Usuários da Binance retiram bilhões do Crypto Exchange após a retomada das retiradas
A Binance começou a restaurar as retiradas em fases no domingo, dias depois que hackers roubaram US$ 6,3 bilhões da exchange em questão de minutos. O primeiro lote de grandes retiradas de ativos criptográficos voltou a ficar online pela manhã, cobrindo Bitcoin, Ether, USDT, USDC, BNB, SOL, XRP e vários outros. A empresa disse que está cobrindo as perdas com fundos próprios e com o Secure Asset Fund for Users (SAFU).
De acordo com a CoinDesk, mais de US$ 6 bilhões em tokens saíram das carteiras associadas à Binance assim que as retiradas foram reativadas, com base nos dados de fluxo da carteira DefiLlama. Esse número equivale a cerca de 3,6% dos US$ 171 bilhões em ativos que a Binance relatou possuir antes do ataque. Mesmo depois de todas essas saídas, o rastreador DefiLlama ainda mostrou cerca de US$ 129 bilhões restantes em carteiras vinculadas à Binance.
A própria contabilidade da Binance afirmou que a exchange processou US$ 4,649 bilhões em saques contra US$ 1,01 bilhão em depósitos durante as primeiras nove horas e meia após a reativação dos saques, para uma saída líquida de cerca de US$ 3,64 bilhões, ou 2,1% dos ativos sob gestão. O cofundador e ex-CEO da Binance, Changpeng “CZ” Zhao, postou no X que a maior parte da saída líquida ocorreu nas primeiras horas e que “98% optam por ficar”.
A Binance também disse que cobriu aproximadamente 95% dos US$ 6,3 bilhões em ativos roubados até domingo, acima dos cerca de 90% do dia anterior, com participações importantes, incluindo Bitcoin, Ether, USDT, BNB, SOL, USDC e XRP totalmente respaldadas em 100%. O saldo restante descoberto consiste em tokens menos líquidos que a empresa ainda compra por meio de canais de mercado aberto e de balcão. A empresa também se comprometeu a reabastecer o SAFU para cerca de US$ 1 bilhão.
Seguindo o dinheiro
As empresas de análise de blockchain rastrearam grandes porções dos fundos roubados associados ao hack da Binance, que o FBI e muitos outros atribuíram ao grupo TraderTraitor da Coreia do Norte. A Elliptic descreveu a atividade como lavagem no piloto automático, já que uma carteira de distribuição Tron liberou fundos em um horário estrito por 31 horas seguidas, sem pausa durante a noite. Dentro de cada um desses lotes de hora em hora, as transferências individuais raramente aconteciam com mais de 30 segundos de intervalo, e as carteiras receptoras normalmente encaminhavam o dinheiro em cerca de dois minutos.
A Elliptic também observou valores repetidos de swap no THORChain (um valor apareceu 19 vezes) e reenvios automáticos quando uma ponte rejeitou depósitos. A empresa escreveu que “os fundos da Binance estão sendo movidos por algo que não dorme”.
A Chainalysis sinalizou de forma semelhante movimentos automatizados de fundos associados ao hack da Binance. Em comunicado compartilhado com o Gizmodo, o CEO da Chainalysis, Jonathan Levin, disse sobre os esforços de lavagem do hacker:
“Eles têm muito dinheiro para seus locais de lavagem de dinheiro confiáveis. Portanto, o dinheiro fluirá para uma rede mais ampla de serviços, como pontes, trocas instantâneas e trocadores, devido a um conjunto mais amplo de lavadores de dinheiro. Nossos investigadores estão rastreando novos mecanismos automatizados de lavagem usando nossos novos recursos de IA que correspondem à tentativa de velocidade e sofisticação dos lavadores.”
Somente em Tron, o observador de blockchain SomaXBT rastreou aproximadamente US$ 242 milhões em fundos associados ao roubo que passou pela rede durante os primeiros dois dias. Desse montante, aproximadamente US$ 194 milhões deixaram Tron por meio de pontes e serviços de swap, incluindo Relay, THORChain, Chainflip e Symbiosis. Outros US$ 41,7 milhões passaram pela Bitget Wallet, embora seu destino final permanecesse sem solução.
Curiosamente, Monero e Zcash, que são frequentemente apontados como ativos criptográficos com maior privacidade que complicariam o rastreamento, não parecem ter sido usados em escala significativa para esses rendimentos, provavelmente devido à liquidez limitada. As trocas de criptografia entre cadeias, como o THORChain, são frequentemente usadas por criminosos para trocar stablecoins e outros ativos criptográficos por Bitcoin, pois é o mais confiável e estável de todos os ativos cripto-nativos que não podem ser congelados por terceiros. “Com base no caso Bybit, esperamos que o invasor troque o ETH por bitcoin e depois tente sacá-lo por meio de corretores e bolsas de balcão”, escreveu Elliptic em uma atualização de segunda-feira sobre os esforços de lavagem do hacker Binance.
