Binance, Bitcoin e a Coreia do Norte

Você sabe o que é o Bitcoin? Sabe como ele pode ser usado no mundo e de onde surgiu essa ideia de um dinheiro que não é de governo nenhum? Antes de explicar isso, é provável que você tenha ficado sabendo do que as empresas de rastreamento chamam de maior roubo da história das criptomoedas (moedas digitais como o Bitcoin), em que hackers desviaram mais de 6 bilhões de dólares das carteiras da Binance, a maior corretora desse mercado, na quinta-feira, 29 de outubro de 2026. Essas mesmas empresas apontam pra um grupo de hackers ligado à Coreia do Norte, e a história toda tem a ver com uma pergunta que existe desde que o Bitcoin foi criado, que é se dá pra ter dinheiro sem depender de de um banco central.

O Bitcoin nasceu em plena crise financeira de 2008. Em 15 de setembro daquele ano o banco americano Lehman Brothers faliu, e outras instituições gigantes, como a seguradora AIG, tiveram que ser socorridas pelo governo e pelo banco central dos Estados Unidos, o Federal Reserve (fonte). Pouco mais de um mês depois, no dia 31 de outubro, uma pessoa que assinava como Satoshi Nakamoto mandou pra uma lista de e-mails sobre criptografia o link de um artigo chamado “Bitcoin: A Peer-to-Peer Electronic Cash System“, que em português seria algo como “Bitcoin, um sistema de dinheiro eletrônico de pessoa pra pessoa”, dizendo que tinha criado um dinheiro digital sem nenhum terceiro de confiança no meio (fonte).

O problema que Satoshi queria resolver se chama, double-spending, ou gasto duplo. Como dados digitais podem ser copiados, um sistema de dinheiro eletrônico precisa impedir que o mesmo saldo seja gasto duas vezes, e até ali a solução era confiar a um banco, ou a outra instituição central, a conferência de cada transação. A proposta dele foi trocar essa instituição por um registro público de todas as transações, mantido por milhares de computadores ao mesmo tempo, que hoje chamamos de blockchain (fonte, p. 2).

Dá pra imaginar esse registro como um livro-caixa público em que cada página, ou bloco, é lacrada com a impressão digital da anterior, então mudar uma página antiga exigiria refazer o lacre dela e o de todas as seguintes, o que dá muito trabalho de computação, a chamada prova de trabalho (proof of work), enquanto a cadeia legítima continua crescendo. Quem faz esse trabalho são os mineradores (miners), que recebem em troca bitcoins novos e as taxas das transações, e é assim que o dinheiro novo entra em circulação sem um banco central (ou uma casa da moeda) emita (fonte, p. 3 e 4).

A filosofia por trás disso aparece num texto do próprio Satoshi, de fevereiro de 2009. Pra ele, o problema da moeda convencional é toda a confiança necessária pra fazê-la funcionar, porque o banco central precisa ser confiável pra não desvalorizar a moeda, os bancos precisam ser confiáveis pra guardar e transferir o dinheiro e, segundo ele, ainda emprestam o dinheiro dos clientes mantendo só uma fração em reserva. Por isso o Bitcoin tira a regra de emissão da mão de qualquer autoridade e põe no código, que limita o total a 21 milhões de bitcoins. O primeiro bloco da rede, minerado em 3 de janeiro de 2009, traz embutida uma manchete do jornal britânico The Times daquele dia dizendo que o ministro das Finanças (Chancellor of the Exchequer) estava à beira de um segundo resgate aos bancos, uma referência clara ao contexto em que o Bitcoin apareceu (fonte, fonte, fonte).

Satoshi seguiu conversando com desenvolvedores por e-mail por mais de dois anos e, em abril de 2011, avisou que tinha passado pra outras coisas, e essa é a última comunicação conhecida dele. Até hoje ninguém sabe quem é Satoshi Nakamoto, nem se é uma pessoa ou um grupo (fonte). Caso procure na internet, você encontrará diversas listas com supostos autores. Existem várias lendas por trás desse nome.

Sem Satoshi, o Bitcoin passou a ser mantido por uma comunidade de desenvolvedores. No começo ninguém sabia muito bem o que fazer com os bitcoins que minerava, até que em maio de 2010 o programador Laszlo Hanyecz trocou 10 mil bitcoins por duas pizzas, que valiam cerca de 41 dólares na época, na primeira compra de um produto com bitcoin de que se tem registro. O bitcoin cresceu a partir daí, em parte por causa do Silk Road, um mercado negro online que só aceitava bitcoin, e hoje serve mais como uma espécie de “ouro digital”, uma reserva de valor, do que como forma de pagar coisas do dia a dia (fonte).

Com o tempo, mais gente quis comprar e vender bitcoins por dinheiro comum, e foi nesse espaço que as corretoras (exchanges) cresceram, porque fazem a ponte entre o dinheiro comum e o digital, intermediam compras e vendas e, em geral, também guardam os ativos dos clientes. O Banco de Compensações Internacionais (Bank for International Settlements, BIS), o banco dos bancos centrais, observa que, como o registro é grande e pesado e as taxas são altas, a maioria dos usuários acaba acessando suas criptomoedas por esses intermediários, e em 2018 o registro do Bitcoin já tinha cerca de 170 gigabytes, mais do que cabe na maioria dos celulares (fonte).

Uma das principais corretoras foi a Mt. Gox, de Tóquio, lançada em 2010, que chegou a cuidar de cerca de 70% das negociações de bitcoin do mundo e quebrou em 2014, depois de perder uns 850 mil bitcoins, a maioria de clientes. A Binance foi fundada em 2017 por Changpeng Zhao e, em dezembro daquele ano, cinco meses depois de lançada, já aparecia como a maior corretora do mundo em volume de negociação, segundo dados do CoinMarketCap citados na época (fonte, fonte).

