Suspeito ataque informático norte-coreano à Binance coloca roubo de criptomoedas no centro do financiamento do regime

Milhares de milhões movimentados em minutos, seguidos de uma corrida para os congelar

Cerca de 6,36 mil milhões de dólares em criptomoedas saíram de carteiras da Binance em 10 blockchains a 29 de outubro de 2026, na sua maioria em cerca de 20 minutos, segundo a empresa de análise de blockchain TRM Labs. A TRM e a Chainalysis associaram o ataque ao TraderTraitor, um grupo de piratas informáticos ligado à Coreia do Norte, naquele que seria o maior roubo de criptomoedas de sempre.

A Binance afirmou ter protegido cerca de 3 mil milhões de dólares em ativos afetados e reservado mais de 6,34 mil milhões de dólares dos fundos da empresa para cobrir as perdas. Inicialmente, a plataforma suspeitou que o computador portátil de um engenheiro tivesse sido comprometido, mas depois afirmou que os investigadores tinham descoberto uma intrusão mais ampla. Os levantamentos foram suspensos enquanto a empresa investigava e trabalhava para recuperar os fundos.

O alegado roubo reúne dois problemas: a segurança do dinheiro guardado numa grande plataforma de criptomoedas e o recurso da Coreia do Norte ao cibercrime para obter divisas. Estimativas citadas no âmbito de investigações do Conselho de Segurança da ONU indicam que os fundos roubados representam cerca de metade das receitas em divisas do país e aproximadamente 40% dos custos de desenvolvimento de armamento.

A estimativa da TRM para as saídas da Binance inclui ativos posteriormente congelados. A luta imediata centra-se, por isso, na quantia que pode ser recuperada, na forma como os clientes voltarão a aceder aos seus fundos e no montante que continua ao alcance dos atacantes. A Binance comprometeu-se a cobrir todas as perdas, enquanto os investigadores continuam a analisar a forma como entraram nos seus sistemas e a identidade dos responsáveis.

O que aconteceu dentro da Binance?

A TRM afirmou que os atacantes se prepararam durante pelo menos 36 horas antes de transferirem fundos de várias carteiras da Binance. O roubo afetou redes como Ethereum, Bitcoin e Solana. Uma blockchain é um registo digital partilhado de transações; movimentar ativos em várias redes dá aos investigadores várias pistas para seguir em simultâneo.

Richard Teng, co-CEO da Binance, afirmou que a investigação tinha ido além do foco inicial num computador portátil:

Isto não foi obra de uma só pessoa. A nossa investigação inicial indicava que o incidente de segurança poderia envolver um computador portátil comprometido. No entanto, a investigação posterior revelou outros pontos de entrada.

Teng afirmou também que os atacantes usaram um mecanismo que destruía as suas ferramentas e apagava os seus vestígios à medida que avançavam. A Binance disse não ter encontrado provas de que uma chave privada de uma carteira tivesse sido divulgada. Uma chave privada é a credencial digital secreta usada para autorizar transferências de criptomoedas. A empresa ainda não publicou uma explicação técnica completa da intrusão.

Por que razão os investigadores suspeitam do TraderTraitor

A Chainalysis identificou uma ligação no percurso do dinheiro: criptomoedas roubadas à Binance surgiram na blockchain misturadas com fundos roubados à Bitget no mês anterior. O roubo à Bitget em setembro, estimado em 387 milhões de dólares, também foi atribuído por investigadores a piratas informáticos norte-coreanos.

A TRM apontou para preparativos e padrões de transação semelhantes aos de ataques anteriores ligados à Coreia do Norte, incluindo o roubo de 1,5 mil milhões de dólares à Bybit, em fevereiro de 2025. Jonathan Levin, cofundador e diretor executivo da Chainalysis, também identificou o TraderTraitor como o provável autor do ataque.

O TraderTraitor é descrito como um grupo apoiado pelo Estado norte-coreano e criado sob a tutela de uma agência de informações por volta de 2016 ou 2017. Os investigadores associam-no à rede mais ampla Lazarus. Michael Barnhart, investigador da DTEX, descreveu os seus membros como atacantes financeiros experientes, incluindo operacionais associados à APT38, outra designação usada para operações cibernéticas norte-coreanas.

