Binance sofre um incidente de segurança recorde: 6,3 mil milhões de dólares retirados da exchange. Será este o maior hack da história das criptomoedas?
A 29 de outubro de 2026, a Binance foi atingida por um dos maiores incidentes de segurança alguma vez registados no mercado das criptomoedas. Os atacantes conseguiram transferir ativos no valor aproximado de 6,3 mil milhões de dólares a partir de 17 hot wallets da plataforma. As transações ocorreram em várias redes blockchain e concentraram-se num período inferior a quatro horas.
A Binance confirmou o incidente e anunciou que irá cobrir todas as perdas utilizando os fundos do SAFU e os seus próprios recursos. De acordo com as estimativas disponíveis, foi possível congelar ativos no valor aproximado de 3 mil milhões de dólares.
As primeiras investigações apontam para a possibilidade de o ataque ter começado com o comprometimento do computador portátil de um engenheiro DevOps. Até ao momento, a Binance não encontrou provas de que as chaves privadas das wallets afetadas tenham sido divulgadas.
Binance: o que aconteceu exatamente a 29 de outubro?
As primeiras transações suspeitas foram detetadas a 29 de outubro de 2026. Segundo os dados da Bitquery, os fundos começaram a sair das hot wallets da Binance por volta das 20:04 UTC. A atividade prolongou-se até às 23:56 UTC.
A sequência dos acontecimentos foi a seguinte:
20:04 UTC: foram registadas as primeiras saídas de fundos das wallets afetadas.
20:20:06 UTC: aproximadamente 18.270 BTC foram transferidos para endereços controlados pelo atacante.
20:20:59 UTC: foram registadas 50 autorizações EIP-7702 associadas à Binance 14.
20:24 UTC: teve início uma série de transferências de ETH e tokens ERC-20.
20:26 UTC: ocorreram transferências adicionais de ETH.
20:40-20:41 UTC: foram realizadas novas transferências de ETH e USDC.
23:56 UTC: terminou o período de saídas identificado pela Bitquery.
30 de outubro, 02:23 UTC: a Binance publicou um comunicado a confirmar o incidente e a estimar o valor dos ativos afetados em aproximadamente 6,3 mil milhões de dólares.
Os fundos foram transferidos a partir de 17 hot wallets distribuídas por diferentes redes blockchain. A Bitquery identificou atividade em nove redes, enquanto a TRM Labs contabilizou dez. Entre elas encontram-se Bitcoin, Ethereum, Tron, Solana, XRP Ledger, Arbitrum, Avalanche, Optimism, Base e Polygon.
É importante distinguir dois elementos da sequência de acontecimentos. Por um lado, ocorreu a transferência de aproximadamente 18.270 BTC. Por outro, foram registadas 50 autorizações EIP-7702 associadas à Binance 14. Ambos os acontecimentos fazem parte do incidente, mas representam operações técnicas diferentes.
Que criptomoedas foram roubadas da Binance?
Uma parte significativa das transações ocorreu na rede Ethereum, onde os atacantes transferiram diferentes criptomoedas e tokens. Os dados identificados incluem:
USDT: 1.615.409.499 unidades, com um valor estimado de 1,615 mil milhões de dólares.
USDC: 780.177.060 unidades, equivalentes a aproximadamente 780 milhões de dólares.
ETH: aproximadamente 195.470 unidades, avaliadas em cerca de 442 milhões de dólares.
wBETH: 29.934 unidades, com um valor estimado de 74,6 milhões de dólares.
RLUSD: 62.597.240 unidades, equivalentes a aproximadamente 62,6 milhões de dólares.
XAUt: 11.372 unidades, avaliadas em cerca de 45,6 milhões de dólares.
UNI: 6.189.796 unidades, com um valor estimado de 41,2 milhões de dólares.
ENA: 198.369.717 unidades, equivalentes a aproximadamente 37 milhões de dólares.
PEPE: aproximadamente 7,18 biliões de unidades, avaliadas em cerca de 35,3 milhões de dólares.
