Um notebook, US$ 6,3 bilhões e Pyongyang: o maior roubo cripto da história começou em um funcionário da Binance

Um único notebook comprometido. É essa a porta de entrada que, segundo a investigação inicial da Binance, permitiu o maior roubo de criptomoedas já registrado: aproximadamente US$ 6,3 bilhões movidos de carteiras da exchange em dez blockchains diferentes, a maior parte em apenas 20 minutos.

O ataque começou às 20h05 UTC de 29 de outubro de 2026. Duas firmas de inteligência on-chain, TRM Labs e Chainalysis, atribuem o roubo com "alta confiança" à TraderTraitor, unidade de hackers ligada ao Lazarus Group, estrutura operacional de Coreia do Norte.

Como um engenheiro da Binance abriu a porta do cofre

Segundo o site de segurança The Hacker News, a investigação preliminar da Binance aponta que o incidente envolveu o notebook comprometido de um engenheiro de DevOps — um profissional com acesso privilegiado à infraestrutura interna. O compromisso desse equipamento permitiu aos atacantes entrar em um container de serviço crítico e, a partir dali, autorizar transações de retirada sem aprovação adicional.

A Binance não detalhou publicamente como o notebook foi infectado. Segundo o BleepingComputer, o co-CEO da exchange afirmou apenas que "o ataque envolveu um processo mais complexo", negando que tenha sido algo tão simples quanto um clique em um link malicioso.

Coreia do Norte, sanções internacionais e o financiamento do regime

A atribuição à Coreia do Norte não vem de uma fonte isolada. De acordo com a CryptoNews.net, a TRM Labs cruzou inteligência on-chain e off-chain para identificar TraderTraitor, enquanto Jonathan Levin, CEO da Chainalysis, declarou que a empresa avalia que "o hack de US$ 6,3 bilhões foi provavelmente feito pelo grupo norte-coreano TraderTraitor".

Parte da evidência on-chain vem do investigador independente ZachXBT, que identificou fundos roubados da Binance misturados, no mesmo endereço, com recursos de um exploit anterior contra a corretora Bitget, depois de passarem pelo protocolo THORChain — um padrão de lavagem já associado a operações norte-coreanas.

Em valor, este episódio é cerca de quatro vezes maior que o roubo de US$ 1,5 bilhão que o FBI atribuiu à TraderTraitor contra a Bybit em fevereiro de 2025, até então o maior hack cripto da história.

Quanto já foi recuperado

A resposta ao ataque mobilizou emissores de stablecoins em poucas horas. Segundo a CryptoTimes, quase US$ 3 bilhões em ativos já foram congelados on-chain, incluindo mais de US$ 1,567 bilhão em USDT (Tether) e US$ 800 milhões em USDC (Circle) ligados ao incidente. Um levantamento da BleepingComputer aponta cerca de US$ 2,7 bilhões em stablecoins congeladas por Tether, Circle e Ripple.

Os atacantes ainda mantêm em circulação aproximadamente US$ 2,4 bilhões em ativos não congelados, entre 420 mil ETH e 18.270 BTC.

A Binance afirmou, segundo a CNBC, que vai cobrir todas as perdas de usuários com o fundo próprio de reserva SAFU e recursos da empresa, e suspendeu temporariamente depósitos e retiradas para checagens de segurança.

O que ainda não está confirmado

Até a publicação desta matéria, nem a Binance nem nenhum governo fizeram atribuição oficial do ataque à Coreia do Norte. A ligação com a TraderTraitor vem, por enquanto, exclusivamente de firmas privadas de inteligência em blockchain — TRM Labs e Chainalysis — com base em padrões de movimentação de fundos e análise complementar fora da cadeia. Uma confirmação formal por parte de autoridades, como ocorreu no caso Bybit pelo FBI, ainda não existe.

Por que isso importa

O caso repete um padrão que já apareceu nos roubos contra a Bybit e em exploits ligados a LayerZero e KelpDAO: operadores norte-coreanos mirando a infraestrutura interna de exchanges e protocolos, não só carteiras de usuários, para financiar o regime de Pyongyang sob sanções internacionais rigorosas.

Com a escala batendo recorde a cada novo incidente, o risco estrutural permanece o mesmo: um único dispositivo, um único funcionário com acesso privilegiado, e bilhões em risco. A sofisticação dos ataques cresceu — não é mais phishing simples — mas a vulnerabilidade essencial é humana.