Como hackers da Coreia do Norte roubaram US$ 6,3 bi da Binance

A empresa  TRM Labs, especialista em rastrear transações com criptomoedas, responsabilizou a TraderTraitor, principal unidade hacker da Coreia do Norte, pelo ataque que roubou 6,36 bilhões de dólares da Binance, a maior corretora de criptomoedas do mundo.

O FBI classificou o grupo norte-coreano como responsável pelo roubo de 1,5 bilhão de dólares da Bybit em fevereiro de 2025.

“Várias características deste ataque correspondem a assaltos anteriores ligados à Coreia do Norte, incluindo o hack da Bybit e o hack da KelpDAO em abril de 2026: pequenos saques de Tornado Cash financiando uma carteira de operador, encenação que começou bem antes do roubo e assinaturas obtidas com antecedência e executadas de uma só vez”, afirmou a empresa.

Segundo a TRM, a preparação começou pelo menos 36 horas antes do roubo.

"A carteira utilizada pelo invasor recebeu três pequenas retiradas do Tornado Cash — um serviço que oculta a origem de criptomoedas — a partir da manhã de 28 de outubro. No início de 29 de outubro, o invasor implementou uma primeira parte do código para o ataque e a testou em duas carteiras. Mais tarde, naquele mesmo dia, ele testou a versão final em uma terceira carteira e, em seguida, enviou os fundos utilizados no teste de volta para si mesmo. Quatro horas após esse teste, o mesmo código foi instalado em uma hot wallet da Binance", afirmou.

O ataque

O primeiro roubo da noite ocorreu no XRP Ledger, uma blockchain pública, descentralizada e de código aberto.

Entre 17h05 e 17h09, horário de Brasília, cinco carteiras da Binance enviaram 233,46 milhões de XRP para um único endereço pertencente ao invasor.

Desde então, esses XRP permaneceram onde foram depositados.

As carteiras Binance nas blockchains Solana e Optimism foram alvo dos invasores norte-coreanos às 17h10.

Às 17h20, uma hot wallet de Bitcoin enviou 18.270 BTC para um endereço do invasor, que começou a fracionar os fundos.

"Essa técnica, conhecida como 'peel chain' [cadeia de fracionamento], torna o rastreamento dos fundos mais difícil. Dois minutos depois, uma hot wallet da Binance na rede Tron enviou 612,7 milhões de USDT e 46,4 milhões de TRX para o invasor", explicou a TRM.

Hot wallets são carteiras de criptomoedas que ficam conectadas à internet e são usadas para armazenar, enviar e receber ativos digitais de forma rápida e prática, sendo ideais para quem realiza transações frequentes, negocia em exchanges ou utiliza aplicativos de finanças descentralizadas (DeFi).

O que diz a Binance

Em nota, a Binance informou que começou a recuperar os ativos afetados para os usuários e que continua trabalhando com as autoridades policiais, emissores, empresas de inteligência em blockchain e parceiros da indústria para rastrear, congelar e recuperar fundos adicionais.

"A Binance já reservou mais de 6,34 bilhões de dólares em fundos da empresa para cobrir este incidente. 5 bilhões de dólares desses fundos já estão mantidos nos ativos exatos em tokens que foram impactados. Estamos completando a compra do valor restante adquirindo ativos em tokens por meio de canais de mercado e canais OTC. Estamos fazendo isso para corresponder ao formato dos ativos restantes em tokens e abordar quaisquer déficits de ativos. Este passo pode demorar mais porque alguns tokens podem ter baixa liquidez e o acerto OTC também leva tempo. Compartilharemos mais progresso assim que pudermos", acrescentou.

"Esses valores não incluem ativos congelados ou protegidos, que permanecem sujeitos a recuperação e verificação em andamento", seguiu.

A Binance informou que 3 bilhões de dólares foram congelados.