USD1: 27.760.802 unidades, com um valor estimado de 27,7 milhões de dólares.
LINK: 2.263.172 unidades, equivalentes a aproximadamente 25 milhões de dólares.
AAVE: 127.853 unidades, avaliadas em cerca de 16,2 milhões de dólares.
Esta lista inclui apenas uma parte das transferências identificadas na rede Ethereum. Não representa a totalidade dos ativos retirados de todas as redes envolvidas. Por isso, estes valores não devem ser novamente somados à estimativa global de 6,3 mil milhões de dólares, uma vez que já estão incluídos nesse montante.
18.270 BTC, ou seja, aproximadamente 1,4 mil milhões de dólares. O atacante dividiu os bitcoins por 19 wallets
Uma das operações mais importantes durante o incidente foi a transferência de aproximadamente 18.270,2 BTC. De acordo com os dados disponíveis, os bitcoins foram enviados através de 11 transações e posteriormente distribuídos por 19 wallets.
A distribuição foi particularmente invulgar:
17 wallets receberam exatamente 1.000 BTC cada.
Uma wallet recebeu aproximadamente 832,5 BTC.
Outra wallet recebeu aproximadamente 437,7 BTC.
Às 04:23 UTC de 30 de outubro, nenhuma destas wallets tinha transferido os bitcoins recebidos para outros endereços.
A situação do BTC é particularmente relevante porque a rede Bitcoin não dispõe de uma entidade central que possa congelar diretamente os fundos. Ao contrário de determinadas stablecoins, que podem incluir mecanismos de bloqueio ao nível do emissor, as transações de Bitcoin não podem ser revertidas dessa forma.
Assim, qualquer tentativa de recuperar estes ativos dependerá sobretudo da identificação dos fundos e da cooperação de exchanges, intermediários OTC e outros participantes do mercado.
O atacante converteu parte das stablecoins em ETH e TRX. Que fundos foi possível salvar?
Uma parte dos ativos roubados foi rapidamente convertida noutras criptomoedas. Segundo os dados da Bitquery, o atacante trocou stablecoins no valor aproximado de 729 milhões de dólares por ETH e TRX, antes de alguns dos endereços envolvidos terem sido congelados.
Como resultado destas operações, o atacante chegou a acumular aproximadamente 490.361 ETH, face aos cerca de 200.630 ETH inicialmente identificados. Isto representa um aumento de aproximadamente 2,4 vezes na quantidade de ETH sob o seu controlo.
Às 03:54 UTC de 30 de outubro, a Bitquery estimava que ainda existiam ativos no valor aproximado de 3,1 mil milhões de dólares nos endereços controlados pelo atacante. Nesse momento, não tinham sido registadas transferências desses fundos para exchanges ou serviços de mistura de criptomoedas.
A TRM Labs tinha publicado anteriormente uma estimativa que apontava para mais de 420.000 ETH e 18.270 BTC, com um valor conjunto aproximado de 2,4 mil milhões de dólares.
As diferenças entre estes valores podem ser explicadas pelo momento em que foram realizadas as observações, pelos movimentos posteriores dos ativos e pelas diferentes metodologias utilizadas para calcular os saldos. Num incidente desta dimensão, as estimativas podem mudar rapidamente à medida que são identificados novos endereços e acompanhadas as transações entre redes.
Como conseguiu o atacante assumir o controlo das wallets da Binance?
As primeiras investigações apontam para a possibilidade de o ataque ter começado com o comprometimento do computador portátil de um engenheiro DevOps. Segundo as hipóteses iniciais, o atacante terá conseguido aceder a um contentor de serviços na infraestrutura interna da Binance e utilizado esse acesso para preparar transações de levantamento não autorizadas.
A Binance declarou que, até ao momento, não encontrou provas de que as chaves privadas das wallets afetadas tenham sido divulgadas.
