Hack da Binance: Como a Coreia do Norte Roubou US$ 6,3 Bilhões em Cripto

Em 29 de outubro de 2026, a Binance — a maior exchange de criptomoedas do mundo — sofreu o maior roubo de criptoativos já registrado: cerca de US$ 6,3 bilhões foram drenados das carteiras “quentes” da empresa em poucas horas, espalhados por pelo menos dez blockchains diferentes. A origem de tudo não foi uma falha de código sofisticada, e sim algo bem mais simples — e mais perturbador: uma falsa vaga de emprego no LinkedIn, que levou meses até se transformar no maior golpe cripto da história.

Atualização (4/11): a Binance confirmou que o ataque começou com uma campanha de falsa entrevista de emprego contra um de seus engenheiros, um padrão conhecido como “Operation Dream Job”. Os detalhes dessa etapa inicial foram incorporados a este artigo.

Este artigo explica, com base em análises da Chainalysis, TRM Labs e grandes veículos internacionais, como o ataque aconteceu do início ao fim — e o que ele revela sobre os riscos de guardar dinheiro em exchanges centralizadas.

O tamanho do estrago

Os valores roubados, por blockchain:

Blockchain	Valor estimado
Ethereum	~US$ 3,8 bilhões
Bitcoin	~US$ 1,5 bilhão (18.270 BTC)
TRON	~US$ 628 milhões
XRP	~US$ 296 milhões
Solana	~US$ 96 milhões
Outras redes	~US$ 39 milhões

Para comparação, o hack anterior mais citado do setor — o da exchange Bybit, em 2025 — havia movido cerca de US$ 1,5 bilhão. O caso Binance supera isso em mais de quatro vezes.

Como o ataque aconteceu, passo a passo

1. O ponto de entrada: uma vaga de emprego falsa

Tudo começou em setembro de 2026, meses antes do roubo, em um lugar nada técnico: o LinkedIn. Um engenheiro de software com experiência citada na Binance — o que o tornava um alvo valioso — foi contatado por alguém se apresentando como “Project Director” de uma empresa fictícia.

O golpe seguiu um roteiro de recrutamento quase perfeito, em duas etapas:

Uma primeira entrevista, conduzida por uma suposta representante de RH, que trocou informações de redes sociais com o candidato para construir confiança ao longo de semanas.
Uma segunda etapa, com uma pessoa se apresentando como CEO da empresa fictícia, que levou o engenheiro a baixar um “teste técnico” — na prática, um repositório de código contendo malware.

O malware era inédito e personalizado, usando técnicas de ofuscação e evasão que nenhuma ferramenta antivírus detectou na época. Os próprios atacantes ainda apagaram rastros no dispositivo comprometido para dificultar a investigação posterior.

Esse roteiro tem nome na comunidade de segurança: “Operation Dream Job” (também chamada de “Contagious Interview”) — uma tática recorrente de grupos ligados à Coreia do Norte, que usam vagas e entrevistas falsas para atingir especificamente desenvolvedores e profissionais do setor de criptomoedas.

2. Acesso ao ambiente interno

Com o malware em execução no laptop do engenheiro, o invasor ganhou uma porta de entrada na infraestrutura da Binance. A partir daí, a campanha deixou de ser um incidente isolado e se tornou uma presença persistente de meses dentro da empresa: os atacantes chegaram a usar ferramentas internas de inteligência artificial da própria Binance para mapear o ambiente e comprometer outras contas, até alcançar o sistema que autoriza movimentações nas hot wallets (carteiras conectadas à internet, usadas para liquidez do dia a dia, em contraste com as cold wallets, mantidas offline).

3. Preparação silenciosa — com pelo menos 36 horas de antecedência

Diferente de um ataque improvisado, este foi planejado com antecedência. O invasor conseguiu obter autorizações de assinatura válidas com bastante antecedência à execução, explorando o EIP-7702 — um padrão do Ethereum que permite que uma carteira comum se comporte temporariamente como um contrato inteligente (smart contract), útil para funções como transações em lote, mas que, nas mãos de um atacante com acesso indevido, pode ser usado para autorizar a execução de código arbitrário na carteira comprometida.

4. A rajada: menos de 4 horas para esvaziar as carteiras

Com tudo preparado, o ataque foi executado em sequência rápida:

~20h05–20h20 UTC: primeiras transferências suspeitas no XRP Ledger, Ethereum e Bitcoin
20h24 UTC: transação principal no Ethereum, com 64 transferências simultâneas
23h05 UTC: ataques adicionais nas redes Avalanche e Polygon
23h56 UTC: última transação relevante no Ethereum
Madrugada seguinte: 17.260 ETH movidos para uma nova carteira, já em processo de lavagem

5. Lavagem dos fundos via Tornado Cash

Parte do dinheiro roubado foi rapidamente convertido — por exemplo, US$ 325 milhões em stablecoins trocados por ETH — e direcionado ao Tornado Cash, um mixer que embaralha a origem das transações para dificultar o rastreamento. A Chainalysis identificou que a carteira operacional do ataque havia sido financiada por pequenas retiradas via Tornado Cash, um padrão clássico de preparação usado para não levantar suspeita antes do golpe principal.

