A Binance prometeu cobrir todas as perdas dos clientes após uma violação que estima ter afetado US$ 6,3 bilhões. Seu esforço de recuperação agora envolve vários processos diferentes, desde o congelamento de stablecoins até o rastreamento de ativos que nenhum emissor de token pode bloquear.
Resumo
- A Binance estima que a violação de 29 de outubro afetou aproximadamente US$ 6,3 bilhões.
- A exchange afirma que parceiros congelaram cerca de US$ 3 bilhões em ativos afetados.
- A TRM Labs rastreou transferências em 10 blockchains e avalia as saídas originais em US$ 6,36 bilhões.
- A Blockaid identificou 50 autorizações Ethereum em uma transação direcionada à Binance 14.
- A Binance prometeu cobrir as perdas por meio de 2 fontes, seu fundo SAFU e fundos da empresa.
A Binance estimou que US$ 6,3 bilhões em criptomoedas foram afetados por sua violação de 29 de outubro e prometeu cobrir todas as perdas, enquanto parceiros congelaram cerca de US$ 3 bilhões.
A atualização de segurança da Binance diz que sua investigação preliminar aponta para o laptop de um engenheiro DevOps comprometido que pode ter permitido o acesso a um contêiner de serviço interno e o envio de saques não autorizados.
A exchange afirma que não encontrou evidências de que as chaves privadas das carteiras tenham vazado. Ela revogou a autorização do endereço afetado, envolveu as autoridades policiais e prometeu um relatório técnico após os investigadores concluírem o estabelecimento do que aconteceu.
Investigadores de blockchain publicaram relatos separados das transferências. Seus números descrevem diferentes estágios do incidente e usam escopos diferentes, com alguns contando o valor quando os ativos saíram da Binance e outros descrevendo ativos que foram subsequentemente congelados.
O número de US$ 3 bilhões congelados, portanto, coexiste com a estimativa de US$ 6,3 bilhões. A Binance não descreveu os US$ 3 bilhões como dinheiro já devolvido aos clientes, nem publicou uma contabilidade final de sua própria perda financeira após as recuperações.
O hack da Binance alcançou várias redes em minutos
De acordo com a TRM Labs, a principal rajada de transferências começou por volta das 20:05 UTC de 29 de outubro e moveu a maior parte dos fundos roubados em cerca de 20 minutos. Sua investigação abrange 10 redes, com uma nova onda alcançando Avalanche e Polygon mais tarde naquela noite.
A estimativa da TRM avalia os ativos no momento de cada transferência. O número de US$ 6,3 bilhões da Binance é a estimativa da empresa sobre o impacto do incidente, portanto, a diferença entre os dois totais não estabelece por si só que os investigadores encontraram outro roubo.
A empresa atribui o ataque ao grupo TraderTraitor da Coreia do Norte usando inteligência on-chain e off-chain. A Binance não confirmou a identidade do atacante, e a atribuição permanece como a avaliação dos investigadores.
Como o crypto.news relatou anteriormente, a atribuição e rastreamento iniciais conectaram o incidente a uma unidade de hackers anteriormente identificada pelo FBI no roubo da Bybit em fevereiro de 2025. Uma atribuição técnica e uma conclusão criminal são estágios separados, mesmo quando os investigadores expressam alta confiança.
As transferências envolveram ativos com opções de recuperação muito diferentes. Tokens de dólar podem ter controles do emissor, enquanto o Bitcoin e o Ethereum nativos não dão a uma empresa de stablecoin um poder comparável de colocar na lista negra o saldo de um detentor.
Um endereço que aparece no registro de rastreamento pode, consequentemente, ser uma pista útil sem ser um saldo recuperável. Os investigadores podem seguir transferências públicas depois que um atacante troca de carteiras, mas a capacidade de observar um movimento não dá automaticamente a ninguém autoridade para revertê-lo.