Este aspeto é importante porque o incidente não parece ter resultado da quebra da criptografia do Bitcoin ou do Ethereum. O possível ponto fraco terá estado na infraestrutura e nos processos internos utilizados para gerir as operações das wallets.
Um dos elementos técnicos centrais do ataque foi o EIP-7702, uma proposta do Ethereum que permite a uma conta externa delegar determinadas operações no código de um smart contract, mantendo o seu endereço e os seus ativos.
Neste caso, foram identificadas 50 autorizações associadas à Binance 14. Estas autorizações estavam assinadas e preparadas para diferentes valores nonce consecutivos, o que poderá ter permitido executar operações automatizadas através de código controlado pelo atacante.
O EIP-7702 não é, por si só, uma vulnerabilidade. Trata-se de uma funcionalidade do Ethereum. O problema terá estado na forma como as autorizações foram obtidas e utilizadas no ambiente da Binance.
A plataforma anunciou que irá publicar um relatório técnico para explicar com maior detalhe como ocorreu o incidente e que medidas foram adotadas para evitar que volte a acontecer.
Quem está por detrás do ataque à Binance? Os indícios apontam para a Coreia do Norte
As primeiras atribuições feitas por empresas de análise blockchain apontam para um grupo associado à Coreia do Norte.
A TRM Labs atribuiu o ataque ao grupo TraderTraitor com um elevado grau de confiança. A Chainalysis também identificou semelhanças com operações anteriores associadas a agentes norte-coreanos.
O incidente apresenta algumas características semelhantes às do ataque à Bybit, em fevereiro de 2025, que também foi atribuído a agentes com ligações à Coreia do Norte.
O TraderTraitor é um grupo associado a operações de roubo de criptomoedas e ataques contra empresas do setor. No entanto, é importante salientar que a atribuição feita pelas empresas de análise não equivale a uma confirmação oficial por parte das autoridades policiais.
Por enquanto, estas conclusões devem ser consideradas uma atribuição baseada em indicadores técnicos e padrões de atividade, e não uma identificação judicial definitiva dos responsáveis.
Quanto dinheiro foi possível congelar? A Binance aponta para aproximadamente 3 mil milhões de dólares
Um dos aspetos mais importantes do incidente é o valor dos fundos que foi possível bloquear antes de os atacantes os conseguirem movimentar novamente.
Na sua comunicação mais recente, a Binance declarou que foram congelados ativos no valor aproximado de 3 mil milhões de dólares.
Outras estimativas publicadas por empresas de análise blockchain foram ligeiramente inferiores:
Bitquery: aproximadamente 2,7 mil milhões de dólares.
TRM Labs: aproximadamente 2,7 mil milhões de dólares.
Binance: aproximadamente 3 mil milhões de dólares.
As diferenças podem resultar do momento em que os valores foram calculados, das redes incluídas e dos critérios utilizados para determinar quais os ativos que podiam ser efetivamente considerados congelados.
Na operação de recuperação participaram vários intervenientes do ecossistema. Entre eles encontram-se a Tether, a Circle, a Ripple, a World Liberty Financial e outros parceiros, bem como o Arbitrum Security Council.
É importante recordar que congelar ativos não significa que estes tenham sido imediatamente devolvidos à Binance. O bloqueio impede que determinados fundos continuem a ser movimentados, mas a sua recuperação definitiva pode exigir procedimentos adicionais e coordenação entre as partes envolvidas.
Como reagiu a Binance? SAFU, cobertura das perdas e suspensão dos levantamentos
A Binance confirmou oficialmente o incidente num comunicado publicado a 30 de outubro, às 02:23 UTC.
A empresa comprometeu-se a cobrir integralmente todas as perdas utilizando os recursos do fundo SAFU e os seus próprios fundos. SAFU é a abreviatura de Secure Asset Fund for Users, um fundo criado para proteger os utilizadores em situações excecionais.
Entre as medidas anunciadas pela Binance encontram-se:
A cobertura integral das perdas dos utilizadores.
A suspensão temporária dos depósitos e levantamentos enquanto os sistemas afetados eram analisados.
