A plataforma "Binance", a maior corretora de criptomoedas do mundo, sofreu um roubo que é o maior da história dos ativos digitais, com perdas estimadas em cerca de 6,36 bilhões de dólares. Empresas de inteligência de blockchain (Blockchain Intelligence) indicaram que o responsável pelo ataque é, muito provavelmente, o grupo "TraderTraitor", uma unidade de ataque cibernético apoiada pelo Estado da Coreia do Norte.
Mecanismo técnico da invasão
De acordo com as investigações preliminares conduzidas pela "Binance", a invasão não resultou de um vazamento de chaves privadas (Private Keys), mas começou através da invasão de um computador portátil pertencente a um engenheiro do departamento de operações de software (DevOps). Esta invasão permitiu aos atacantes aceder a um contentor de serviço (Service Container) e, posteriormente, submeter transações de levantamento não autorizadas.
As análises da empresa "TRM Labs" mostraram que os atacantes utilizaram técnicas extremamente sofisticadas; na rede Ethereum, exploraram o mecanismo "EIP-7702", que permite que carteiras padrão deleguem o seu comportamento a um contrato inteligente (Smart Contract) através de uma assinatura de autorização prévia. Os atacantes enviaram um lote de 50 autorizações pré-assinadas a partir da carteira quente (Hot Wallet) da "Binance", o que lhes permitiu controlar o comportamento da carteira e esvaziá-la completamente no espaço de 20 minutos através de dez blockchains diferentes.
Ligação a grupos internacionais de ataque cibernético
Os padrões técnicos deste ataque correspondem a operações anteriores, como a invasão da plataforma "Bybit" em fevereiro de 2025 e a invasão da "KelpDAO" em abril de 2026. Entre as características mais notáveis estão: a utilização de carteiras financiadas através de protocolos de mistura (Mixers) como o "Tornado Cash", a preparação prévia da operação durante um longo período e a recolha antecipada de assinaturas digitais para utilização em lote.
Empresas como a "Chainalysis" e especialistas em segurança como "ZachXBT" confirmaram que o "Lazarus Group", ligado à Coreia do Norte, é o principal suspeito. Embora empresas emissoras de stablecoins como a "Tether" e a "Circle" tenham conseguido congelar cerca de 3 mil milhões de dólares em ativos roubados, os atacantes continuam a controlar aproximadamente 2,4 mil milhões de dólares em moedas "ETH" e "BTC", que são difíceis de congelar.
O que muda com esta invasão?
Este ataque representa uma mudança perigosa nas estratégias de ataque à infraestrutura financeira digital. Em vez de se concentrarem no roubo direto de chaves privadas, os atacantes visaram o "ambiente de assinatura" através da invasão de dispositivos de funcionários e do acesso a contentores de serviços, tornando as defesas tradicionais das carteiras insuficientes. Além disso, a utilização de protocolos como o "EIP-7702" destaca-se como uma nova ferramenta nas mãos dos atacantes para executar levantamentos complexos e automatizados, o que obriga as plataformas a repensar a forma como protegem os dispositivos dos engenheiros e os sistemas de assinatura entre cadeias (Cross-chain signing systems).