Trabalho interno na Binance
O "Hack" da Binance Provavelmente Foi um Caso de Conspiração Interna
Principais Pontos
- O roubo de US$ 6,3 bilhões na Binance está sendo atribuído a um hack norte-coreano — mas o detalhe mais importante aponta na direção oposta.
- A própria Binance confirmou que nenhuma chave privada de carteira foi vazada. O ataque utilizou acesso à infraestrutura de assinatura — que é exatamente o tipo de acesso que um insider já possui.
- As declarações públicas da Binance oscilaram entre "os fundos dos usuários estão completamente seguros" e "cobriremos todas as perdas" — e sua história do "laptop hackeado" é auto-serving e não verificada.
- Esta não é a primeira vez que a Binance enfrenta esse tipo de situação. O próprio memoir de CZ suspeitava de suborno interno no hack de 2019, e a empresa se declarou culpada em 2023 por permitir deliberadamente a lavagem de dinheiro.
- A atribuição da Coreia do Norte com "alta confiança" é correspondência de padrões, não prova — e a vítima é quem controla a narrativa.
A História Oficial, Resumida
No fim da noite de 29 de outubro de 2026, aproximadamente $6,3 bilhões saíram das carteiras quentes da Binance em dez blockchains — Bitcoin, Ethereum, Tron, Solana e outras —, a maior parte delas em vinte minutos. É, por qualquer medida, o maior roubo da história das criptomoedas: quase quatro vezes o recorde anterior, a perda de $1,5 bilhão na Bybit de fevereiro de 2025.
Em poucas horas, as firmas de inteligência de blockchain TRM Labs e Chainalysis atribuíram o ataque "com alta confiança" ao TraderTraitor, o grupo norte-coreano ligado à operação Lazarus. A versão da própria Binance: um laptop de um engenheiro de DevOps foi comprometido, o invasor o usou para alcançar um container de serviço e, a partir dele, submeteu transações de saque não autorizadas. Cerca de $3 bilhões foram congelados com a ajuda de Tether, Circle e Ripple. A Binance disse que indenizará todos os usuários por meio de seu fundo de seguro SAFU e das reservas da empresa.
Caso encerrado, parecia dizer o mercado. O Bitcoin caiu, o BNB despencou e a história se consolidou em um formato familiar: mais um Estado-nação atacado, mais uma exchange arcando com as despesas. Mas essa história confortável tem uma rachadura que a atravessa por completo.
A Revelação: Nenhuma Chave Privada Foi Vazada
A frase mais importante na própria divulgação da Binance foi abafada pelo ruído. A Binance afirmou — repetidamente — que os investigadores não encontraram evidências de que alguma chave privada de carteira tenha sido vazada.
Pare e pense no que isso significa. Um ladrão que invade de fora precisa levar algo: uma chave, uma seed phrase, uma senha, um segredo de assinatura. É isso que "hack" significa em cripto. Mas aqui, nada foi levado. Em vez disso, diz-se que o invasor usou a infraestrutura de assinatura — o mecanismo de assinatura EIP-7702 na Ethereum, transações pré-autorizadas — para mover fundos. Em termos simples: o dinheiro se moveu porque algo dentro do próprio pipeline de assinatura da Binance autorizou o movimento.
Essa é uma diferença profunda. Uma infraestrutura de assinatura comprometida não é "nós fomos assaltados". É "alguém com acesso legítimo à assinatura moveu o dinheiro". E as pessoas que detêm acesso legítimo à assinatura são, por definição, internas no prédio — ou foram deixadas entrar por alguém que está.
Um ator estatal externo teria que trabalhar enormemente para alcançar essa camada sem ser detectado. Um insider, ou um insider trabalhando com um parceiro externo, já está em pé nessa camada. A história do "laptop hackeado" é conveniente precisamente porque explica a chave roubada desaparecida — mas é a própria conta não verificada da Binance, e merece o mesmo ceticismo que o primeiro relato de qualquer vítima.
Uma Narrativa Contraditória e de Interesse Próprio
Observe as próprias comunicações da Binance e você verá a história vacilar. Em uma mensagem, os fundos dos usuários estavam "completamente seguros". Na próxima, a empresa "arcaria com todas as perdas". Essas duas afirmações não podem ser casuais. A conta da empresa na América Latina confirmou um impacto de "cerca de US$ 6,3 bilhões" ao mesmo tempo em que alertava que o número "pode continuar subindo". As declarações surgiram de forma intermitente, às vezes se contradizendo — o que vários veículos de imprensa notaram.
Nada disso prova má conduta. Empresas em crise muitas vezes se comunicam mal. Mas quando a entidade que conta a história também é a que controla a investigação, o público recebe exatamente uma versão dos fatos — e essa versão tem um incentivo interno para culpar um adversário estrangeiro em vez de uma falha em sua própria casa.