Maior escrutínio do THORChain
O THORChain atraiu atenção especial porque tem sido usado repetidamente por grupos conectados à Coreia do Norte após grandes hacks. Após o roubo de cerca de US$ 1,4 bilhão em criptografia pela Bybit em fevereiro de 2025, os pesquisadores rastrearam cerca de 85%, ou cerca de US$ 1,2 bilhão, dos rendimentos do protocolo em bitcoin. A CoinDesk anteriormente se referiu a ela como “a ferramenta favorita de lavagem de criptografia da Coreia do Norte” nesse contexto. Um padrão semelhante apareceu com o hack de US$ 388 milhões da Bitget em setembro e agora com os fundos do hack da Binance da semana passada.
Os críticos acusaram o protocolo de usar o teatro de descentralização para se isentar de qualquer responsabilidade por fundos ligados a atores norte-coreanos que circulam pela bolsa, apesar de ter interrompido anteriormente o protocolo “imparável” durante um caso em que o próprio THORChain lidou com o seu próprio incidente de segurança. No X, Chainalysis observou que THORChain “simplesmente atrasou inadvertidamente a lavagem de uma quantidade significativa de fundos roubados da Binance” depois que o protocolo pausou os swaps em resposta a uma reorganização do bloco Ethereum que levou a problemas técnicos.
Em resposta a um argumento do cofundador da THORChain, John-Paul Thorbjornsen, de que não se deveria esperar que THORNodes pausassem ou censurassem transações, assim como os nós Bitcoin ou Ethereum, o pseudônimo pesquisador de segurança de blockchain Tanuki42 respondeu:
“Esta é uma falsa equivalência e você sabe disso. É nesta colina que você realmente quer morrer? Se tudo o que os ‘seus princípios’ trouxeram ao mundo foi permitir que regimes ditatoriais roubassem dinheiro e construíssem armas nucleares, tudo isso enquanto construíam uma riqueza pessoal extraordinária: você não é um mártir, você é um idiota.”
Tanuki42 também apontou para um documentário do 7 News Spotlight sobre o hack do Bybit que incluía Thorbjornsen dizendo: “(A Coreia do Norte) pode realmente precisar desses US$ 1,5 bilhão para alimentar sua população”.
O cofundador da THORChain, Chad Barraford, disse que o protocolo não possui uma lista negra seletiva por design e que as paradas existentes são disjuntores que param todos ao mesmo tempo. Num debate anterior com o investigador de segurança blockchain Taylor Monahan, no entanto, ele reconheceu que se dois terços dos operadores de nós concordassem, então a lavagem poderia ser bloqueada.
Notavelmente, a indústria criptográfica respondeu de forma mais ampla ao hack da Binance, congelando grandes quantidades de stablecoins e geralmente agindo como os bancos que esta tecnologia foi originalmente destinada a desintermediar.
O FBI, juntamente com o Serviço Secreto dos EUA e a Investigação Criminal do IRS, instou os operadores THORNode, operadores de nós RPC, trocas instantâneas, serviços DeFi e outros provedores de serviços de ativos virtuais a bloquearem transações vinculadas aos endereços que o TraderTraitor está usando. A agência também listou centenas de endereços de blockchain supostamente conectados ao hack.
No X, L0la L33tz do The Rage argumentou que o pedido é dirigido a operadores de serviços sem custódia e que alegar incapacidade técnica pode não proteger os operadores de riscos legais, como visto anteriormente no caso Tornado Cash.
Eles não estão pedindo informações, seu idiota.
Eles estão lhe dizendo explicitamente para bloquear as transações da RPDC.
É um tiro de advertência, mano. PEGUE A PORRA DO AVISO E PARE DE MERDA.
Por favor. Pelo amor de Deus. 😭😭😭😭😭😭
– Tay 💖 (@tayvano_) 1º de novembro de 2026
Monahan respondeu a uma postagem de Barraford sobre a falta de informações dos operadores de nós THORChain sobre o hack da Binance, afirmando: “Eles não estão pedindo informações, seu idiota. Eles estão dizendo explicitamente para você bloquear as transações da RPDC. É um tiro de aviso, cara. Aceite a porra do aviso e pare de foder. Por favor. Pelo amor de Deus.”