Uma autorização Ethereum mudou o que uma hot wallet poderia fazer
A investigação técnica da Blockaid descreve um ataque à Binance 14, uma movimentada hot wallet Ethereum. Uma transação continha 50 autorizações EIP-7702, com uma delas correspondendo ao contador de transações da conta e ativando uma delegação para código malicioso.
Os pesquisadores afirmam que o atacante subsequentemente usou a carteira delegada para transferir uma grande cesta de ativos e alcançou outra conta inteligente controlada por essa carteira. A delegação maliciosa poderia permanecer útil para depósitos posteriores até ser removida.
O mecanismo de autorização de carteira já foi examinado na cobertura técnica da publicação. Seu papel neste incidente foi permitir que o código operasse no contexto de uma carteira existente após a autorização necessária ter sido aceita.
A especificação EIP-7702 do Ethereum descreve delegação persistente, não uma permissão que necessariamente desaparece após uma única transação. Ela adverte que o código delegado tem acesso irrestrito à conta e deve ser rigorosamente auditado pelos provedores de carteira.
A distinção explica por que remover a autorização afetada pertence à resposta juntamente com a paralisação das retiradas. Uma pausa na interface do cliente de uma exchange e a remoção de uma delegação on-chain abordam partes diferentes do mesmo incidente.
A Blockaid descreve outras transferências como transações assinadas comuns a partir de carteiras em várias redes. Suas descobertas não estabelecem que cada dólar saiu por meio da delegação Ethereum, e um único recurso do Ethereum não pode, por si só, explicar transferências em Bitcoin ou Tron.
A declaração preliminar da Binance e o relato técnico dos investigadores abordam questões diferentes. A exchange descreve uma possível rota de entrada em seus sistemas, enquanto os pesquisadores descrevem o que as transações autorizadas fizeram on-chain.
A investigação completa ainda precisa conectar essas etapas. A declaração da exchange de que não encontrou vazamento de chave privada não significa que toda transação aprovada por sua infraestrutura de assinatura tenha sido intencional pela empresa.
Fundos congelados e fundos devolvidos pertencem a totais separados
A Binance afirma que aproximadamente US$ 3 bilhões foram congelados por meio de cooperação com parceiros do setor. Um congelamento restringe a movimentação dos ativos afetados, enquanto a recuperação exige uma etapa adicional que devolve o valor ao legítimo proprietário ou a um endereço de recuperação acordado.
Usando os números arredondados da exchange, US$ 3 bilhões divididos por US$ 6,3 bilhões equivalem a aproximadamente 47,6%. A diferença restante é de US$ 3,3 bilhões, ou 52,4% da estimativa inicial.
Esses cálculos descrevem a relação entre os dois números anunciados pela Binance. Eles não estabelecem que US$ 3,3 bilhões desapareceram sem possibilidade de recuperação, nem que todo o saldo congelado pode ser imediatamente usado para reembolsar clientes.
O denominador pode mudar à medida que os investigadores identificam transferências, removem contagens duplicadas ou atualizam preços. O numerador pode mudar à medida que os emissores localizam mais tokens ou as autoridades autorizam uma transação de recuperação.
O relato inicial da TRM estimava os ativos congelados ou assegurados em cerca de US$ 2,7 bilhões, abaixo da estimativa subsequente da Binance. Seus números eram um instantâneo de rastreamento datado, e o total posterior da empresa não deve ser somado a ele como se descrevessem pools separados.
A mesma cautela se aplica aos anúncios dos emissores. Um congelamento da Tether e um congelamento da Circle podem ser componentes do agregado da Binance, portanto somar ambos ao total da exchange contaria alguns ativos duas vezes.
Stablecoins que foram trocadas antes de um emissor agir introduzem outra complicação. O emissor de um token de dólar pode ser capaz de bloquear esse token, mas seus controles não acompanham automaticamente o detentor para um ativo nativo diferente.
A contabilização da recuperação, portanto, precisa tanto dos saldos dos tokens quanto do status deles. Ativos identificados, ativos imobilizados, ativos transferidos para custódia de recuperação e ativos usados para restaurar saldos de clientes são quatro descrições diferentes.