A História Que Ninguém Quer Mencionar
Aqui é onde a teoria do trabalho interno deixa de ser especulação e se torna um padrão.
Primeiro, 2019. Em maio de 2019, hackers drenaram 7.000 bitcoins — cerca de US$ 40 milhões na época — da carteira quente da Binance. Em suas próprias memórias, o fundador Changpeng Zhao escreve que ele suspeitava fortemente do grupo Lazarus da Coreia do Norte, e que os atacantes podem ter subornado um funcionário interno. Isso não é um crítico externo dizendo isso. É o fundador, por escrito, admitindo que o caminho do insider estava em discussão.
Em segundo lugar, em 2023. A Binance e Zhao declararam-se culpados de acusações federais e pagaram uma resolução de US$ 4,3 bilhões — o maior acordo corporativo na história da fiscalização de crimes financeiros do Tesouro dos EUA. O Departamento de Justiça detalhou, minuciosamente, como a Binance deliberadamente deixou de impedir dinheiro criminoso: aproximadamente US$ 106 milhões em bitcoin fluindo diretamente do mercado darknet Hydra, centenas de milhões a mais por meio do serviço de mistura Bestmixer, e um esquema para esconder usuários dos EUA atrás de uma etiqueta "UNKWN" após afirmar publicamente bloqueá-los. As próprias palavras de Zhao de um chat interno: "Melhor pedir perdão do que permissão."
Terceiro, o padrão mais amplo da indústria. Os roubos em exchanges nem sempre são externos. Em 2019, a Bithumb da Coreia do Sul concluiu que sua perda de US$ 19 milhões foi um trabalho interno de um ex-funcionário com acesso a hot wallet. O ponto não é que todo hack seja interno. O ponto é que "cibercriminoso de estado-nação" é a narrativa padrão porque é aquela com a qual todos — incluindo a vítima — se sentem mais confortáveis, e é a mais fácil de afirmar.
Quando uma empresa tem um histórico documentado de esconder o que está fazendo, sua versão não verificada de sua própria violação de segurança não deve ser aceita de cara. Isso não é uma teoria da conspiração. É due diligence básica.
O Que Resolveria
A questão do trabalho interno é respondível, e a resposta virá de evidências controladas pela Binance — que é exatamente o problema. Uma resolução credível incluiria: um relatório forense independente e de terceiros (não um post-mortem escrito pela própria empresa); a identidade e o escopo de acesso de toda autoridade de assinatura envolvida durante a janela de vinte minutos; e um balanço público de quais sistemas internos autorizaram os saques.
Até que essas evidências existam, a posição honesta é que isto foi muito provavelmente um trabalho interno — ou uma mão interna guiando uma externa. A atribuição à Coreia do Norte não é prova; é uma inferência baseada em similaridades com incidentes passados. Similaridades não são impressões digitais.
A conclusão desconfortável: o maior roubo na história das criptomoedas pode não ter sido uma invasão de segurança de forma alguma. Pode ter sido uma porta aberta de dentro para fora. E uma empresa com o histórico da Binance merece toda e qualquer fiscalização que isso gere.
FAQ
Quanto foi realmente roubado da Binance? Aproximadamente 6,3 bilhões de dólares foram transferidos das carteiras quentes da Binance para dez blockchains diferentes em cerca de vinte minutos no dia 29 de outubro de 2026. Cerca de 3 bilhões de dólares já foram congelados; a Binance afirma que cobrirá todas as perdas dos clientes com seu fundo SAFU e com as reservas da empresa.
Por que algumas pessoas acham que foi um trabalho interno? Porque a Binance confirmou que nenhuma chave privada de carteira foi vazada. Os fundos foram movidos por meio de infraestrutura de assinatura comprometida — acesso autorizado, não chaves roubadas. Esse tipo de acesso é o mesmo que um insider já possui, e a Binance tem um histórico que torna sua história do "notebook hackeado" difícil de levar ao pé da letra.
A que histórico eles se referem? Em suas memórias, CZ disse que o hack da Binance de 2019 pode ter envolvido um insider subornado. Em 2023, a Binance e CZ se declararam culpados de acusações federais e pagaram US$ 4,3 bilhões por permitir deliberadamente a lavagem de dinheiro e ocultar usuários dos EUA de reguladores.
Não é oficialmente culpada a Coreia do Norte? Sim — a TRM Labs e a Chainalysis atribuíram o ataque ao grupo North Korean TraderTraitor "com alta confiança." Mas essa é uma inferência baseada em semelhanças com incidentes passados, não prova. A vítima controla a investigação, e nenhum relatório forense independente foi lançado.
Que evidências resolveriam isso? Um relatório forense independente de terceiros, um relato completo de quais autoridades de assinatura foram acionadas e uma explicação pública de quais sistemas internos autorizaram os saques. Nada disso foi liberado.