O FBI atribuiu formalmente o roubo à Bybit à Coreia do Norte e ao TraderTraitor cinco dias após o ataque. A atribuição do incidente da Binance assenta, por enquanto, nas avaliações das empresas de análise de blockchain. A Binance afirmou estar a colaborar com as autoridades policiais para confirmar a identidade dos criminosos. A Coreia do Norte negou estar envolvida no roubo de criptomoedas.

Como é que as criptomoedas roubadas se tornam mais difíceis de recuperar

A Chainalysis afirmou que os fundos da Binance passaram repetidamente entre carteiras, através de milhares de transações num curto espaço de tempo. Os investigadores descreveram atividade concentrada em cerca de 20 minutos, com padrões que sugerem o recurso a programas automatizados para movimentar os ativos.

Uma carteira de criptomoedas é uma ferramenta para controlar ativos digitais e autorizar transações. Transferir fundos roubados entre muitas carteiras torna o seu percurso mais complexo, embora as transações em blockchains públicas continuem visíveis. Os investigadores têm de determinar que transferências pertencem aos atacantes e onde as plataformas de câmbio ou outras empresas poderão conseguir interrompê-las.

A rapidez também é importante porque alguns ativos podem ser congelados pelos respetivos emissores. A Chainalysis afirmou que cerca de 325 milhões de dólares em stablecoins roubadas foram trocados por ether, a criptomoeda usada na Ethereum, em aproximadamente 20 minutos. As stablecoins são tokens concebidos para acompanhar o valor de outro ativo, muitas vezes o dólar norte-americano. Os emissores podem congelar determinadas stablecoins, mas o ether não tem um emissor com o mesmo poder de congelamento.

A TRM afirmou que corretores chineses que operam fora das plataformas de câmbio convencionais compram criptomoedas roubadas com desconto. Esses corretores podem ajudar a transformar ativos digitais em dinheiro utilizável. Para a Coreia do Norte, essa conversão é a ponte entre uma intrusão informática bem-sucedida e fundos que o regime pode usar.

Quanto foi roubado e quanto está protegido?

A TRM calculou as saídas da Binance em cerca de 6,36 mil milhões de dólares, com base nos preços em vigor quando os ativos foram movimentados. O incidente tem sido geralmente descrito como um roubo de cerca de 6,3 mil milhões de dólares. É mais de quatro vezes superior aos 1,5 mil milhões roubados à Bybit em 2025.

As primeiras estimativas dos fundos congelados foram de cerca de 2,7 mil milhões de dólares, segundo a TRM, e 2,8 mil milhões, segundo a Chainalysis. A Binance afirmou posteriormente ter protegido cerca de 3 mil milhões, quase metade do montante inicialmente retirado. A empresa disse também estar a comprar ativamente tokens de criptomoedas no âmbito dos esforços para cobrir as perdas.

A Binance anunciou inicialmente a suspensão dos depósitos e levantamentos a 30 de outubro, hora do Japão. Comunicados posteriores indicaram que os depósitos não tinham sido afetados, mas que os levantamentos continuavam suspensos. A plataforma esperava retomar os levantamentos dentro de um ou dois dias, embora não tenha indicado uma hora concreta para a reabertura.

A Binance afirmou que a sua plataforma de câmbio nos Estados Unidos não foi afetada. O Serviço Secreto dos EUA disse estar a trabalhar para identificar, congelar, rastrear e recuperar fundos, e a Binance afirmou estar a colaborar com o FBI. Entre os ativos envolvidos estavam fundos associados a empresas norte-americanas, incluindo stablecoins da Tether e da Circle.

Além do esforço técnico de recuperação, os clientes enfrentam também uma questão jurídica. Daniel Tunkel, advogado do escritório londrino Edwin Coe, afirmou que os direitos de recuperação dependeriam das garantias contratuais e do local onde os clientes poderiam processar a Binance caso esta não cumprisse as suas obrigações. O compromisso da Binance de cobrir as perdas coloca o encargo financeiro imediato sobre a empresa.

Uma fatia crescente das perdas globais com criptomoedas

A Chainalysis estimou que piratas informáticos norte-coreanos roubaram 2,02 mil milhões de dólares em 2025, face a 1,34 mil milhões em 2024. Isso representa um aumento de cerca de 51%. Só o roubo à Bybit correspondeu a aproximadamente três quartos do total de 2025.

