Fala, leitores e comunidade KerberosTech! Se você achava que o seu dia no trabalho tinha sido estressante, senta aí que a história de hoje vai fazer qualquer incidente em produção parecer brincadeira de criança.
Na noite de quinta-feira, 29 de outubro de 2026, o mercado global de tecnologia, cibersegurança e criptoativos testemunhou o maior assalto cibernético de todos os tempos. Em uma janela inacreditável de apenas 20 minutos, hackers drenaram cerca de **US$ 6,36 bilhões** (aproximadamente R$ 33 bilhões) das carteiras da Binance, a maior corretora de criptomoedas do mundo.
Para colocar essa cifra em perspectiva: o roubo supera em mais de quatro vezes o recorde anterior — o hack de US$ 1,5 bilhão sofrido pela Bybit em 2025 — e equivale a mais de um terço de todo o Produto Interno Bruto (PIB) anual da Coreia do Norte.
Mas afinal, como um gigante que custodeia mais de US$ 130 bilhões em ativos e possui defesas robustas foi passado para trás tão rápido? Pega o seu café, porque hoje vamos escovar os bits desse ataque de forma bem direta, sem jargão pesado e com a profundidade técnica que você gosta!
O Início de Tudo: O Fator Humano e o Notebook Infectado
Tudo começou bem longe do data center central da Binance. Conforme revelado nas investigações iniciais citadas pelos co-CEOs da corretora, Richard Teng e Yi He, além de relatórios de inteligência em blockchain da TRM Labs, Chainalysis e Check Point, a ponta do novelo foi o comprometimento do laptop de um engenheiro de software/DevOps.
A partir desse dispositivo infectado (seja por phishing direcionado ou malware em componentes da cadeia de suprimentos de software), os atacantes conseguiram acesso a um container de serviço interno da empresa.
Muitas vezes, quando lemos "notebook comprometido", imaginamos um ataque simples de um clique. Richard Teng fez questão de enfatizar que o processo de invasão foi muito mais complexo: o acesso ao ambiente de serviço do engenheiro permitiu aos invasores explorar as permissões necessárias e acionar sistemas de processamento de saques. A partir daí, a arquitetura do golpe mostrou toda a sua sofisticação.
Decodificando a Mágica Técnica
Para conseguir movimentar US$ 6,36 bilhões distribuídos em 10 redes de blockchain diferentes (Ethereum, Bitcoin, Tron, XRP Ledger, Solana, Arbitrum, Avalanche, Optimism, Base e Polygon), o grupo cibernético — atribuído com alta confiança pela TRM Labs e pelo FBI ao grupo TraderTraitor (uma unidade de elite associada ao Lazarus Group da Coreia do Norte) — preparou a infraestrutura com pelo menos 36 horas de antecedência.
Analisando os rastros on-chain, podemos dividir a mecânica do ataque em dois pilares principais:
1. O Golpe do EIP-7702 no Ethereum
Na rede Ethereum, de onde foram levados cerca de US$ 3,79 bilhões (incluindo 200.630 ETH e centenas de milhões em stablecoins), os hackers exploraram uma novidade do protocolo: o EIP-7702, introduzido na atualização Pectra em maio de 2025.
Em termos simples: o EIP-7702 permite que uma carteira comum (EOA) assine uma autorização temporária e delegue a execução de seu comportamento para um contrato inteligente. É como conceder uma procuração digital para um robô automatizado rodar em seu nome.
O atacante operou da seguinte forma:
- Infiltração e Preparação: O hacker implantou um contrato inteligente do tipo sweeper (um "varredor" automático) que só aceitava ordens do próprio atacante.
- Lote de 50 Assinaturas: Como a carteira hot da Binance processa saques continuamente, o contador de transações da carteira (o nonce) muda a todo instante. Para garantir que a ordem não falhasse, os invasores coletaram em lote 50 autorizações pré-assinadas cobrindo nonces sequenciais futuros.
- A Execução: Às 20:20 UTC, uma dessas autorizações coincidiu com o contador da carteira. Em 3 minutos e 24 segundos, a carteira principal da Binance transferiu 167.464 ETH e mais de 1,61 bilhão de USDT para o endereço controlado pelo invasor. Como a delegação permaneceu ativa, cada novo depósito que chegava à carteira da Binance continuou sendo varrido automaticamente nas horas seguintes.
2. O Comprometimento da Infraestrutura de Assinaturas Multi-Chain
O detalhe mais intrigante para os profissionais de cibersegurança é como os hackers conseguiram sacar 18.270 Bitcoins (~US$ 1,47 bilhão), 233,4 milhões de XRP (~US$ 296 milhões), além de centenas de milhões em Tron e Solana na mesma janela de tempo.
