BR⚡LN Investiga · Versão 1.0 preliminar · Informações verificadas até 30/10/2026, 11:40 UTC (08:40 de Brasília) · Caso em aberto
Na noite de quinta-feira, 29 de outubro, carteiras da Binance começaram a esvaziar. A maior parte do dinheiro saiu em cerca de meia hora, de nove ou dez blockchains diferentes, conforme quem faz a conta, rumo a endereços de um único atacante. Horas depois, a exchange confirmou: alguém conseguiu fazer os sistemas da empresa enviar saques que ninguém autorizou. A Binance estima o impacto em cerca de US$ 6,3 bilhões; para as empresas que rastreiam fundos em blockchains, é o maior roubo de criptoativos já registrado.
Para quem tem bitcoin, a pergunta natural é se o Bitcoin falhou. A resposta curta é não, e dá para conferir. A resposta longa é mais útil: o caso mostra onde mora o risco quando as moedas ficam sob a guarda de terceiros.
O que a Binance confirmou, e como a versão mudou
Às 21:29 UTC (18:29 de Brasília), a Binance disse investigar um possível problema de segurança. Na madrugada de sexta, veio o comunicado formal, repetido no X: a investigação inicial apontava o notebook comprometido de um engenheiro de DevOps, a equipe que cuida da infraestrutura. Por ele, o invasor teria chegado a um “container de serviço”, um pedaço isolado do sistema interno, e dali enviado as ordens de saque. A empresa disse não ter evidência de vazamento de chaves privadas e prometeu cobrir todas as perdas com o SAFU, seu fundo de emergência, e com recursos próprios.
A explicação não ficou parada. O co-CEO Richard Teng afirmou que o atacante não usou apenas as permissões de um engenheiro e que não foi uma ação de “um clique”. Às 08:47 UTC, a Binance acrescentou que encontrou “pontos adicionais de invasão”, sem dizer quais. A versão do notebook único já não basta.
Houve também uma correção sobre os depósitos. O post da madrugada falava em suspensão de “depósitos e saques”, e foi essa a versão que boa parte da imprensa reproduziu. Depois, a co-CEO Yi He escreveu que os depósitos não foram afetados, e o comunicado no site ganhou uma nota para esclarecer isso. Não está claro se eles chegaram a ficar bloqueados em algum momento. Os saques continuam parados: a Binance fala em retomada em 45 a 48 horas, o que aponta para a madrugada de domingo, 1º de novembro. É uma previsão da empresa, não um fato.
Como o dinheiro fica guardado numa exchange
Uma corretora não abre uma carteira separada para cada cliente. Junta tudo em carteiras próprias e anota, num registro interno, quanto cada um tem. Uma parte fica em carteiras “quentes”, conectadas, que pagam os saques do dia a dia; o grosso costuma ficar em carteiras “frias”, de acesso mais lento.
Quando você pede um saque, uma sequência de sistemas monta a transação e pede a assinatura a um serviço que guarda ou usa as chaves. Pense no caixa de um banco que só libera dinheiro com a assinatura de um gerente: se alguém se passa pelo sistema que leva os papéis ao gerente, ele assina, porque a ordem parece legítima. A analogia tem limites, já que aqui a assinatura é criptográfica e automática, mas mostra o ponto central: a chave pode continuar guardada e, ainda assim, ser usada contra o dono.
É essa a leitura da TRM Labs, uma das empresas que rastreiam fundos em blockchains. Carteiras da Binance em redes diferentes, com tipos de chave diferentes, assinaram para o atacante em cerca de meia hora. Para a TRM, o mais provável é que ele tenha conseguido fazer o sistema de assinatura da exchange assinar o que quisesse. A causa raiz oficial ainda não foi publicada.
O bitcoin que saiu, conferido na blockchain
Entre os ativos levados há bitcoin. Partimos dos endereços publicados pela Bitquery e conferimos em dois exploradores públicos independentes. No bloco 973.732, minerado às 20:20 UTC de 29 de outubro, 11 transações tiram exatamente 18.270,2 BTC de uma carteira quente identificada como da Binance e os enviam a um único endereço. Esse endereço logo dividiu o valor em 19 partes, 17 delas de exatamente 1.000 BTC, técnica usada para dificultar o acompanhamento. Quando encerramos a verificação, nenhuma das 19 partes havia se movido.
Um cuidado: a blockchain mostra que as moedas saíram de um endereço e chegaram a outro, mas não mostra quem é o dono de cada um. A identificação da origem como Binance e do destino como atacante vem de Bitquery, TRM e Elliptic, e bate com o valor e o horário anunciados. É uma conclusão bem sustentada, mas é deles.
O protocolo fez exatamente o que devia
Essas 11 transações são comuns e válidas. Entraram num bloco normal, e a rede seguiu produzindo blocos no ritmo de sempre. O Bitcoin confere se a assinatura corresponde à chave que controla as moedas; não confere quem pediu a assinatura, nem se a exchange aprovou o saque internamente. Por isso, um abuso na esteira de saques de uma empresa produz transações impecáveis do ponto de vista da rede.
Nas fontes examinadas, não há indício de falha nas regras do Bitcoin. Não é uma auditoria da rede inteira, mas põe a pergunta no lugar certo: falharam pessoas, máquinas e processos de uma empresa.
