O hack da Binance foi ligado ao Grupo Lazarus da Coreia do Norte por investigadores de blockchain, que suspeitam que os hackers apoiados pelo Estado roubaram aproximadamente US$ 6,3 bilhões da exchange de criptomoedas em 29 de outubro.
Resumo
- A TRM Labs ligou o hack de US$ 6,3 bilhões da Binance à unidade de hacking TraderTraitor da Coreia do Norte com alta confiança.
- O CEO da Blockaid, Ido Ben-Natan, disse que os atacantes moveram pelo menos US$ 3,5 bilhões por quatro blockchains em menos de uma hora.
- Os investigadores rastrearam o roubo até controles de assinatura de transações comprometidos, incluindo 50 autorizações Ethereum direcionadas a uma única hot wallet.
- A Binance relatou aproximadamente US$ 3 bilhões em ativos congelados e prometeu cobrir as perdas dos clientes.
- Os saques permanecem suspensos durante as atualizações de segurança, com a Binance esperando que os serviços sejam retomados em até 48 horas.
De acordo com a TRM Labs, seus investigadores atribuíram o ataque ao TraderTraitor, uma unidade de hacking norte-coreana associada ao Lazarus, com alta confiança. O investigador de blockchain ZachXBT identificou separadamente o Lazarus como o provável atacante, embora a Binance não tenha confirmado quem realizou o roubo.
Em comentários ao crypto.news, Ido Ben-Natan, cofundador e CEO da empresa de segurança de blockchain Blockaid, disse que o ataque superou roubos anteriores de criptomoedas em escala.
“Este é o maior hack de criptomoedas da história. Nossa análise mostra que pelo menos US$ 3,5 bilhões saíram das hot wallets da Binance em Ethereum, Arbitrum, Optimism e Avalanche em menos de uma hora, mais que o dobro do roubo da Bybit em fevereiro de 2025”, disse Ben-Natan.
Ele observou que os investigadores identificaram transferências adicionais envolvendo Bitcoin e Tron, enquanto sua equipe continuava rastreando os ativos roubados.
Enquanto isso, a plataforma de rastreamento de blockchain Onchain Lens relatou que o atacante da Binance havia transferido 17.260 ETH, no valor de aproximadamente US$ 38,82 milhões, para uma nova carteira em meio a preocupações de que os fundos pudessem ser lavados por meio do Tornado Cash ou outros mixers de criptomoedas.
Segundo o rastreador, o atacante ainda controlava quase 480.720 ETH, avaliados em US$ 1,08 bilhão, que não podem ser congelados por um emissor de tokens. A carteira receptora foi identificada como 0x03b0eE5d82990cFF1bDa48651AC3e436d1a020ea.
Grupo Lazarus é suspeito enquanto hack da Binance atinge dez blockchains
A investigação da TRM rastreou cerca de US$ 6,36 bilhões saindo de carteiras controladas pela Binance em dez redes blockchain, incluindo Ethereum, Bitcoin, Tron, Solana e o XRP Ledger.
A maior parte dos fundos roubados foi movida em um intervalo de cerca de 20 minutos, começando às 20:05 UTC. Cerca de US$ 3,79 bilhões foram transferidos em Ethereum, enquanto Bitcoin e Tron responderam por outros US$ 1,47 bilhão e US$ 628 milhões, respectivamente.
Os investigadores identificaram 233,46 milhões de XRP, no valor de quase US$ 296 milhões, saindo de cinco carteiras da Binance antes do início do ataque ao Ethereum.
A empresa de segurança disse que os preparativos começaram pelo menos 36 horas antes do roubo. Uma carteira controlada pelo atacante recebeu três pequenos saques do Tornado Cash e testou código malicioso antes de atacar a Binance.
A TRM ligou a atividade ao TraderTraitor usando transações de blockchain e outras inteligências, embora não tenha divulgado publicamente todas as evidências por trás de sua atribuição.
O FBI já havia identificado que o TraderTraitor foi responsável pelo roubo da Bybit em fevereiro de 2025, no qual aproximadamente US$ 1,5 bilhão foi drenado da exchange. As autoridades dos EUA acusaram as operações de hacking da Coreia do Norte de roubar criptomoedas para ajudar a financiar os programas de armas do país.
Blockaid explica como os atacantes acessaram as carteiras da Binance
A investigação técnica da Blockaid identificou uma transação incomum no Ethereum contendo 50 autorizações EIP-7702 direcionadas à Binance 14, uma das hot wallets mais movimentadas da exchange.
O EIP-7702 permite que uma carteira Ethereum autorize código de contrato inteligente a operar em seu nome. O atacante preparou autorizações usando 50 contadores de transação consecutivos, aumentando a chance de que um deles correspondesse ao contador atual da carteira.
Apenas uma autorização teve sucesso, permitindo que um contrato malicioso transferisse ativos da carteira.
“O atacante efetivamente reprogramou uma importante hot wallet Ethereum da Binance para que um único operador pudesse drená-la, incluindo qualquer novo dinheiro depositado nela”, explicou Ben-Natan ao crypto.news.
O atacante transferiu aproximadamente US$ 2,5 bilhões da Binance 14, incluindo 167.464 ETH e mais de 1,6 bilhão de USDT. Transferências subsequentes visaram fundos recém-recebidos.
Os investigadores encontraram outras carteiras da Binance movimentando ativos por meio de transações assinadas comuns em várias redes. A TRM acredita que o atacante pode ter obtido acesso à infraestrutura de assinatura de transações da exchange.
Binance identifica possível comprometimento de laptop enquanto US$ 3 bilhões são congelados
Em sua atualização de segurança, a Binance disse que sua investigação inicial apontou para o laptop comprometido de um engenheiro de DevOps que pode ter permitido acesso não autorizado a um contêiner de serviço interno.
A exchange não encontrou evidências de vazamento de chaves privadas e afirmou que publicará uma investigação detalhada assim que a causa for estabelecida.
O CEO da Tether, Paolo Ardoino, confirmou o congelamento de mais de 1,567 bilhão de USDT, enquanto o CEO da Circle, Jeremy Allaire, relatou o congelamento de mais de 800 milhões de USDC. O Conselho de Segurança da Arbitrum assegurou aproximadamente 74,6 milhões de ARB e 8.425 ETH vinculados ao atacante.
Saques da Binance permanecem pausados
A Binance prometeu cobrir as perdas usando seu fundo SAFU e recursos da empresa, enquanto trabalha com as autoridades policiais e investigadores de blockchain.
Ao mesmo tempo, a exchange disse que os depósitos permaneceram operacionais, mas os saques permaneceriam pausados enquanto ela atualizava os sistemas de saque e os controles de endereços.
A Binance espera que os saques sejam retomados em até 48 horas e afirmou que um relatório completo sobre a causa do ataque será divulgado em seguida.
Os mercados de criptomoedas também sofreram pressão de venda após o hack, com o Bitcoin caindo brevemente abaixo de US$ 77.000. As liquidações totais no mercado de derivativos ultrapassaram US$ 1,5 bilhão em 24 horas.