Em 2026, a Chainalysis calculou que a Coreia do Norte representou 89% das perdas comunicadas decorrentes de ataques informáticos a criptomoedas, contra 15% em 2021. A TRM estimou uma proporção de 85% para 2026, que baixaria para 45% excluindo o caso da Binance. O incidente da Binance explica, por isso, grande parte da forte subida dos valores anuais.

A Chainalysis estimou também que as perdas médias por ataque suspeito da Coreia do Norte subiram de 50,65 milhões de dólares em 2021 para 185,65 milhões em 2026. A divisão desses valores mostra um aumento de aproximadamente 3,7 vezes, o que indica que os danos financeiros por incidente cresceram substancialmente.

Para o período entre janeiro de 2021 e 29 de outubro de 2026, valores atribuídos à Chainalysis indicam perdas globais de 22,34 mil milhões de dólares e perdas ligadas à Coreia do Norte de 13,24 mil milhões, cerca de 59%. Outra contagem atribuída à empresa indicou 22,034 mil milhões e 13,024 mil milhões, respetivamente, também cerca de 59%.

A TRM estimou que a Coreia do Norte realizou 100 ataques desde 2017, roubando 12,8 mil milhões de dólares, incluindo 7,4 mil milhões em 2026. Barnhart calculou o valor acumulado dos roubos em cerca de 13,5 mil milhões. Estas estimativas abrangem períodos e conjuntos de incidentes diferentes, pelo que os respetivos intervalos temporais são essenciais para compreender os totais.

Por que razão o dinheiro é importante para Pyongyang

As investigações do painel de peritos do Conselho de Segurança da ONU identificaram 58 ataques suspeitos da Coreia do Norte contra empresas de criptomoedas entre 2017 e 2023, com perdas de cerca de 3 mil milhões de dólares. A dimensão do fenómeno aumentou desde então: uma única operação suspeita contra a Binance ultrapassa agora esse total anterior.

A Coreia do Norte está sujeita a sanções internacionais abrangentes que limitam o seu acesso ao comércio e ao financiamento. O roubo de criptomoedas proporciona uma via para obter divisas fora das exportações convencionais. Estimativas associadas ao painel da ONU indicam que as receitas provenientes de ataques informáticos correspondem a cerca de metade das receitas em divisas da Coreia do Norte, enquanto se calcula que os fundos roubados cubram aproximadamente 40% dos custos de desenvolvimento de armamento.

O roubo de 6,3 mil milhões de dólares à Binance foi comparado a cerca de um quinto do rendimento nacional bruto da Coreia do Norte. O rendimento nacional bruto mede os rendimentos obtidos pelos residentes e pelas empresas de um país ao longo de um ano. A comparação mostra por que razão um roubo desta dimensão é importante para muito além dos clientes da plataforma.

Há muito que a Coreia do Norte é acusada de recorrer a outras atividades ilegais para obter divisas, incluindo a produção de sofisticadas notas falsas de 100 dólares norte-americanos na década de 1990 e a produção e o tráfico de metanfetaminas nos anos 2000. As operações cibernéticas permitem ao regime visar empresas no estrangeiro através de redes informáticas.

Anos de formação por detrás dos ataques

Segundo relatos, a Coreia do Norte seleciona crianças com fortes competências em matemática e ciências para três a cinco anos de formação em ciberguerra. Os alunos com melhores resultados prosseguem depois para cursos universitários especializados, assegurando um fluxo constante de pessoal com formação técnica.

O Comité para os Direitos Humanos na Coreia do Norte descreveu um curso de cinco anos na Universidade Moranbong, em Pyongyang, que combina estudos militares, pirataria informática e criptoanálise. A criptoanálise consiste em estudar formas de decifrar códigos ou contornar sistemas concebidos para manter informações em segredo. Segundo relatos, alguns operacionais de elite recebem formação adicional na China e na Rússia.

Shin Beom-chul, antigo vice-ministro da Defesa da Coreia do Sul, descreveu os piratas informáticos norte-coreanos como altamente agressivos e qualificados, treinados para as operações do regime destinadas a obter divisas. O apoio do Estado proporciona a estas equipas recursos contínuos e permite-lhes operar sem o risco de serem perseguidas no país que enfrentam muitos outros criminosos.

