Binance perde US$ 6,3 bi; FBI culpa Coreia do Norte

Correção ao registro. O selo 'confirmed/real' está certo. Dois pontos da nossa análise anterior estão superados. Primeiro, afirmamos que ninguém reivindicou e que a autoria era inferência de empresas de análise, e que não havia manifestação de autoridade. Em 31/10 o FBI, junto com USSS e IRS-CI, atribuiu formalmente o roubo ao TraderTraitor e publicou uma lista de endereços. Segundo, o país 'BR' no registro refletia a origem da fonte brasileira. Mantivemos o campo vazio porque a Binance não tem sede jurídica inequívoca apurada. Ressalva: esse mesmo FBI não publicou indicadores técnicos, apenas endereços e a descrição do padrão de lavagem.

O que cada parte diz. A VÍTIMA confirma ~US$ 6,3 bi de impacto, depois detalha ~US$ 6,36 bi em dez blockchains, atribui o acesso ao laptop de um engenheiro DevOps e promete absorver todo o prejuízo com SAFU e recursos próprios. O co-CEO Teng disse que a investigação não atribuiu responsabilidade a nenhum indivíduo. A Binance não respondeu à BBC sobre o papel norte-coreano. Não achei atribuição formal dela. A AUTORIDADE (FBI/USSS/IRS-CI) diz que viu o TraderTraitor converter ativos em Ethereum e prevê nova lavagem via DeFi e serviços de swap instantâneo. As EMPRESAS DE ANÁLISE trazem o resto: a TRM liga o caso ao Bybit e ao KelpDAO (abril de

2026) por fundeamento via Tornado Cash, staging antecipado e assinaturas obtidas antes e executadas em rajada; a Chainalysis diz ter visto fundos do roubo se misturarem em tempo real com os do exploit da Bitget. O ATOR não reivindicou. A Coreia do Norte nega.

A distância entre os números é informação, mas não indica inflação. O roubo vai de ~US$ 5,9 bi (primeira estimativa da Chainalysis) a ~US$ 6,4 bi (Chainalysis revisada; Elliptic 6,43 segundo a nossa nota anterior). A TRM está em 6,36 e a Binance em ~6,3. As diferenças vêm de preço no momento, escopo de carteiras e movimentos internos. As primeiras reportagens brasileiras trouxeram US$ 2,7 bi e 5,5 bi, valores que a vítima superou em poucas horas. O erro público aqui foi de subestimativa. A duração também varia: ~20 minutos para a maior parte do valor (TRM/Binance) contra 54 minutos numa reconstrução da Chainalysis citada pela e27 (fonte de menor confiabilidade, que não detalha o critério).

O congelamento oscila e a Binance reconheceu isso: ~US$ 1,8 bi (soma inicial de Tether e Circle), US$ 2,54 bi 'verificados', ~US$ 3 bi, enquanto a Chainalysis fala em ~US$ 2,8 bi. Congelado não é recuperado: stablecoins podem ser travadas pelo emissor, mas a Chainalysis registrou troca de US$ 325 mi em stablecoins por US$ 285 mi em ETH em ~20 minutos, justamente para escapar de congelamento. A CBC citou uma atualização de US$ 5 bi congelados que não conseguimos confirmar e que não usamos.

O que a técnica sustenta. A análise on-chain da Hacken aponta que, em nove blockchains e numa segunda carteira Ethereum, os saldos saíram com assinaturas válidas, o que sugere que o sistema de assinatura da Binance aprovou as transferências. Na carteira Binance 14 o atacante usou EIP-7702 para instalar um programa que a esvaziou. Segundo a Hacken, uma transação trouxe 50 autorizações para o mesmo signatário numa faixa de nonces, e a delegação ficou pública por 17 blocos antes da varredura. Isso casa com a versão da Binance (acesso a um contêiner de serviço, sem chave vazada) e mostra um controle de política de assinatura que não barrou autorizações anômalas. Não tem CVE: a Phoenix Security descreve como comprometimento da cadeia de assinatura. Fica sem resposta como o laptop foi comprometido e quais são os 'pontos adicionais de violação'.

Sobre 'usuários seguros'. A Binance diz que os fundos dos usuários estão seguros e que absorverá o impacto. Mas as hot wallets atacadas lastreiam saldos de clientes, e a empresa fala em restaurar o lastro de 90% (31/10) e 95% (1/11) dos ativos afetados. Isso significa que o lastro foi afetado e a cobertura veio do caixa próprio. Esse dado é declaração da empresa. Não vimos auditoria externa nem manifestação de regulador sobre ele. Pelo lado do mercado, houve saída líquida de US$ 3,64 bi nas primeiras ~9,5 h (Binance) e US$ 4,72 bi até segunda-feira (Teng), cerca de 3% dos ativos segundo ele.

Sobre a atribuição. O FBI, três empresas de análise e a Binance (por reação, sem atribuir) convergem num padrão conhecido: Tornado Cash para fundear a carteira operacional, staging antecipado e lavagem automatizada que a TRM e a Chainalysis ligam ao Bybit. Isso é convergência de método, não de fontes independentes, e o FBI não divulgou indicadores técnicos. A Coreia do Norte nega, o que não prova nada. Houve relato de que o presidente Trump disse que autoridades estavam examinando o caso (tech-insider, fonte de menor confiabilidade). Não confirmamos isso em fonte primária e não usamos como evidência. Sobre o Brasil: o hack ocorreu na véspera do prazo do Banco Central (30/10) para pedido de autorização como PSAV, que a Binance diz já ter protocolado. Não achei manifestação do BC, da CVM ou da ANPD sobre o incidente.

Roubo de ativos de hot wallets da Binance: ~US$ 6,3–6,4 bi, dos quais ~US$ 2,8–3 bi congelados (segundo Chainalysis e Binance). Saques foram suspensos entre 29/10 e a reabertura em fases em 1/11, e a Binance diz ter reposto 95% dos ativos afetados com recursos próprios. Clientes retiraram uma saída líquida de US$ 3,64 bi nas primeiras ~9,5 h após a reabertura (dados da Binance). Não foi relatado vazamento de dados pessoais, e não há contagem de registros. Fora da Binance, o FBI pediu que serviços (THORNode, RPC, swaps instantâneos, DeFi, VASPs) bloqueiem 628 endereços, e reguladores como a FSC da Coreia do Sul passaram a cobrar mais ativos em cold wallets. Para clientes brasileiros, não achei comunicado específico, e a perda ficou, por declaração da própria empresa, com a Binance.