A Binance nomeou fundos da empresa ao lado do SAFU
O compromisso da Binance é cobrir perdas usando seu Secure Asset Fund for Users e recursos da empresa. Ela não afirmou que o SAFU sozinho absorverá todo o incidente.
A conversão da reserva em Bitcoin do fundo foi concluída em fevereiro, quando a Binance reportou 15.000 BTC no valor de aproximadamente US$ 1,005 bilhão na época. O anúncio da conversão descreveu um saldo e uma avaliação históricos, não uma declaração nova de outubro sobre os recursos de seguro disponíveis.
Mesmo um fundo hipotético de US$ 1 bilhão cobriria apenas 15,9% de um incidente bruto de US$ 6,3 bilhões. Subtrair US$ 1 bilhão de US$ 6,3 bilhões resulta em US$ 5,3 bilhões, mas essa aritmética não é uma estimativa da lacuna real de financiamento da Binance, porque as recuperações e o saldo atual do fundo continuam sendo entradas separadas.
A escolha da exchange de incluir fundos da empresa é, consequentemente, parte da própria promessa. Foi dito aos clientes que a Binance arcará com a perda, em vez de lhes ser dito para esperar até que os investigadores recuperem cada token roubado.
A promessa não identifica a combinação precisa de dinheiro, criptomoeda ou outros recursos da empresa que será usada. Ela não estabelece o momento de quaisquer recuperações controladas pelo emissor nem o tratamento contábil dos saldos congelados.
O reembolso aos clientes e a perda líquida final da empresa podem avançar em cronogramas diferentes. A Binance pode substituir um ativo de cliente ausente com seus próprios recursos antes que o ativo original seja recuperado, deixando a empresa para buscar a recuperação depois.
Se um emissor posteriormente devolver um ativo que já foi substituído, essa recuperação afetaria a própria exposição financeira da Binance. Ela não deveria ser contada como um segundo reembolso da mesma perda do cliente.
Uma atualização de reservas fornecerá uma visão datada da cobertura
A Binance prometeu uma prova de reservas atualizada após a remediação. Seu retrato de reservas de agosto reportou índices de reserva de 100,25% para Bitcoin e Ethereum, com um índice mais alto para USDT.
Um índice de agosto não pode estabelecer a cobertura da exchange após um incidente em outubro. Os saldos dos clientes, as participações em reserva e os ativos afetados precisam ser medidos na nova data do retrato.
O exame da publicação sobre práticas de relatório de reservas de exchanges explica que esses sistemas comparam ativos cobertos com saldos de clientes cobertos. Eles não incluem automaticamente cada passivo corporativo nem estabelecem que os controles funcionam continuamente entre os retratos.
Um índice acima de 100% significa que os ativos incluídos nesse cálculo excedem os saldos de clientes correspondentes incluídos nele. Ele não mede a qualidade de um sistema de saques nem mostra como um atacante obteve uma autorização válida.
A atualização de reservas prometida pela Binance e o post-mortem técnico servem, portanto, a propósitos diferentes. A primeira pode documentar a cobertura em um momento declarado, enquanto o segundo pretende explicar o comprometimento e as medidas tomadas para fechar a rota usada pelo atacante.
O mesmo ativo não deveria ser apresentado tanto como liquidez de saque livremente disponível quanto como propriedade de recuperação imobilizada sem explicar seu status. Tokens congelados podem manter um valor cotado em dólares enquanto permanecem indisponíveis para saques comuns de clientes.
A promessa de reembolso deixa o cronograma de recuperação em aberto
A resposta mais contundente declarada pela Binance é o seu compromisso de cobrir todas as perdas, respaldado tanto pelo SAFU quanto por fundos da empresa. Os congelamentos relatados conferem ao esforço de recuperação um conjunto identificado de ativos que os atacantes não podem movimentar livremente sob os controles aplicáveis.
