TRM e Chainalysis ligam hack de US$ 6,4 bilhões da Binance ao grupo norte-coreano TraderTraitor

Três empresas de análise de blockchain atribuíram o hack da Binance desta semana à Coreia do Norte, com duas das maiores nomeando o TraderTraitor, um grupo de hackers norte-coreano, como responsável pelo que ambas descrevem como o maior roubo de criptomoedas já registrado.

TRM Labs disse que fez a atribuição "com alta confiança", com base em "inteligência robusta on-chain e off-chain". A empresa estimou o roubo em cerca de US$ 6,36 bilhões, movimentados das carteiras da Binance em 10 blockchains, a maior parte em cerca de 20 minutos a partir das 16h05 ET de quinta-feira. Isso é cerca de quatro vezes o hack de US$ 1,5 bilhão da Bybit de fevereiro de 2025, que o FBI atribuiu ao mesmo grupo, observou a TRM.

Chainalysis, que estimou o total em cerca de US$ 6,4 bilhões, disse que a evidência mais forte surgiu quando seus investigadores viram fundos roubados da Binance se misturando em tempo real com fundos do exploit da Bitget do mês passado, que havia sido atribuído a atores norte-coreanos.

Um porta-voz da Chainalysis disse à CNN que a empresa tinha "alta confiança" de que a Coreia do Norte estava por trás do hack. A Pangolin Intelligence, sediada em Singapura, também disse à CNN que acreditava que uma unidade de hackers norte-coreana era responsável, com base em "análise da atividade on-chain relacionada a este hack e correlação com informações coletadas de incidentes conhecidos anteriores". A Coreia do Norte já negou anteriormente alegações de hacking.

A TRM e a Chainalysis disseram que a carteira operacional do atacante foi financiada por meio do Tornado Cash, um mixer de criptomoedas. A TRM disse que essa e outras características, incluindo a preparação que começou bem antes do roubo, correspondiam a ataques anteriores ligados à Coreia do Norte, como o hack da Bybit e o exploit da KelpDAO de abril.

Como o ataque funcionou

No Ethereum, o atacante usou uma delegação EIP-7702, um recurso introduzido na atualização Pectra do Ethereum que permite que uma carteira comum execute código de contrato inteligente, para transformar uma hot wallet da Binance em um sweeper controlado por ele, com 50 autorizações pré-assinadas preparadas com antecedência, segundo a TRM. As carteiras da Binance nas outras nove redes enviaram fundos ao atacante por meio de transferências assinadas comuns. Na avaliação da TRM, isso aponta para um comprometimento da infraestrutura de assinatura da hot wallet da Binance.

A Binance disse que sua investigação começou com o laptop comprometido de um engenheiro, mas desde então descobriu "pontos adicionais de violação". O ataque à Bybit também começou com uma única máquina comprometida: hackers norte-coreanos plantaram código malicioso na infraestrutura do provedor de carteiras Safe após comprometerem o computador de um desenvolvedor da Safe, Decryptnoticiou na época.

O atacante agiu rapidamente para lavar o que não conseguiu manter. A Chainalysis afirmou que está observando "padrões de lavagem nunca antes vistos", com milhares de transações em um curto período, sugerindo o uso de automação para circular fundos repetidamente entre endereços. O atacante também vendeu USDT para formadores de mercado e tomou ETH emprestado usando USDT como garantia no protocolo de empréstimos Aave para antecipar-se aos congelamentos dos emissores, segundo a TRM, e agora detém mais de 420.000 ETH e 18.270 BTC, cerca de US$ 2,4 bilhões além do alcance de qualquer emissor.

A Tether, a Circle, a Ripple e a World Liberty Financial congelaram cerca de US$ 2,67 bilhões em stablecoins, e o Conselho de Segurança da Arbitrum congelou 8.426 ETH e 74,6 milhões de ARB, disse a TRM. A Binance estima o total congelado em cerca de US$ 3 bilhões.

Em uma atualização na sexta-feira, a Binance disse que reservou mais de US$ 6,34 bilhões em fundos da empresa para cobrir o incidente, dos quais US$ 5 bilhões já estão mantidos exatamente nos tokens que foram roubados. A empresa está comprando o restante por meio de canais de mercado e de balcão, o que "pode levar mais tempo porque alguns tokens podem ter baixa liquidez", disse a exchange. Esses números não incluem os ativos congelados.

"Vamos superar esta tempestade", disse a Binance.

Hackers norte-coreanos há muito tempo têm como alvo a exchange. Em agosto de 2025, o diretor de segurança da Binance, Jimmy Su, disse ao Decrypt que atacantes norte-coreanos tentam ser contratados na Binance todos os dias, e os chamou de a maior ameaça individual para as empresas de criptomoedas. Na quarta-feira, o Tesouro dos EUA sancionou 10 indivíduos e uma entidade por esquemas de trabalhadores de TI norte-coreanos que movimentaram milhões de dólares em criptomoedas.