Ataque hacker à Binance: o que se sabe e para onde está indo o dinheiro

Saídas anormais de várias hot wallets a partir de 20:24 UTC de 29/10, estimadas entre US$ 2,8 bi e US$ 5,91 bi. A Binance suspendeu saques e depois depósitos, diz que vai cobrir todas as perdas e promete um relatório completo (post-mortem). Emissores de stablecoins congelaram mais de US$ 2,6 bi; às 00:52 UTC de 30/10, a Binance elevou para US$ 3 bi o total verificado como congelado.

Vetor: Delegação EIP-7702 na hot wallet "Binance 14", disparada por endereço financiado via Tornado Cash

• Estimativas: US$ 2,8 bi (só Binance 14) · US$ 3,3–3,5 bi (Ethereum) · até US$ 5,6–5,87 bi somando BTC (~18.270 BTC) e Tron (~US$ 630 mi). A Arkham mapeia US$ 5,87 bi em mais de 80 ativos; a Chainalysis estima US$ 5,912 bi no momento do roubo (00:26 UTC de 30/10)
• Congelados: a Binance diz ter US$ 3 bi verificados como congelados (eram US$ 2,54 bi às 23:35 UTC de 29/10). Por emissor: Tether ~US$ 1,567 bi, Circle ~US$ 823 mi, Ripple ~US$ 200 mi, World Liberty Financial US$ 27 mi em USD1 e Paxos ~US$ 8 mi em PAXG, somando mais de US$ 2,6 bi. O Security Council da Arbitrum congelou ~US$ 30,5 mi (74,6 mi ARB e 8.425 ETH) numa carteira intermediária, que só pode ser movida pelo Council ou por votação da Arbitrum DAO
• ~204.500 ETH saíram das hot wallets (~5,6% das reservas de ETH da Binance), incluindo 167.464 ETH da Binance 14 e 28.005,6 ETH da Binance 16. A Binance 14 fazia parte da prova de reservas de 1º de outubro
• Às ~00:00 UTC de 30/10, Yi He anunciou a suspensão temporária de depósitos e saques enquanto a equipe faz verificações de segurança, congela fundos e trabalha com a polícia. A Binance Alpha foi pausada às 23:06 UTC
• A carteira do fundo SAFU tem ~15.000 BTC (~US$ 1,17 bi); a Binance não disse se vai usá-la
• Às 00:36 UTC de 30/10, o CEO da Arkham, Miguel Morel, disse ao CoinDesk que o ataque parece continuar em andamento
• A Binance não confirmou o método. Análise preliminar da Blockaid: a infraestrutura de assinatura foi comprometida, sem vazamento de chave. O atacante agrupou 50 autorizações EIP-7702 em uma só transação, e uma delas tinha o nonce correto

Saldos de usuários da plataforma internacional foram sacados sem autorização. A Polymarket colocou a exchange em modo "cancel-only" e pausou o relayer. Depois voltou a operar, disse que um fornecedor terceirizado foi comprometido e que vai reembolsar integralmente os afetados. O caso foi levado às autoridades. A carteira suspeita do atacante detém ~US$ 2,65 mi em POL (Arkham); a DeFi Llama estima ~US$ 2,7 mi. Aparenta ser um incidente separado do da Binance.

Vetor: Script de um fornecedor terceirizado (DebugBear, ferramenta de monitoramento de sites, segundo a Crypto Economy) foi comprometido e virou drenador de carteiras

Maior exchange da Indonésia suspendeu depósitos e saques em rupia e cripto como precaução. Diz não ter identificado saques não autorizados.

Vetor: Aumento significativo de tentativas de ataque

O primeiro saque do ataque ocorreu às 22:21 UTC de 28/10. A rede parou de produzir blocos; a zkLink corrigiu os contratos, pausou os saques e ofereceu 20% de recompensa white hat pela devolução. Ainda não há previsão de retorno nem valor oficial da perda (Blockaid estima ~US$ 786 mil e SlowMist ~US$ 783 mil).

Vetor: Batch root forjado no contrato Arbitrator permitiu saques com provas falsas

Estimativa inicial de US$ 351,6 mi revisada para ~US$ 387,5 mi após incluir ativos em Zcash e Tron. Era o maior roubo de 2026 até o caso Binance. O CEO aponta suspeita de grupo norte-coreano; a Elliptic considera a ligação "altamente provável".

Vetor: Hot/warm wallets (12 endereços). Suspeita de Lazarus (Coreia do Norte)

Cerca de US$ 320 mi drenados; a maior parte foi devolvida depois.

Vetor: Exploit; autores se declararam white hats

Dois incidentes em abril, cada um na faixa de US$ 285–292 mi.

Vetor: Exploits separados em protocolos DeFi