Nenhum dos compromissos fornece um valor final de perdas. A Binance ainda não publicou a reconciliação completa entre ativos roubados, saldos congelados, ativos devolvidos e recursos da empresa comprometidos para substituir os fundos dos clientes.
O registro público também contém um status operacional em mudança. O aviso de segurança inicial descrevia uma pausa nos depósitos e saques, enquanto reportagens subsequentes descreviam os depósitos como operacionais e os saques sujeitos a trabalho de segurança adicional.
Os avisos pertencem aos seus respectivos momentos de publicação. A capacidade de um cliente de sacar depende do aviso de serviço atual para a rede relevante, não de se outra rede retomou as operações.
Uma estimativa de retomada é uma meta da empresa até que o serviço seja efetivamente restaurado. Não é um prazo que exija que todo cliente aja, e a declaração de segurança examinada da Binance não impõe uma janela universal de saque para os clientes.
O relatório técnico abordará o ponto de entrada preliminar
A referência da exchange a um laptop comprometido permanece preliminar. Sua declaração identifica um possível caminho de um dispositivo de engenheiro até um contêiner interno, mas não publica uma explicação concluída de como o atacante obteve cada autorização nas redes afetadas.
A análise da Blockaid oferece evidências sobre a execução na Ethereum, enquanto a investigação da TRM abrange transferências e atribuição em um conjunto maior de redes. Seu trabalho não substitui o relato prometido pela Binance sobre os controles de acesso internos.
A Binance.US, a afiliada americana separada da exchange, disse que suas operações não foram afetadas pelo incidente.
O que observar
Ativos devolvidos: Uma transferência confirmada para a custódia de recuperação estabeleceria um status diferente do de um congelamento por emissor.
Avisos de saque: Atualizações de serviço específicas por rede estabelecerão quais saques foram efetivamente retomados.
Instantâneo de reservas: A data, os ativos cobertos e o tratamento dos saldos congelados definirão o que o novo relatório estabelece.
Post-mortem técnico: O relato final deve conectar o acesso interno, a autorização de assinatura e as transferências on-chain.
Reconciliação de perdas: A contribuição divulgada pela Binance e os ativos recuperados determinarão sua eventual exposição financeira.
Perguntas frequentes
Quanto a Binance diz ter sido afetado?
A Binance estima aproximadamente US$ 6,3 bilhões. O rastreamento separado da TRM avaliou as transferências originais em aproximadamente US$ 6,36 bilhões, usando os preços no momento em que saíram.
Quanto foi congelado?
A Binance diz cerca de US$ 3 bilhões. Usando os números arredondados da exchange, isso é aproximadamente 47,6% do impacto estimado.
Congelado significa recuperado?
Não. O valor de US$ 3 bilhões descreve ativos cuja movimentação foi restringida, enquanto um retorno ou recuperação efetiva exige uma etapa adicional.
Os clientes arcarão com a perda?
A Binance prometeu cobrir todas as perdas com o SAFU e fundos da empresa. Sua declaração nomeia 2 fontes de financiamento sem publicar suas contribuições finais.
O atacante roubou uma chave privada?
A Binance diz não ter encontrado evidências de vazamento de chave privada de carteira. A Blockaid identificou 50 autorizações EIP-7702 no ataque à Ethereum, mas o comprometimento interno completo permanece sob investigação.
Todas as transferências foram feitas via EIP-7702?
Não. A Blockaid descreveu outras transferências assinadas comuns, e a TRM rastreou saídas em 10 redes, incluindo Bitcoin e Tron.
O saldo do SAFU de fevereiro pode ser tratado como atual?
Não. O saldo reportado de 15.000 BTC e sua avaliação de fevereiro pertencem àquele anúncio anterior, não a uma nova reconciliação de outubro.
O que a Binance prometeu publicar em seguida?
A Binance prometeu um relatório de reservas atualizado e uma análise técnica post-mortem, 2 divulgações abordando a cobertura e o comprometimento, respectivamente. Esta é uma análise educacional, não aconselhamento de investimento.