A revogação das autorizações associadas aos endereços comprometidos.
A cooperação com as autoridades e com empresas especializadas em análise blockchain.
A publicação de uma atualização do sistema Proof of Reserves.
Posteriormente, a Binance esclareceu que os depósitos já estavam disponíveis, enquanto os levantamentos continuavam suspensos durante a reconstrução e as verificações de segurança. A empresa previa poder retomá-los num prazo aproximado de 48 horas.
A promessa de cobrir as perdas é um elemento importante para os clientes da plataforma. No entanto, a avaliação definitiva da resposta da Binance dependerá também da recuperação dos ativos, do restabelecimento dos sistemas e da publicação de informações técnicas completas sobre o ataque.
Proof of Reserves da Binance sob escrutínio. As reservas continuam a cobrir 100% dos saldos dos clientes?
O incidente voltou a colocar em discussão o sistema Proof of Reserves da Binance e a capacidade da plataforma para manter uma cobertura integral dos ativos dos seus clientes.
A CoinDesk observou que as wallets afetadas faziam parte da fotografia das reservas utilizada no relatório de outubro. Antes do incidente, a Binance apresentava uma cobertura de 100% das suas obrigações em ETH.
A saída de aproximadamente 204.500 ETH poderá reduzir essa proporção para cerca de 94%, caso os ativos não sejam repostos por outros meios.
Poderão também existir efeitos semelhantes nas reservas de USDC e de outros ativos digitais.
No entanto, esta situação não prova, por si só, que a Binance esteja insolvente ou que não consiga cumprir as suas obrigações perante os clientes. A empresa declarou que irá cobrir as perdas utilizando os seus próprios recursos e o fundo SAFU.
A publicação de um novo relatório Proof of Reserves será particularmente importante para verificar como a estrutura das reservas se alterou após o incidente e se a cobertura dos saldos dos clientes foi restabelecida.
Como reagiu o mercado das criptomoedas? O Bitcoin caiu abaixo dos 77.000 dólares
O incidente ocorreu num momento em que o mercado já se encontrava particularmente sensível e contribuiu para a deterioração do sentimento dos investidores.
O Bitcoin caiu para aproximadamente 76.400-76.500 dólares, atingindo o nível mais baixo das últimas seis semanas. O Ethereum era negociado em torno dos 2.170-2.200 dólares, enquanto o BNB registou uma queda superior a 8% num período de 24 horas.
A volatilidade também provocou liquidações significativas nos mercados de derivados. Segundo os dados citados pela CoinDesk, as liquidações de contratos de futuros atingiram aproximadamente 1,57 mil milhões de dólares.
As posições long foram as mais afetadas. As liquidações de posições em BTC representaram cerca de 522 milhões de dólares, enquanto as posições em ETH atingiram aproximadamente 361 milhões de dólares.
No entanto, não seria correto atribuir toda a queda do mercado exclusivamente ao incidente da Binance. As ações tecnológicas norte-americanas também apresentavam sinais de fraqueza, contribuindo para a deterioração geral do sentimento de risco.
O ataque acrescentou uma nova fonte de incerteza ao mercado e reforçou a pressão descendente sobre os preços, mas não foi necessariamente o único fator por detrás das quedas.
Será este o maior hack da história das criptomoedas? A Binance ultrapassa a Bybit e a Ronin
Se tivermos em conta o impacto financeiro declarado do incidente, o ataque à Binance poderá tornar-se o maior roubo de criptomoedas alguma vez registado.
Para compreender a sua dimensão, vale a pena recordar alguns dos principais incidentes de segurança da história do setor.
Um dos casos mais importantes é o da LuBian, de onde foram retirados aproximadamente 127.426 BTC em dezembro de 2020. O incidente foi revelado pela Arkham em agosto de 2025, e os bitcoins tinham um valor aproximado de 3,5 mil milhões de dólares no momento em que foram identificados. No entanto, não se tratou de um hack clássico de uma exchange e a LuBian não confirmou publicamente todos os detalhes do incidente.