Essas blockchains utilizam esquemas de criptografia e tipos de chaves totalmente distintos. Como todas emitiram assinaturas válidas em um intervalo de meia hora, os especialistas da TRM Labs avaliaram que o atacante não precisou roubar as chaves privadas mantidas em armazenamento offline (cold storage). O grupo conseguiu comprometer a própria infraestrutura interna de validação e geração de assinaturas da Binance, fazendo o sistema assinar transações não autorizadas em massa.
A Corrida Maluca: Congelamentos vs. Lavagem de Dinheiro
Assim que as anomalias foram detectadas, ativou-se uma verdadeira operação global de contenção envolvendo emissores de criptoativos, corretoras concorrentes e autoridades policiais:
- **Bloqueio Emergencial de US$ 2,7 Bilhões**: A resposta da indústria foi rápida. A Tether congelou aproximadamente US$ 1,77 bilhão em USDT nas carteiras dos hackers; a Circle bloqueou US$ 825 milhões em USDC; a Ripple travou US$ 40,5 milhões em RLUSD; a World Liberty Financial (projeto apoiado pela família de Donald Trump) congelou US$ 27,8 milhões em USD1; e o Conselho de Segurança da rede Arbitrum utilizou poderes de emergência para recuperar cerca de US$ 30 milhões em ETH e ARB.
- Conversão e Evasão Rápida: Para escapar de novos congelamentos, os hackers correram para converter stablecoins livres em ativos não-congeláveis. Venderam cerca de US$ 325 milhões em USDT no UniswapX aceitando um desconto superior a 10% para obter Ethereum rapidamente, e usaram o protocolo Aave para tomar empréstimos de aproximadamente 19.760 ETH usando USDT como colateral.
- Técnica de Peel Chain no Bitcoin: Os 18.270 Bitcoins roubados foram divididos em pequenos lotes de 1.000 e 100 BTC através de uma técnica conhecida como peel chain, criando cadeias de transações fracionadas para dificultar o rastreamento do FBI e das empresas de análise forense.
Apesar das ações de contenção que recuperaram ou congelaram cerca de metade do montante, estimativas indicam que os atacantes ainda conseguiram consolidar mais de US$ 2,4 bilhões em ativos puros (como BTC e ETH), que permanecem sob seu controle direto.
Reação da Binance e a "DR" dos Bilionários no X
A Binance suspendeu temporariamente os saques na plataforma global para realizar verificações minuciosas de segurança, garantindo que o serviço seria normalizado gradualmente. Para tranquilizar a comunidade global e brasileira, a empresa e sua representação local (BBrasil SPSAV) confirmaram que os fundos dos usuários estão seguros, pois são mantidos segregados e em cold wallets, e reforçaram o compromisso público de cobrir 100% das perdas com recursos próprios e reservas de emergência (como o fundo SAFU).
No entanto, os bastidores ganharam contornos de novela nas redes sociais. Quando Elon Musk fez piadas e tuitou ironias no X ironizando a situação, o fundador da Binance, Changpeng Zhao ("CZ"), rebateu publicamente. CZ lembrou a Musk que a Binance investiu US$ 500 milhões para ajudá-lo a comprar o Twitter em 2022 e revelou que a corretora possui mais de US$ 1 bilhão em ações da SpaceX. CZ chegou a apresentar um cálculo rápido na rede social demonstrando que, mesmo diante de um rombo líquido de US$ 2 bilhões, a venda dessas ações da SpaceX seria mais do que suficiente para cobrir qualquer diferença.
Checklist KerberosTech: Lições Práticas para Devs e SecOps
O que nós, profissionais e entusiastas de segurança da informação, devemos aprender com este evento histórico?
- Hardening de Endpoints de Engenharia: O computador de um engenheiro de DevOps é uma das portas de entrada mais cobiçadas. É indispensável aplicar princípios de privilégio mínimo, isolamento de credenciais de produção e monitoramento rigoroso de telemetria.
- Segregação de Infraestrutura de Assinatura: Sistemas automatizados de saques devem possuir limites de taxa (rate limits), aprovação multifatorial isolada por blockchain e barreiras que impeçam que o comprometimento de uma camada autorize transações simultâneas em múltiplas redes.
- Monitoramento do EIP-7702: Adoções de novos padrões de protocolo trazem inovações, mas criam novos vetores de ataque. Ferramentas de segurança e tesouraria devem gerar alertas imediatos ao detectar solicitações em lote de autorizações delegadas.
- Articulação de Resposta a Incidentes: A cooperação imediata entre corretoras, emissores de tokens, autoridades policiais e empresas de inteligência permitiu congelar quase US$ 3 bilhões. Ter planos de ação integrados com o ecossistema é essencial para mitigar grandes desastres.
Fique ligado no KerberosTech para mais análises aprofundadas sobre cibersegurança e inteligência de ameaças. Como sua equipe tem protegido as credenciais e acessos de infraestrutura por aí? Deixe seu comentário e compartilhe este post com seu time de SecOps!