Congelar ou não congelar: os dois lados
Parte do prejuízo foi contida rápido. A Tether congelou mais de 1,5 bilhão de dólares em USDT e a Circle, mais de 800 milhões em USDC; outros emissores fizeram o mesmo, e o conselho de segurança da rede Arbitrum moveu fundos do atacante para uma carteira bloqueada. O total congelado foi subindo ao longo da noite, de cerca de US$ 1,8 bilhão nos primeiros bloqueios para os cerca de US$ 3 bilhões citados agora pela Binance. Os números intermediários que circularam, como os US$ 2,54 bilhões “verificados”, são retratos de momentos e escopos diferentes, e a Binance não publicou a composição do seu.
Nada disso alcança o bitcoin. Stablecoins são tokens emitidos por empresas que mantêm, no próprio contrato, um botão para bloquear endereços. O bitcoin não tem emissor e não tem esse botão. Segundo a Elliptic, nada do que foi levado em BTC foi congelado; segundo a TRM, o atacante chegou a vender stablecoins com desconto de mais de 10% só para escapar dos bloqueios.
Esse ponto corta para os dois lados. A característica que impede uma empresa ou um governo de travar as suas moedas por decisão própria também impede que alguém desfaça um roubo com uma canetada. E o poder que congelou o dinheiro do atacante pode, em outro dia, congelar o de um usuário comum. As moedas roubadas continuam rastreáveis, e serviços regulados podem recusá-las, mas a recuperação não depende de um emissor. Não há escolha sem custo; há escolhas que você precisa entender.
E a Lightning?
Nenhuma fonte cita a Lightning Network no ataque. O que há de concreto é outra coisa: às 11:40 UTC de sexta, a página pública de redes da Binance mostrava o saque de bitcoin pela Lightning desligado, “em manutenção”, como todos os outros saques. Mesmo o caminho mais rápido para tirar bitcoin da exchange depende de a exchange deixar. Isso é do serviço da Binance, não do protocolo.
Sem as chaves, sem acesso
“Not your keys, not your coins”, diz o ditado: se as chaves não são suas, as moedas também não são. A Binance afirma que os fundos dos clientes estão seguros, que vai cobrir cada perda e que publicará uma nova prova de reservas. Pode cumprir. Ainda assim, desde a noite de quinta, quem tem saldo lá não consegue sacar, e sua tranquilidade depende da palavra e da saúde financeira de uma empresa.
Quem guardava seus bitcoins com as próprias chaves não passou por isso. Não por ser imune a tudo, mas porque não dependia daquela esteira de saques. Viu o preço cair, como todo mundo, e manteve os próprios riscos: perder as palavras de recuperação, cair num golpe ou ter o computador invadido, o mesmo tipo de porta de entrada citado neste caso. Golpes, aliás, costumam se multiplicar depois de incidentes assim, e a própria Binance alertou contra links falsos. Autocustódia troca o risco de terceiros pelo risco de operação própria; por isso exige aprender antes.
O guia Seja o seu próprio banco é um bom ponto de partida. Para o dia a dia, Qual carteira Lightning usar compara carteiras de terceiros, autocustódia no celular e o próprio node. Quem quiser ir além pode montar um node Lightning e, antes de usar dinheiro de verdade, treinar no laboratório Lightning, que simula uma rede com três nodes sem arriscar um satoshi.
O que ainda não sabemos
A Binance não disse quais foram os “pontos adicionais de invasão” nem publicou a causa raiz. A autoria também está em aberto: TRM, Chainalysis e Elliptic atribuem o ataque, com alta confiança, a um grupo ligado à Coreia do Norte, mas parte dessa conclusão vem de inteligência privada, a Binance não atribuiu autoria e, até o nosso corte, nenhum governo havia confirmado. Também não se sabe a data real de volta dos saques, como será feita a cobertura nem o que acontecerá com os 18.270 BTC parados em 19 endereços. Vamos acompanhar; se algo mudar a leitura deste texto, a correção virá registrada.
Conclusão
O maior roubo de criptoativos já registrado não quebrou o Bitcoin. Quebrou a confiança num intermediário, cuja esteira de saques passou a assinar a favor de um invasor. A rede fez o que sempre faz: aceitou transações com assinatura válida. A lição é antiga e continua atual: quem controla as chaves controla as moedas. Aprender a controlá-las com segurança dá trabalho, mas é um trabalho que nenhum comunicado de exchange faz por você.
Menos rumor. Mais evidência. Don’t Trust. Verify.
Para aprofundar: o comunicado da Binance, as análises da TRM Labs, da Elliptic e da Bitquery, e o endereço que recebeu os bitcoins. O relatório técnico deste caso, em PDF, traz as 11 transações, os comandos para refazer a verificação e as hipóteses com graus de confiança.
Sobre o BR⚡LN
O BR⚡LN é um clube brasileiro de Bitcoin e Lightning que ensina, na prática, a sair da dependência de intermediários, do zero ao próprio node. Quer guardar seus bitcoins sem depender de uma exchange? Comece pelo guia Seja o seu próprio banco e, se quiser companhia nesse caminho, entre no clube.