Empregos falsos podem abrir a porta

Os métodos do TraderTraitor começam muitas vezes por visar pessoas, em vez de atacarem diretamente uma carteira de criptomoedas. O grupo visa programadores e profissionais de tecnologias da informação com falsas propostas de emprego, supostas parcerias comerciais e software malicioso disfarçado de ferramenta necessária para o trabalho.

Um alerta conjunto emitido em 2022 pelo FBI, pela Agência de Cibersegurança e Segurança das Infraestruturas e pelo Departamento do Tesouro dos EUA descreveu o uso de software malicioso e de engano contra empresas de criptomoedas. Barnhart referiu falsas entrevistas de emprego em que os candidatos são levados a descarregar software malicioso, expondo credenciais de acesso e informações sensíveis.

Os especialistas em segurança chamam a isto engenharia social: convencer alguém a tomar uma medida que ajude um atacante. Depois de comprometerem um computador, os atacantes podem usá-lo para explorar os sistemas internos de uma organização e tentar obter autorização para movimentar dinheiro.

Kok Tin Gan, cofundador e diretor executivo da Nyxlab, sugeriu que o ataque à Binance poderá ter envolvido uma assinatura que concedeu a um token acesso amplo e contínuo a uma carteira ligada à internet. Esta continua a ser a explicação proposta por Gan, enquanto a Binance investiga a sequência completa dos acontecimentos.

Da Sony à Binance: operações em expansão

As operações cibernéticas norte-coreanas incluíram ações de desestabilização política, além de roubos financeiros. O ataque à Sony Pictures em 2014 foi amplamente visto como uma retaliação por uma comédia que retratava um plano para assassinar Kim Jong Un. Incidentes posteriores revelam um interesse crescente em grandes reservas de criptomoedas.

• 2014: O ataque informático à Sony Pictures chamou a atenção mundial para as operações cibernéticas norte-coreanas.
• 2022: O grupo Lazarus foi associado ao roubo de cerca de 620 milhões de dólares da Ronin Network, que suporta um jogo de blockchain.
• 2024: O TraderTraitor foi apontado como responsável pelo roubo de 308 milhões de dólares à plataforma japonesa de câmbio DMM Bitcoin.
• Fevereiro de 2025: A Bybit perdeu cerca de 1,5 mil milhões de dólares num ataque que o FBI atribuiu à Coreia do Norte.
• Abril de 2026: Analistas atribuíram aos piratas informáticos norte-coreanos roubos de 285 milhões de dólares à Drift e de 292 milhões à KelpDAO.
• Setembro de 2026: A Bitget perdeu cerca de 387 milhões de dólares num roubo que os investigadores associaram à mesma rede.
• 29 de outubro de 2026: Cerca de 6,36 mil milhões de dólares saíram de carteiras da Binance em 10 blockchains.

A Drift e a KelpDAO operam no setor das finanças descentralizadas, frequentemente designado por DeFi, em que software executado em blockchains realiza transações financeiras. Os alvos vão, assim, além das plataformas de câmbio convencionais e incluem sistemas que guardam ou transferem fundos através de programas automatizados.

A inteligência artificial poderá acelerar algumas destas operações. Simon Choi, diretor de tecnologia da empresa de cibersegurança StealthMole, alertou que a IA ajuda os atacantes a encontrar falhas de segurança e a automatizar ataques. Os investigadores também identificaram sinais de automatização na movimentação dos fundos da Binance, enquanto prossegue a investigação técnica da empresa.

Principais pontos

• A TRM estimou que 6,36 mil milhões de dólares saíram de carteiras da Binance a 29 de outubro de 2026, na sua maioria em cerca de 20 minutos.
• A TRM e a Chainalysis associaram o alegado roubo ao grupo TraderTraitor, da Coreia do Norte.
• A Binance afirmou ter protegido cerca de 3 mil milhões de dólares e reservado mais de 6,34 mil milhões para cobrir as perdas.
• A Chainalysis estimou que a Coreia do Norte representou 89% das perdas globais comunicadas decorrentes de ataques informáticos a criptomoedas em 2026.
• Os investigadores estão a analisar uma intrusão com vários pontos de entrada, enquanto a Binance ainda não publicou as conclusões técnicas completas.
• Estima-se que o roubo de criptomoedas proporcione divisas que ajudam a financiar os programas de armamento da Coreia do Norte.