Em 29 de outubro de 2026, carteiras da Binance, corretora global de criptoativos com presença nos Emirados Árabes Unidos, enviaram ativos para endereços controlados por um atacante. A Binance estimou o impacto em cerca de US$ 6,3 bilhões. A TRM Labs acompanhou as transferências em blockchain e calculou US$ 6,36 bilhões pelo preço dos ativos no momento de cada movimento.
A TRM Labs classifica o episódio como o maior roubo de criptoativos já registrado. A soma inclui ativos de várias redes, não apenas Bitcoin. O número dimensiona o caso. A pergunta para uma equipe de segurança está no caminho da operação: que autorização permitiu sair de um acesso interno e chegar a uma transação financeira? A investigação técnica ainda está aberta. Por isso, a resposta pública precisa separar fato, hipótese e decisão de arquitetura.
O que a empresa informou até 30 de outubro
A Binance publicou um comunicado de segurança em 30 de outubro de 2026. O aviso não informa quando a empresa detectou o problema internamente. Sua investigação inicial sugere o comprometimento do notebook de um engenheiro de DevOps. Segundo a empresa, esse acesso pode ter permitido alcançar um contêiner de serviço e submeter transações de saque não autorizadas.
A companhia também informou que não encontrou evidência de vazamento de chaves privadas das carteiras. Ela revogou a autorização do endereço afetado e prometeu um relatório técnico ao fim da investigação. Em atualização posterior, a Binance disse que o caso envolve múltiplos fatores e que o computador pode ser apenas um ponto de entrada. A causa raiz não foi publicada.
O aviso inicial falava em suspensão de depósitos e saques. Em uma atualização de serviço separada, a Binance afirmou que depósitos operavam normalmente, enquanto saques continuavam pausados. Esse detalhe mostra por que uma notícia em andamento exige registrar qual atualização fundamenta cada informação.
A Binance declarou aproximadamente US$ 3 bilhões em ativos afetados congelados em blockchain. Congelamento restringe movimentações; o comunicado não o apresenta como valor já devolvido. A empresa afirmou que cobrirá as perdas com o fundo SAFU e recursos próprios. A confirmação contábil dessa cobertura dependerá de informações posteriores.
Uma assinatura válida pode carregar uma ordem indevida
A análise da TRM identificou autorizações EIP-7702 pré-assinadas para uma carteira Ethereum, usadas para delegar a execução a um contrato. Em outras redes, encontrou transferências assinadas por carteiras atribuídas à Binance. Esses registros mostram autorizações criptográficas válidas. Eles não revelam quem acionou o serviço interno nem se a operação passou pelas aprovações de negócio previstas.
Esse é o limite mais útil do registro público. A blockchain permite seguir transações e endereços. O relatório técnico interno ainda precisa explicar como o acesso chegou ao serviço e quais verificações aceitaram cada pedido. A TRM avalia que a infraestrutura de assinatura foi alcançada. A Binance ainda não publicou uma causa raiz que confirme toda a cadeia.
O caso também impede uma conclusão apressada sobre chaves privadas. A ausência de evidência de vazamento declarada pela empresa é relevante. A hipótese inicial descreve outro caminho possível: usar um serviço autorizado a processar pedidos de saque. A arquitetura precisa controlar o que esse serviço aceita fazer, mesmo quando sua credencial continua válida.
Onde a arquitetura deve exigir evidência
O NIST SP 800-207 define o acesso a recursos como uma decisão de autenticação e autorização de pessoa e dispositivo. O SP 800-207A inclui identidades de aplicação e serviço. Para uma operação sensível, a análise deve seguir até a sessão, o privilégio e a ação executada. Essas perguntas não descrevem controles ausentes na Binance.
Uma revisão objetiva pode começar com cinco provas:
- Dispositivo e sessão. Quais dispositivos podem abrir a sessão administrativa? Que sinal de comprometimento interrompe uma sessão já ativa? Quanto tempo a revogação leva no teste?
- Privilégio humano. Quem pode acessar o contêiner ou serviço que processa a operação? O acesso tem prazo, escopo, responsável e registro? Existe elevação temporária para tarefas excepcionais?
- Identidade do serviço. Qual identidade de aplicação pede a transação? Quem aprova sua permissão e quais recursos ela alcança? Uma permissão concedida a um serviço pode atravessar ambientes além do necessário?
- Política da transação. O sistema verifica destino, valor, volume e mudança de padrão antes de executar uma ação de alto impacto? Qual decisão exige uma aprovação independente?
- Resposta e trilha. O time consegue correlacionar alerta do dispositivo, sessão, chamada do serviço e transação? Já testou revogar o acesso sem perder o registro necessário à investigação?
Cada resposta precisa apontar para uma configuração, um teste e um registro datado. Uma política escrita sem evidência de aplicação não diz quanto tempo a operação continuaria exposta após o primeiro alerta.
Leitura NowCy: medir o alcance de cada confiança concedida
A NowCy trabalha com arquitetura Zero Trust para verificar acesso por identidade, contexto e recurso. Em Digital Identity, reúne gestão de identidade, privilégio e governança de acesso. O caso Binance torna concreta uma questão dessa prática: qual é o alcance efetivo de uma sessão quando um dispositivo entra em suspeita?
A decisão de investimento começa pelo fluxo mais sensível da empresa. Desenhe as transições entre pessoa, dispositivo, serviço e ação. Defina um responsável por cada autorização, execute um teste de revogação e registre o tempo até o bloqueio. A análise deve incluir as identidades de máquina que continuam atuando depois que a sessão humana termina.
Esses controles reduzem caminhos de exposição e tornam a resposta verificável. O material público ainda não permite afirmar qual deles teria alterado o desfecho na Binance. A pergunta útil para o próximo ciclo é qual evidência a sua equipe consegue mostrar sobre o próprio fluxo crítico.
Fontes e limites
O fato e os valores seguem o comunicado da Binance. O estado posterior dos serviços e o limite da hipótese do notebook seguem a atualização de serviço. A sequência das transferências segue a investigação da TRM Labs. A leitura de acesso usa os NIST SP 800-207 e 800-207A. A presença da Binance nos Emirados Árabes Unidos consta no registro da Binance FZE em Dubai.
A Binance não havia publicado o relatório técnico final na consulta de 30 de outubro de 2026. A autoria atribuída pela TRM ao grupo TraderTraitor ainda não foi confirmada pela companhia no comunicado consultado. O estado dos saques e o valor congelado podem mudar; acompanhe os canais oficiais para atualizações.