US$ 2,4 bilhões do maior roubo da história seguem em bitcoin e ether, fora de alcance

Poucas horas depois do saque, os investigadores de blockchain já tinham um nome. A TRM Labs apontou a TraderTraitor como responsável pelo desvio de US$ 6,36 bilhões das carteiras da Binance, unidade de ataque da Coreia do Norte especializada em invadir empresas de criptoativos e que investigadores ocidentais tratam como Grupo Lazarus. Um grau alto de confiança sustenta a conclusão, apoiada em dados de blockchain e em informações fora da rede. Até a manhã desta sexta-feira, a exchange não havia confirmado a autoria e nenhum governo tinha acusado alguém formalmente. Pela conta da própria Binance, o impacto do episódio fica perto de US$ 6,3 bilhões.

No rastro do próprio dinheiro apareceu o elo mais forte. ZachXBT, investigador independente, mostrou que ativos retirados da Binance e ativos do roubo sofrido pela Bitget se encontraram no mesmo endereço depois de passarem pela THORChain, uma ponte que troca moedas entre redes. Antes disso, o caso da Bitget já havia sido atribuído a autores norte-coreanos. Do lado da Chainalysis, a conclusão foi a mesma, alcançada por caminho próprio. Semelhanças com o assalto à Bybit que rendeu US$ 1,5 bilhão entraram na lista da TRM, junto com o episódio da Kelp DAO em abril deste ano, e o FBI já havia atribuído aquele roubo ao mesmo grupo. Trinta e seis horas antes do saque, a preparação já estava em curso.

A Binance descreveu a entrada dos invasores sem apontar culpados. O laptop comprometido de um engenheiro de DevOps abriu caminho até um contêiner de serviço, e a partir dali saíram ordens de saque não autorizadas. Não há, até agora, sinal de vazamento de chave privada, e a empresa admite outros pontos de violação em apuração. Richard Teng, que divide o comando da exchange, escreveu que o invasor não se apoiou apenas nas permissões de um engenheiro e que a operação teve várias etapas até o desvio. Como as carteiras foram esvaziadas está na matéria publicada nesta manhã.

O que ninguém conseguiu travar

A Binance contabiliza algo como US$ 3 bilhões travados. Na soma da TRM, a Tether, a Circle, a Ripple e a World Liberty Financial bloquearam US$ 2,67 bilhões, e o conselho de segurança da Arbitrum travou 8.426 ether e 74,6 milhões de tokens ARB. Toda stablecoin tem um emissor, e o emissor bloqueia o saldo quando decide. As moedas que sobraram não têm ninguém para chamar.

O invasor ficou com mais de 420 mil ether e 18.270 bitcoin, algo como US$ 2,4 bilhões que nenhuma empresa consegue congelar por conta própria. Já o bitcoin se move em transferências cada vez menores, encadeadas uma após a outra, até o valor original se dissolver em uma sequência longa de endereços.

Mover esse volume exigiu pressa, e a pressa cobrou caro. Para receber perto de 122.300 ether, o invasor entregou US$ 325 milhões em USDT a formadores de mercado, com desconto acima de 10% sobre o preço de tela. No Aave, deixou 60 milhões de USDT como garantia e levantou 19.760 ether. As duas operações trocam um ativo que o emissor trava por outro que ninguém trava, e o custo disso aparece no desconto. Pela projeção da TRM, a próxima etapa passa por pontes entre redes, mesas de balcão e serviços de troca.

O ano mais caro da história

Os US$ 6,3 bilhões entraram em um placar que já estava alto. Na contagem da DeFiLlama, 2026 passou de US$ 8 bilhões roubados e virou o ano com mais dinheiro perdido em ataques na história do setor. Em 2025 inteiro, os ataques somaram US$ 2,87 bilhões, espalhados por quase 150 casos.

Para Ari Redbord, que responde pela área de política da TRM Labs e já foi procurador federal nos Estados Unidos, a escala muda a natureza do crime. Roubo desse tamanho, disse ele, acaba financiando armamento e operações que desestabilizam outros países.

Congelar não devolve. O chefe de pesquisa da Chainalysis, Eric Jardine, explica que o bloqueio técnico sai em horas, enquanto a devolução depende de ordem judicial e de coordenação entre exchanges e emissores de stablecoin, em um processo que costuma levar meses ou anos. A Binance diz que cobre todas as perdas, que nenhum depósito de cliente foi afetado e que os saques voltam em um ou dois dias.