A carteira da Binance passou o próprio controle a um contrato e o tamanho do prejuízo ainda não fecha

Às 17h24 desta quinta-feira, no horário de Brasília, uma transação esvaziou uma das carteiras quentes da Binance. Saíram 167.464 ether e 63 tipos de token, entre eles US$ 1,615 bilhão em USDT, para um endereço que tinha acabado de ser criado. O registro da rede Ethereum marca a operação às 20h24min23 do horário universal, com as 63 transferências no mesmo bloco.

Três minutos antes, a mesma carteira assinou uma delegação que entregava o controle dela a um contrato escrito pelo invasor. O recurso é o EIP-7702, que existe no Ethereum desde maio de 2025 e permite que uma carteira comum rode código de contrato. As exchanges usam o atalho para agrupar transferências. Com a assinatura, a carteira da Binance virou o instrumento do saque, e o dinheiro saiu sem que ninguém precisasse da chave outra vez. Como o invasor conseguiu essa assinatura segue sem resposta.

O endereço que originou a chamada tinha sido abastecido pelo Tornado Cash, serviço que junta fundos de vários usuários para dificultar o rastreio.

A primeira defesa veio de quem emite stablecoin. Coube à Circle travar US$ 823 milhões em USDC no endereço principal. O bloqueio foi anunciado às 21h18 do horário universal, quinze minutos depois de o problema virar público, e uma hora e meia depois o valor continuava lá. Às 22h50 desta quinta, o endereço que recebeu a primeira leva tinha US$ 823.000.000,00 em USDC e US$ 1,17 bilhão em USDT, na leitura direta dos contratos das duas moedas.

A Tether agiu no mesmo intervalo. O primeiro bloqueio anunciado foi de US$ 971 milhões, e o total subiu para mais de US$ 1,567 bilhão ao longo da noite, na conta do presidente da empresa, Paolo Ardoino.

Nenhum emissor responde pelo ether, e não há como travá-lo. Do endereço que recebeu o primeiro saque, sobraram 2.075 ether. O resto seguiu para outras carteiras do invasor em várias transferências, e uma parte pode estar em endereços que ninguém bloqueou.

O total que não fecha

Não existe um número único para o tamanho do roubo. As contas publicadas nesta quinta vão de US$ 2,8 bilhões, que é o que saiu de uma das carteiras, a US$ 5,8 bilhões, quando entram duas carteiras da Ethereum, 18.270 bitcoin e US$ 630 milhões em Tron. A diferença não é de arredondamento. Cada conta usa um conjunto diferente de endereços e de redes.

A Binance não confirmou o roubo. Em publicação às 18h16 de Brasília, a empresa disse que a equipe de segurança apurava "um possível problema de segurança" e que, até aquele momento, não havia confirmado impacto nos fundos de clientes. Changpeng Zhao, cofundador que deixou a exchange, escreveu mais cedo que a movimentação parece um roubo.

A conta no mercado

O bitcoin caiu para US$ 79.120, baixa de 2,7% nas últimas 24 horas, e o BNB, token da própria Binance, recuou 7% para US$ 703. O ether ficou em US$ 2.276, com queda de 3,5%. O monero, moeda de privacidade que esconde quem enviou o quê, subiu 1,6%, para US$ 613.

A queda mais forte do dia aconteceu entre 17h e 18h, no mesmo intervalo do esvaziamento das carteiras, e as posições alavancadas fechadas à força naquela hora estão detalhadas na matéria das 18h49.

No mesmo endereço, o dinheiro travado continua parado, e é a prova que dispensa boletim oficial. Os 2.075 ether que sobraram ali podem sair a qualquer momento, e nenhuma empresa tem o botão para impedir.