Quinta-feira, 29 de outubro. A Binance, a maior corretora de criptomoedas do mundo em volume de negociação, anuncia que sofreu um ataque. A estimativa inicial: cerca de US$ 6,3 bilhões, algo em torno de R$ 33 bilhões. É o maior roubo da história do setor, quatro vezes o da Bybit, que em fevereiro de 2025 perdeu US$ 1,5 bilhão e até então detinha o recorde.
Depósitos e saques foram suspensos. Em poucos dias, o assunto tomou o noticiário e, como acontece com tudo que envolve criptomoedas, ganhou ruído demais: valores que mudam, versões que divergem, especulação sobre quem está por trás.
Eu não escrevo este texto para falar de criptomoeda. Escrevo porque, no meio do ruído, existe uma informação que serve a qualquer empresa, de qualquer tamanho: segundo a própria Binance, a investigação inicial aponta que o ponto de entrada pode ter sido o notebook de um engenheiro.
Em julho, escrevi que o maior risco de uma empresa não está tentando invadir, ele já tem crachá. O caso Binance é uma variação desse tema: o invasor pode tomar emprestado o crachá de alguém, e o notebook é o lugar onde esse crachá mora.
O que se sabe, e quem disse
Nas primeiras horas de um incidente grande, três coisas se misturam: o que a empresa afirma, o que terceiros calculam e o que as autoridades confirmam. Vale separar.
-
O que a Binance disse: que a apuração inicial sugere que o notebook de um engenheiro de DevOps, a pessoa que cuida da infraestrutura, deu acesso a um contêiner de serviço, o que permitiu saques não autorizados. Em atualizações seguintes, falou em “ataque complexo”, com vários fatores, e disse ter encontrado outras brechas. Também afirmou não haver evidência de vazamento de chaves privadas.
-
O que a Bitquery apurou (empresa de dados em blockchain): os US$ 6,3 bilhões teriam saído de 17 carteiras quentes em menos de quatro horas. Carteira quente é a que fica conectada para os saques funcionarem, o equivalente ao caixa da loja, em oposição ao cofre.
-
O que o FBI disse: atribuiu o ataque ao Trader Traitor, grupo ligado ao governo da Coreia do Norte, segundo a PBS NewsHour, e pediu a corretoras e empresas de análise que bloqueiem transações ligadas às carteiras identificadas. A TRM Labs já havia apontado o mesmo grupo, com “alta confiança”. Nas fontes que consultei, a Binance não confirma a autoria por conta própria.
-
O que a Binance prometeu: cobrir as perdas dos clientes, repor a maior parte dos ativos com recursos próprios e publicar um relatório detalhado depois da investigação. Os saques foram retomados em etapas a partir de 1º de novembro.
Uma observação sobre os números: eles divergem entre as fontes. Alguns veículos falaram em desvio em cerca de 20 minutos, a Bitquery fala em menos de quatro horas. A Binance diz ter congelado cerca de US$ 3 bilhões, a Bitquery contabiliza US$ 2,7 bilhões. Em incidentes desse tamanho, isso é normal. O que importa agora é o padrão, não o número exato.
A porta de entrada que quase ninguém protege como deveria
Pense em quem, na sua empresa, tem acesso a tudo: o administrador de sistemas, o engenheiro de infraestrutura, o responsável pela nuvem. Essas pessoas precisam de permissões amplas para trabalhar, e é exatamente por isso que as máquinas delas valem mais para um invasor do que as de qualquer outro colaborador.
É a lógica da chave mestra do prédio. Ela existe, e alguém precisa carregá-la. O risco não está em ter a chave, está em onde ela fica. O notebook de um engenheiro conecta-se a tudo: e-mail, navegador, aplicativos de mensagem, repositório de código, ambiente de produção. Basta uma peça dessa cadeia ser comprometida para o resto abrir.
Também não é uma questão de descuido pessoal. O trabalho técnico é feito de pressa, de atalhos razoáveis e de ferramentas novas instaladas para resolver o problema do dia. Cada escolha, isolada, faz sentido. Juntas, formam uma máquina que reúne poder demais e proteção de menos.
Um ponto de honestidade: ninguém sabe ainda como esse notebook foi comprometido, e a Binance não explicou. Pode ter sido um e-mail falso, um programa malicioso, uma extensão adulterada. A resposta virá no relatório prometido. Mas a pergunta útil não depende dela: o que acontece quando a máquina de quem tem acesso total é comprometida?
O que ainda não sabemos
-
Se o notebook foi mesmo a porta principal ou se houve outras. A Binance fala em vários fatores, sem detalhar quais.
-
Como o notebook foi comprometido.
-
Quais são as “outras brechas” que a empresa diz ter encontrado.
-
Onde está o que ainda não foi congelado: a Bitquery estima cerca de US$ 3,1 bilhões em poder do atacante, a maior parte em Ether e Bitcoin.
-
O resultado da prova de reservas atualizada que a empresa prometeu.
