$ 77.446 na sexta-feira, enquanto o Ether recuou 4,4% e o BNB, 6%, para aproximadamente US$ 701. Mais de US$ 1,6 bilhão em posições alavancadas foram liquidadas nas últimas 24 horas, segundo dados da CoinGlass.

A resposta política foi imediata. O FBI afirmou estar ciente do incidente, e o Serviço Secreto dos EUA disse estar trabalhando com a Circle. O presidente da CFTC, Michael Selig, disse que o ataque "comprova exatamente o nosso argumento" a respeito da proposta da agência, de 5 de outubro, que exige que as corretoras offshore que atendem cidadãos americanos se registrem. A Binance.US, uma empresa independente, afirmou não ter sido afetada.

O que os usuários da Binance devem fazer enquanto os saques estiverem pausados

Após o ataque hacker à Binance, a ameaça que a maioria dos usuários enfrentará esta semana vem de golpistas. Eles seguem cada grande ataque hacker a criptomoedas com mensagens falsas de "saques normalizados" e formulários de "reembolso" que solicitam seu login ou frase de recuperação.

A Binance afirma que pretende retomar os saques no domingo, 1º de novembro, e publicar um relatório completo de reservas até segunda-feira, 2 de novembro. Até lá, algumas medidas sensatas:

• Use apenas o aplicativo oficial da Binance ou o site que você digitar diretamente. Ignore links em mensagens diretas, e-mails e anúncios de busca.
• Analise as chaves de API da sua conta, os dispositivos em que iniciou sessão e a lista de dispositivos permitidos para levantamentos e remova tudo o que não reconhecer.
• Nunca compartilhe sua frase de recuperação ou código de autenticação de dois fatores. Nenhum agente de suporte legítimo solicitará essa informação.
• Quando os saques forem reabertos, verifique a rede e o endereço duas vezes. Transferências apressadas acarretam perdas.

Há também uma lição a longo prazo. As criptomoedas que você planeja manter por anos não precisam ficar em nenhuma corretora. Uma carteira de hardware que você controla elimina toda essa categoria de risco digital, embora adicione um novo: você se torna responsável por suas próprias chaves.

O veredito sobre o ataque hacker à Binance em 2026: uma promessa, não uma garantia.

A Binance provavelmente ressarcirá todos os seus clientes integralmente. Ela tem o dinheiro e todos os motivos comerciais para fazê-lo. Essa é a parte tranquilizadora.

O problema é que os usuários estão confiando na boa vontade da Binance, e não em uma obrigação legal, e que a versão da exchange sobre como ocorreu a violação já mudou uma vez. A análise posterior revelará se foi apenas um laptop defeituoso ou algo mais profundo relacionado à forma como a maior exchange do mundo registra suas transações.

Portanto, aqui está a pergunta que vale a pena fazer a qualquer plataforma que detenha suas criptomoedas após o ataque hacker à Binance: se ela perdesse bilhões amanhã, quanto exatamente você receberia e de quem? Se você não sabe a resposta, esta semana é um bom momento para descobrir.

Marco Lucchetti

Marco Lucchetti is a senior content strategist and blockchain analyst at Plisio. With over 7 years of experience in cryptocurrency research, DeFi protocols, and payment technologies, Marco specializes in creating clear, data-driven content for a global crypto audience. His work focuses on transaction tracing, crypto compliance, and the future of blockchain infrastructure.