Em fevereiro de 2025, a Bybit sofreu um ataque no qual foram roubados ativos no valor aproximado de 1,5 mil milhões de dólares.
Outros incidentes históricos relevantes incluem:
Ronin Network (2022): um dos maiores ataques a uma rede blockchain, com perdas de centenas de milhões de dólares.
Poly Network (2021): um ataque que afetou ativos no valor aproximado de 600 milhões de dólares, embora grande parte dos fundos tenha sido posteriormente devolvida.
Binance Bridge (2022): uma vulnerabilidade que permitiu a criação de ativos no valor aproximado de 570 milhões de dólares, embora as perdas efetivas tenham sido inferiores.
Coincheck (2018): o roubo de aproximadamente 530 milhões de dólares em NEM.
Mt. Gox (2014): um dos casos mais conhecidos da história do Bitcoin, no qual desapareceram centenas de milhares de BTC.
Os valores não são totalmente comparáveis. Alguns incidentes são avaliados com base no preço dos ativos no momento do ataque, outros no momento em que foram descobertos e outros ainda com base nas perdas financeiras definitivas.
No caso da Binance, o valor de 6,3 mil milhões de dólares representa também o impacto financeiro estimado do incidente e não significa que todo esse montante se transforme necessariamente numa perda permanente. Uma parte significativa dos ativos terá sido congelada e a empresa comprometeu-se a cobrir as perdas restantes.
As plataformas europeias com licença MiCA são mais seguras?
O incidente da Binance volta a levantar uma questão importante para os utilizadores europeus: será que uma plataforma que opera ao abrigo do enquadramento regulamentar MiCA pode oferecer um nível de segurança superior?
O regulamento MiCA estabelece requisitos para os prestadores de serviços de criptoativos que operam na União Europeia. Entre eles encontram-se obrigações relacionadas com a organização das empresas, a supervisão, a gestão de riscos e a proteção dos clientes.
Estes requisitos podem melhorar a transparência e estabelecer normas regulamentares mais claras para as plataformas que prestam serviços na Europa.
No entanto, possuir uma licença MiCA não elimina o risco de sofrer um ataque informático. O regulamento também não garante que os ativos dos clientes estejam protegidos contra qualquer incidente de segurança, nem equivale a uma garantia bancária de depósitos.
Por isso, uma licença MiCA deve ser considerada um elemento importante na avaliação de uma exchange, mas não o único. É também necessário analisar a sua infraestrutura de segurança, os mecanismos de custódia, a transparência das reservas e a forma como reage a situações excecionais.
O que significa o incidente da Binance para a segurança do mercado das criptomoedas?
O ataque à Binance demonstra, mais uma vez, que a segurança de uma plataforma de criptomoedas depende de muito mais do que apenas da tecnologia blockchain utilizada para registar as transações.
O Bitcoin e o Ethereum podem funcionar exatamente como foram concebidos e, ainda assim, os fundos podem ficar comprometidos se um atacante conseguir aceder à infraestrutura interna de uma exchange ou aos mecanismos utilizados para autorizar operações.
O incidente também evidencia algumas limitações dos sistemas Proof of Reserves. A publicação de informações sobre as reservas pode ajudar a verificar a situação financeira de uma plataforma, mas não garante que os seus sistemas internos sejam seguros ou que os ativos não possam ser roubados.
Outro aspeto importante é a diferença entre os ativos que podem ser congelados pelos seus emissores e aqueles que não dispõem de um mecanismo centralizado de bloqueio. A cooperação da Tether, da Circle e de outros participantes permitiu imobilizar parte dos fundos, mas os bitcoins transferidos para os endereços do atacante representam um desafio diferente.
A avaliação definitiva do incidente dependerá de vários fatores: quantos ativos serão recuperados, se a Binance irá restabelecer a cobertura integral das suas reservas, que medidas técnicas irá adotar e que informações serão reveladas no relatório técnico completo sobre a origem do ataque.