O FBI atribui oficialmente a piratas informáticos apoiados pelo Estado norte-coreano o roubo recorde de criptomoedas cometido contra a plataforma Binance. A agência pede à indústria das criptomoedas que a ajude a impedir a lavagem dos fundos roubados.
- O FBI atribui à Coreia do Norte o roubo de cerca de 6,3 mil milhões de dólares à Binance.
- A agência identificou 608 endereços Ethereum e pede que as transações ligadas a eles sejam recusadas.
- A Binance admite vários pontos de comprometimento e cobre todas as perdas.
- A lavagem parece automatizada e deverá prolongar-se por vários meses.
O ataque ocorreu a 29 de outubro. Os piratas esvaziaram carteiras quentes da Binance, carteiras digitais ligadas à internet, em várias blockchains, e transferiram a maior parte dos fundos em pouco menos de 20 minutos. A Binance estima o impacto em cerca de 6,3 mil milhões de dólares, o que faria deste o maior roubo de criptomoedas alguma vez registado.
Nas horas que se seguiram, as empresas de análise de blockchain TRM Labs e Chainalysis ligaram o ataque ao grupo norte-coreano TraderTraitor. A Binance tinha inicialmente indicado que a intrusão poderia ter começado através do portátil comprometido de um engenheiro DevOps, e comprometeu-se a cobrir todas as perdas.
Uma atribuição formalizada pelo FBI
O FBI publicou o seu alerta a 31 de outubro, dois dias após o roubo. «O FBI, com os parceiros do USSS e do IRS-CI, observou que atores do TraderTraitor estão a converter os ativos roubados principalmente em Ethereum (ETH). Espera-se que estes ativos sejam depois lavados ao serem convertidos através de serviços DeFi e de trocas instantâneas, para as etapas seguintes de lavagem», indica a agência.
O alerta identifica 608 endereços Ethereum, 19 endereços Bitcoin e um endereço Solana que detêm atualmente, ou detiveram, o produto do roubo. Com o Secret Service e o IRS-CI, o FBI pede aos operadores de nós THORChain e de nós RPC, às trocas instantâneas, aos serviços DeFi e às empresas de análise de blockchain que recusem transações ligadas a estes endereços. A agência já tinha atribuído ao mesmo grupo o roubo de 1,5 mil milhões de dólares sofrido pela Bybit em fevereiro de 2025.
Binance refere um ataque mais amplo do que um único computador
A Binance esclareceu entretanto as suas primeiras constatações. Num comunicado, o co-diretor executivo Richard Teng afirma: «A nossa investigação inicial sugeria que o incidente de segurança poderia envolver um portátil comprometido, mas a nossa investigação posterior revelou pontos de comprometimento adicionais.» Descreve um ataque complexo, que «não foi conduzido por uma única pessoa», e indica que o atacante usou uma funcionalidade de delegação do Ethereum, a EIP-7702, que «não passou pelos nossos controlos de aprovação habituais». A Binance ainda não detalhou estes pontos de comprometimento adicionais e promete uma análise técnica post-mortem assim que os factos sejam verificados. Segundo Richard Teng, o atacante também implementou um mecanismo de autodestruição que apagou as suas ferramentas e os seus rastos, o que complica a investigação. As retiradas foram retomadas por etapas a partir de 1 de novembro, começando pela rede Bitcoin. No domingo de manhã, a troca indicava ter processado cerca de 4,6 mil milhões de dólares em retiradas e 1 mil milhão de dólares em depósitos. Afirma ter substituído cerca de 95% do montante roubado com os seus próprios fundos e está a comprar o restante dos tokens, menos líquidos, no mercado e de forma privada.
Uma lavagem que parece automatizada
A empresa Elliptic quantifica o roubo em 6,43 mil milhões de dólares distribuídos por 11 blockchains, dos quais 2,85 mil milhões de dólares foram congelados ou apreendidos na cadeia. Segundo os seus dados mais recentes, o atacante controla ainda cerca de 3,25 mil milhões de dólares em ativos que nenhum emissor pode congelar, distribuídos por mais de 800 endereços, incluindo cerca de 584 000 ETH, 18 327 BTC e 233 milhões de XRP. A Elliptic salienta que a lavagem «não dorme», ao contrário dos esquemas de trabalho humano observados durante o roubo contra a Bybit.
A principal carteira a distribuir os fundos na Tron continuou a efetuar pagamentos de hora a hora durante mais de um dia. Quando uma ponte inter-cadeias recusou os depósitos, o sistema redirecionou o dinheiro para o mesmo destino através de carteiras recém-criadas. No final de outubro, cerca de 196 milhões de dólares tinham transitado desta carteira para cerca de quarenta… para cerca de 200 outras carteiras, sendo o THORChain a principal via de saída, no valor de cerca de 31 milhões de dólares. A Elliptic não consegue determinar se a automatização assenta em agentes de IA ou em scripts clássicos, e espera uma lavagem distribuída por vários meses, como após o roubo contra a Bybit. A Chainalysis observa, por sua vez, esquemas de lavagem que indicam automatização, nomeadamente milhares de transações em pouco tempo e muitos endereços recentes cuja primeira transferência era exatamente de 1 TRX.