Enquanto essas peças não se encaixam, qualquer conclusão sobre quem errou onde é palpite. E uma observação sobre a Coreia do Norte: seja o adversário um Estado ou um criminoso comum, a defesa começa nos mesmos lugares. Saber quem atacou muda a manchete, mas raramente muda os controles.
O relógio corre contra quem defende
No artigo de 25/10, escrevi sobre os três relógios de um incidente: da invasão à detecção, da detecção ao aviso, do aviso à ação. O caso Binance mostra um quarto, o da lavagem. Segundo o Brazil Journal, a Chainalysis observou padrões de lavagem nunca vistos antes, com milhares de transações que sugerem automação, os ativos passando repetidamente de endereço em endereço. O FBI diz que os atacantes convertem o roubo principalmente em Ethereum e prevê novas tentativas por plataformas de finanças descentralizadas e serviços de troca instantânea. Um especialista ouvido pela Bloomberg afirmou que parte do que foi levado provavelmente é irrecuperável.
O que as emissoras de stablecoins conseguiram congelar mostra o valor de agir rápido. Cada minuto ganho entre o ataque e a percepção vale muito mais do que qualquer esforço de recuperação depois. Detectar cedo continua sendo o melhor investimento de segurança que existe.
Cinco perguntas para o gestor
-
Onde ficam as máquinas de quem tem acesso privilegiado? Administradores usam o mesmo notebook para e-mail, navegação e administração de sistemas? Separar o ambiente do dia a dia do ambiente de administração reduz a chance de um clique errado chegar ao núcleo. (ISO/IEC 27001:2022, A.8.1 e A.8.2)
-
A autenticação dessas pessoas é a mais forte que a empresa tem? Senha, e até código por SMS, não são o melhor que existe hoje. Métodos resistentes a phishing merecem prioridade justamente onde o acesso é mais poderoso. (A.8.5)
-
Quanto pode sair, e com que rapidez, antes que alguém seja avisado? Limites por operação, aprovação por duas pessoas e alertas de velocidade funcionam como freio de emergência. Não sabemos como estavam esses controles na Binance. Para a sua empresa, a pergunta é se existe um freio automático para dinheiro, dados ou configurações críticas. (A.8.16)
-
O acesso é permanente ou sob demanda? Um acesso que existe 24 horas por dia vale ouro para quem invade. Liberar apenas quando necessário, e por tempo limitado, reduz a janela de oportunidade. (A.8.2 e A.5.18)
-
Se acontecer hoje, quem decide o quê, em quanto tempo, e o que dizemos? A Binance suspendeu saques, congelou o que pôde, prometeu cobrir as perdas e retomou em etapas. Comunicar sob pressão é difícil: segundo reportagem, as mensagens da empresa nas redes foram parcialmente contraditórias no início, ao afirmar que os fundos estavam seguros e, na sequência, que cobriria as perdas. Plano de comunicação de crise faz parte da segurança. (A.5.24, A.5.25 e A.5.26)
O que a retomada dos saques mostra
Um dado curioso do primeiro dia de retomada: entre 6h e 15h30 (UTC) de 1º de novembro, a Binance processou cerca de US$ 4,6 bilhões em saques e US$ 1,0 bilhão em depósitos, uma saída líquida de US$ 3,6 bilhões, segundo a TechCrunch. A Reuters calculou que isso equivale a 2,1% dos ativos sob gestão.
Ou seja, mesmo depois do maior roubo da história do setor, a imensa maioria do dinheiro ficou. Confiança também é um ativo de segurança: constrói-se antes, na transparência do dia a dia, e é testada no dia da crise.
Para quem guarda criptoativos em corretoras
Isto não é recomendação financeira. É um fato: quando um ativo fica sob custódia de uma corretora, a segurança dele depende da segurança e da solvência da empresa. A Binance afirma que cobrirá as perdas, mas essa é uma promessa da empresa, não uma garantia do sistema.
Vale conhecer o modelo de custódia que você usa, ativar a autenticação mais forte disponível e desconfiar de mensagens “da corretora” nesta semana: golpistas adoram usar notícia de ataque como isca. Entre sempre pelo aplicativo ou site oficial. Nas fontes que consultei, não há informação sobre impacto específico em usuários brasileiros.
O recado que fica
O ataque à Binance não é uma história sobre criptomoedas. É uma história sobre onde moram as chaves: em pessoas, e nas máquinas dessas pessoas. Quanto mais automatizamos, mais valioso se torna o humano que tem acesso.
Isso não é motivo de pânico. É motivo de revisão. A lista de quem tem acesso privilegiado, a proteção das máquinas dessas pessoas e o freio para o que pode sair rápido demais são tarefas de gestão, e todas cabem numa reunião de segunda-feira.
Fica a pergunta: se o notebook de quem tem acesso total à sua empresa fosse comprometido hoje, quanto tempo levaria para alguém perceber, e o que impediria o estrago de ser enorme?
Fontes: Yahoo Finance (02/11/2026), finance.yahoo.com; Euronews (30/10/2026), euronews.com; Brazil Journal (30/10/2026), braziljournal.com; CartaCapital (30/10/2026), cartacapital.com.br.