Por que a atribuição aponta para a Coreia do Norte

Empresas de inteligência on-chain como Chainalysis e TRM Labs, além do FBI, atribuíram o ataque ao grupo TraderTraitor, uma célula do Lazarus Group, historicamente ligado ao governo norte-coreano. A conclusão não se baseou em suposição: os fundos roubados foram rastreados se misturando, on-chain, com dinheiro do ataque à exchange Bitget, ocorrido um mês antes e também atribuído à Coreia do Norte.

O “modus operandi” também bate com ataques anteriores do mesmo grupo — incluindo o hack da Bybit e do protocolo KelpDAO, em abril de 2026:

Pequenas retiradas via Tornado Cash para financiar a carteira operacional
Preparação (staging) iniciada muito antes do golpe
Autorizações de assinatura obtidas com antecedência e disparadas todas de uma vez

A Coreia do Norte negou qualquer envolvimento. Em declaração de 3 de novembro atribuída a Kim Yo Jong, irmã do líder Kim Jong Un, o governo chamou a acusação americana de “uma provocação banal”.

A resposta da Binance

A exchange reagiu rapidamente para conter o estrago:

Suspendeu imediatamente negociações, depósitos e saques
Coordenou com Tether e Circle o congelamento de cerca de US$ 3 bilhões em stablecoins vinculados aos endereços do atacante
Revogou as autorizações dos endereços comprometidos e reforçou os controles de assinatura de transações
Assumiu publicamente o compromisso de cobrir 100% das perdas dos clientes, com recursos próprios
Retomou os saques em fases a partir de 1º de novembro, processando US$ 4,65 bilhões só no primeiro dia de normalização

O que isso significa para quem investe em cripto no Brasil

Mesmo quem nunca usou a Binance diretamente sente o reflexo desse tipo de incidente: queda temporária no preço de criptoativos, maior desconfiança do público e pressão regulatória sobre exchanges que operam no país. Para quem mantém ou pretende manter criptomoedas em exchanges centralizadas, alguns pontos importantes:

Nenhuma exchange, por maior que seja, está imune. A Binance é a maior do mundo e ainda assim foi vítima do maior roubo da história do setor — tamanho não é sinônimo de segurança.
O elo mais fraco costuma ser humano, não técnico. O ataque não explorou uma falha criptográfica: começou com uma pessoa em busca de uma oportunidade de carreira, confiando em um processo seletivo que parecia legítimo. É o mesmo padrão de golpes que já vimos destruir empresas inteiras — só que em escala corporativa, com meses de preparação e um alvo escolhido a dedo pelo currículo.
“Not your keys, not your coins.” Cripto guardada em exchange depende da segurança interna da empresa. Quem quer controle total sobre seus ativos considera carteiras próprias (hardware wallets), que não dependem da infraestrutura de terceiros.
Cobertura de perdas é promessa da empresa, não garantia legal. A Binance se comprometeu a ressarcir os usuários, mas, diferente de depósitos bancários tradicionais, não existe um fundo garantidor obrigatório por lei para ativos em exchanges de criptomoedas.

Perguntas frequentes

Minha conta na Binance foi afetada? A Binance declarou que vai cobrir integralmente as perdas dos clientes e retomou os saques normalmente a partir de 1º de novembro de 2026. Se você tem conta na exchange, verifique os canais oficiais da empresa para comunicados específicos sobre sua região.

Como uma entrevista de emprego conseguiu causar um roubo de bilhões? Porque o alvo não foi um usuário comum, e sim um engenheiro com acesso à infraestrutura que autoriza movimentações nas carteiras da própria exchange. O ataque foi cuidadosamente construído: meses de contato via LinkedIn e duas rodadas de entrevista para ganhar confiança, antes de pedir o download do “teste técnico” contaminado. Uma vez dentro do ambiente interno, os atacantes tiveram tempo (pelo menos 36 horas, só na etapa final) para preparar autorizações de assinatura válidas antes de executar o golpe.

“Operation Dream Job” só ataca gigantes como a Binance? Não. A mesma tática é usada há anos contra desenvolvedores comuns, inclusive fora do setor cripto — geralmente por meio de vagas falsas no LinkedIn, testes técnicos hospedados no GitHub ou pacotes npm maliciosos. Qualquer profissional técnico em busca de emprego é um alvo em potencial, não só quem trabalha em exchanges.

O que é o Tornado Cash e por que ele aparece em tantos hacks de cripto? É um serviço de mixing que embaralha a origem de transações em blockchain, dificultando o rastreamento de fundos roubados. Por isso aparece recorrentemente em ataques ligados a grupos como o Lazarus/TraderTraitor.

Isso pode acontecer com exchanges menores ou brasileiras? Sim — e o risco é proporcionalmente maior, já que exchanges menores costumam ter equipes de segurança e orçamento de defesa muito inferiores aos da Binance. O princípio de não concentrar todo o capital em uma única plataforma vale ainda mais para exchanges de menor porte.

O caso Binance reforça uma lição que já vale para qualquer ambiente corporativo: a defesa mais cara do mundo não compensa um único “teste técnico” baixado da fonte errada. Uma vaga de emprego falsa, construída com meses de paciência, abriu a porta para o maior roubo da história das criptomoedas — o mesmo tipo de engenharia social que sustenta a maioria dos golpes digitais que cobrimos aqui no blog, só que, neste caso, em escala bilionária e contra um alvo escolhido a dedo.

Fontes e referências:

Alertas de Segurança

Concordo em receber e-mails da Saferinfo e com a política de privacidade. Sem spam, cancele quando quiser.