FBI atribui a hackers da Coreia do Norte o roubo de US$ 6,3 bilhões em criptomoedas da Binance

O FBI, a polícia federal dos Estados Unidos, atribuiu oficialmente a hackers ligados ao governo da Coreia do Norte o ataque que tirou cerca de US$ 6,3 bilhões em criptomoedas da Binance, uma das maiores corretoras de criptomoedas do mundo. O alerta foi publicado no sábado e aponta o grupo TraderTraitor como responsável pela invasão, ocorrida em 29 de outubro. Segundo o BleepingComputer, trata-se do maior roubo de criptomoedas já registrado.

O TraderTraitor também é rastreado por pesquisadores com outros nomes, como Lazarus Group, Jade Sleet e APT38. No comunicado, o FBI fala em mais de US$ 6 bilhões em ativos virtuais levados da corretora. Empresas especializadas em análise de blockchain (o registro público onde ficam gravadas as transações com criptomoedas) já tinham chegado à mesma conclusão antes da agência. As fontes divergem sobre quais: o BleepingComputer cita TRM Labs e Chainalysis; o The Register menciona TRM Labs e Elliptic.

Como o ataque aconteceu

De acordo com a Binance, a porta de entrada foi o notebook de um engenheiro de DevOps, área que cuida da infraestrutura e da operação dos sistemas. Com o computador comprometido, os invasores chegaram a um contêiner de serviço e enviaram pedidos de saque sem autorização. Foram cerca de US$ 6,36 bilhões espalhados por dez blockchains diferentes, e a maior parte saiu em uns 20 minutos. A Elliptic calcula um total um pouco maior, perto de US$ 6,43 bilhões, e afirma ter confirmado o congelamento ou a apreensão de US$ 2,85 bilhões, segundo o The Register.

O FBI diz que o grupo vem trocando o que roubou principalmente por ether (ETH), e espera que o dinheiro passe por plataformas de finanças descentralizadas (DeFi) e serviços de troca instantânea, o que dificulta o rastreamento. Junto com o Serviço Secreto e a divisão de investigação criminal da Receita americana (IRS), a agência pediu a corretoras e outros prestadores de serviços com ativos virtuais que bloqueiem operações ligadas aos endereços usados na lavagem. A lista divulgada tem 628 endereços: 608 de Ethereum, 19 de Bitcoin e um de Solana.

O histórico do grupo inclui outros golpes contra o setor, como o da Bitget (US$ 387,5 milhões, em setembro de 2026), o da Drift (US$ 280 milhões, em abril de 2026), o da Bybit (US$ 1,5 bilhão, em fevereiro de 2025) e o da DMM Bitcoin (US$ 308 milhões, em maio de 2024). Uma tática conhecida é a campanha Operation DreamJob, em que os hackers se passam por recrutadores e oferecem vagas falsas a desenvolvedores e funcionários de empresas de cripto para convencê-los a instalar programas maliciosos. No caso da DMM, um funcionário da Ginco executou código em Python disfarçado de teste de seleção. Na Drift, os criminosos passaram seis meses cultivando contatos pessoalmente em conferências do setor.

O que muda para os clientes

Em nota ao BleepingComputer, a Binance informou que pretendia retomar a primeira fase dos saques em 1º de novembro, entre 6h e 9h no horário UTC. A corretora afirma ter coberto cerca de 95% do valor afetado, ante 90% na atualização anterior. Os 5% restantes são tokens com menos liquidez, que a empresa segue comprando no mercado e em negociações diretas de balcão. Segundo a Binance, os saldos das principais moedas, como bitcoin, ether, USDT, BNB e XRP, têm lastro integral, e os depósitos não foram afetados.

A empresa diz que vai "arcar com o impacto financeiro dos fundos roubados" e que as perdas não serão repassadas aos usuários. A Binance afirmou ainda que vai reforçar suas proteções e divulgar novas atualizações à medida que a recuperação avançar. A corretora não detalhou o cronograma das fases seguintes de liberação dos saques.