A atualização do Ethereum que permitiu o maior roubo cripto da história: US$ 5,7 bilhões da Binance em 3 minutos

Menos de 4 minutos. É o tempo que levou para drenar US$ 5,7 bilhões de carteiras quentes da Binance em um ataque que explorou a função EIP-7702 do Ethereum, lançada alguns meses antes justamente como mecanismo de segurança. A cifra é mais que o dobro do recorde anterior de roubo em exchange, os US$ 1,5 bilhão sacados da Bybit em fevereiro de 2025, segundo a CryptoTicker. O ataque começou por volta das 16h30 (horário do leste dos EUA) de 29 de outubro de 2026.

EIP-7702: o recurso de segurança que virou brecha

O EIP-7702 foi introduzido na atualização Pectra do Ethereum em maio de 2025. A ideia era útil: permitir que uma carteira comum se comporte temporariamente como um smart contract, abrindo caminho para transações em lote, recuperação de conta e outras operações sofisticadas. O detalhe crítico é que essa delegação funciona apenas se autorizada com uma assinatura da chave privada original—exatamente onde o atacante encontrou brecha.

Como o ataque driblou a segurança

Uma carteira da Binance moveu 167.464 ETH e outros 63 tokens, incluindo US$ 1,615 bilhão em USDT, apenas 3 minutos e 24 segundos depois de uma delegação assinada ser instalada na conta, segundo Miguel Morel, CEO da Arkham Intelligence. A velocidade revela automação prévia e planejamento sofisticado, não uma ação tomada em tempo real.

O ponto cego do caso permanece: como o atacante obteve a assinatura necessária da chave privada original ainda não foi explicado publicamente pela Binance. Analistas que monitoram movimentos on-chain apontam três hipóteses possíveis, nenhuma confirmada: chave privada comprometida, manipulação do sistema de assinatura ou participação de alguém dentro da exchange.

Depois de assumir controle da carteira, o atacante usou um contrato inteligente que só aceitava chamadas de um endereço previamente financiado via Tornado Cash, mixer usado para dificultar rastreamento de fundos. Segundo a firma de monitoramento on-chain Blockaid, citada pela Interesting Engineering, os US$ 5,7 bilhões foram pulverizados entre Ethereum (cerca de US$ 3,51 bilhões), Bitcoin (cerca de US$ 1,44 bilhão, ou 18.270 BTC) e Tron (cerca de US$ 630 milhões).

Resposta da Binance e congelamento de fundos

A co-CEO da Binance, Yi He, confirmou no X que a exchange suspendeu depósitos e saques e que os fundos dos usuários "estão seguros". Tanto Yi He quanto o fundador Changpeng Zhao prometeram que a Binance vai cobrir todas as perdas do ataque.

Enquanto a exchange investiga, emissoras de stablecoins correram para bloquear o dinheiro em movimento. A Tether congelou mais de US$ 1,567 bilhão em USDT e a Circle bloqueou mais de US$ 800 milhões em USDC, somando cerca de US$ 2,5 bilhões recuperados até o momento, segundo o Hackread. Outras emissoras, incluindo a Ripple, também travaram tokens ligados ao endereço do atacante.

Por que isso importa para quem usa exchange

O caso reabre uma discussão antiga do setor cripto: manter grandes volumes em carteiras quentes, conectadas à internet para operação diária, é mais rápido mas exponencialmente mais vulnerável do que em carteiras frias, offline. A Binance é a maior exchange do planeta em volume de negociação e, ainda assim, não conseguiu evitar que uma função recente do Ethereum se tornasse porta de entrada para o maior roubo já registrado contra uma corretora de criptomoedas.

Para o usuário comum, a promessa de ressarcimento integral é o fator imediato de confiança, mas ela depende da capacidade financeira da Binance de honrar o compromisso, da conclusão da investigação sobre a origem da assinatura comprometida e de qual das três hipóteses se confirmar—especialmente se for um insider job, o que redefiniria o risco sistêmico do setor.

O que acompanhar agora

• Origem da chave/assinatura: a explicação pública invalida ou confirma o risco sistêmico (insider vs ataque externo)
• Prazo de retomada: quando depósitos e saques voltam à normalidade
• Recuperação de fundos: quanto do total será desbloqueado pelos freezes de stablecoin
• Reação do mercado ao EIP-7702: será a função auditada, redesenhada ou desabilitada?
• Capacidade financeira: como a Binance honrará US$ 5,7 bilhões em ressarcimento sem afetar operações

Até a publicação desta matéria, a exchange não havia divulgado prazos para retomada normal de operações nem identificado publicamente os responsáveis pelo ataque.