A sombra do hack da Binance deixa US$ 3,1 bilhões parados na blockhain sem rastro de saída
Cerca de metade dos US$ 6,43 bilhões retirados ilicitamente da Binance no mês passado ainda não foi movimentada ou lavada. De acordo com dados atualizados na última sexta-feira pela empresa de análise de blockchain Elliptic, cerca de US$ 3,11 bilhões permanecem estacionados em endereços vinculados ao ataque, compostos majoritariamente por Bitcoin e Ethereum.
A consultoria aponta que é “muito provável” que esses valores continuem sob controle da Coreia do Norte.
Além do montante estagnado, outros US$ 2,85 bilhões — o equivalente a 44% do total retirado, acabaram bloqueados ou apreendidos pelas autoridades. A maior parcela desse bloqueio envolveu stablecoins, congeladas pelas emissoras Tether e Circle cerca de uma hora após a invasão.
O nível de contenção atual supera drasticamente o registrado no ataque à Bybit em fevereiro de 2025, quando apenas 3% dos fundos foram bloqueados.
O FBI atribuiu a ação realizada em 29 de outubro a um grupo de hackers norte-coreanos identificado como TraderTraitor. O governo da Coreia do Norte, por sua vez, nega qualquer relação com o evento.
A Elliptic classificou as etapas de lavagem executadas até o momento como “altamente complexas e claramente automatizadas”. A operação envolveu mais de 20.000 carteiras distribuídas em 16 redes blockchain, com uso de pelo menos 36 serviços e 65.000 transações — ritmo que gerou aproximadamente uma nova carteira a cada 30 segundos.
Apesar da agilidade das operações ter levantado suspeitas sobre o uso de agentes de inteligência artificial, a empresa descartou a hipótese. Segundo a análise técnica, a infraestrutura utilizada demonstra automação convencional, sem evidências de decisões tomadas por IA.
Como os Hackers Estão Movimentando o Hack da Binance
A maior parte do fluxo de lavagem ocorreu na rede Tron, envolvendo cerca de US$ 220 milhões em TRX. Uma única carteira distribuiu 684,6 milhões de TRX para centenas de novos endereços ao longo de 51 horas contínuas, incluindo horários noturnos em Pyongyang. Posteriormente, quase a totalidade desses fundos foi transferida para a rede Ethereum via ponte.
Em contrapartida, os 18.270 Bitcoins retirados no ataque — avaliados em US$ 1,5 bilhão na data da invasão, foram fracionados em 19 endereços no próprio dia do incidente e continuam imóveis. Situação similar ocorre com as nove principais carteiras de Ethereum do invasor, que concentram 89% dos fundos na criptomoeda e não registram movimentação desde 30 de outubro.
Outros ativos tiveram trajetórias distintas: todo o montante de Solana (cerca de US$ 87 milhões) já foi convertido, transferido entre redes ou misturado. Já em relação ao XRP, o invasor converteu aproximadamente US$ 50 milhões, enquanto US$ 226 milhões continuam pendentes.
No total, cerca de US$ 124 milhões foram transformados em Bitcoin, majoritariamente por meio do protocolo THORChain.
Recursos de privacidade também integraram o processo. Cerca de 33 BTC (US$ 2,5 milhões) passaram por misturadores no formato coinjoin da Wasabi, e US$ 1,1 milhão em ETH e Solana foram depositados no protocolo Privacy Cash, que chegou a suspender aportes por cerca de um dia.
A Elliptic projeta que as próximas etapas do hack da Binance envolvam a troca gradual do Ethereum por Bitcoin, seguida pelo saque por meio de corretoras OTC e plataformas de negociação ao longo de vários meses. Como parâmetro histórico, no caso da Bybit, a Coreia do Norte lavou 499.000 ETH em 10 dias, mas levou meses para concluir o saque final em moeda estatal.
Enquanto isso, a Binance segue restabelecendo suas operações. Na sexta-feira, a corretora confirmou que os usuários já podem verificar o lastro de seus saldos (mínimo de 1:1) através da prova de conhecimento zero na última amostragem de reservas.
A empresa planeja liberar os saques para todos os tokens nas redes restabelecidas até o final da próxima semana.