O roubo atingiu justamente uma dessas corretoras, e a rede do Bitcoin continuou funcionando do mesmo jeito. O valor é uma estimativa que varia conforme quem calcula, de cerca de 6,3 bilhões de dólares, segundo a Binance, a 6,43 bilhões, segundo a Elliptic, empresa que rastreia criptomoedas. A Chainalysis, outra dessas empresas, chama o caso de o maior da história das criptomoedas, e a Elliptic acha quase certo que seja o maior roubo de qualquer tipo já registrado (fonte, fonte, fonte).

Cada carteira, que é o que guarda o acesso às moedas, tem uma chave privada, um segredo criptográfico usado pra produzir as assinaturas digitais que autorizam as movimentações. Quem usa uma corretora deixa lá as criptomoedas dele, e pra pagar os saques na hora a corretora mantém uma parte conectada à internet, a carteira quente (hot wallet), enquanto a que fica desconectada, mais protegida e mais lenta de mexer, é a carteira fria (cold wallet). O ataque foi contra as quentes, e segundo a TRM Labs, outra empresa de rastreamento, a maior parte do dinheiro saiu em cerca de 20 minutos, de carteiras em dez redes (blockchains) diferentes, ou onze, pela contagem da Elliptic (fonte, fonte).

A primeira hipótese da Binance foi a de um laptop comprometido de um engenheiro da área de DevOps (equipe que cuida da infraestrutura e do funcionamento dos sistemas), o que teria dado acesso a um contêiner de serviço (service container), uma parte do sistema da corretora, e permitido enviar saques sem autorização. Depois a empresa disse que a apuração encontrou pontos adicionais de comprometimento, que não detalhou, e afirma que não achou evidência de vazamento de chave privada (fonte, fonte).

Pra TRM e pra Elliptic, o padrão das transferências indica que o atacante comprometeu algum componente da estrutura que autoriza os saques da Binance, de modo que a própria corretora parece ter assinado transferências que não eram legítimas. Na rede Ethereum, que é a segunda maior do mercado e tem como moeda o ether, o golpe teve um passo a mais, e aqui uma analogia ajuda. Existe um recurso que permite a uma carteira assinar uma espécie de procuração digital, entregando o controle dela a um programa, e segundo o co-CEO (um dos diretores-executivos) Richard Teng, o atacante usou esse recurso pra assumir o controle de uma carteira quente sem passar pelas aprovações normais da Binance, e ainda usou um mecanismo de autodestruição pra apagar evidências. O recurso em si não é uma falha da rede Ethereum, o problema foi ele ter sido usado por quem não devia, e a causa exata ainda não foi estabelecida publicamente, mas a Binance promete um relatório técnico quando concluir a apuração (fonte, fonte, fonte).

Parte do dinheiro estava em stablecoins, criptomoedas atreladas ao dólar, como o USDT da Tether e o USDC da Circle, e os emissores delas conseguem congelar essas unidades digitais (os tokens) em endereços específicos. O bitcoin e o ether não têm um emissor central com esse poder nas redes originais, e por isso recuperá-los é muito mais difícil, embora o dinheiro possa ser interceptado quando passa por certos serviços e algumas redes tenham mecanismos próprios de intervenção, como a Arbitrum, rede construída em cima do Ethereum, cujo conselho de segurança agiu em emergência pra tirar ativos do alcance do atacante. Antes dos bloqueios, cerca de 786 milhões de dólares em stablecoins já tinham sido trocados por ether e outros ativos, e a Tether congelou o endereço principal 37 minutos depois da chegada do USDT (fonte).

No fim, a Binance fala em cerca de 3 bilhões de dólares congelados, número que a Elliptic confirma em linhas gerais. O que sobrou com o atacante depende do critério, porque a TRM calcula uns 2,4 bilhões em ether e bitcoin e a Elliptic, que conta também ativos como o XRP, outra criptomoeda, chega a uns 3,3 bilhões. Esses valores mudam com o preço das moedas e com o que o atacante movimenta, então não dá pra somar e subtrair como se fosse uma conta fechada. A expectativa da Elliptic é que esse dinheiro passe agora por muitas carteiras, pontes entre redes e serviços de troca, num processo de lavagem que espalha o dinheiro em camadas até ninguém mais saber de onde veio, pra só depois tentar tirá-lo em corretoras e balcões (já escrevemos sobre como ela funciona aqui) (fonte, fonte, fonte).

A Binance disse que vai cobrir todas as perdas com o SAFU (Secure Asset Fund for Users), um fundo de emergência da própria empresa, e com recursos próprios, e numa atualização afirmou ter reservado mais de 6,34 bilhões de dólares pra isso, comprando no mercado os tokens que faltam pra devolver os saldos dos clientes um a um. Os saques estão suspensos enquanto a empresa reforça a infraestrutura, com previsão de volta no domingo. Teng disse que o ataque foi à carteira da própria Binance e não a fundos de clientes, só que uma análise do CoinDesk dos dados de reservas da empresa mostrou que essas carteiras faziam parte da lista de ativos que sustentam os saldos dos clientes (fonte, fonte, fonte).

Quem estaria por trás do ataque, segundo as empresas que rastreiam o dinheiro, é a Coreia do Norte, com graus de certeza diferentes. A TRM diz ter alta confiança e, junto com a Chainalysis, nomeia o TraderTraitor, grupo que a polícia federal americana, o Federal Bureau of Investigation (FBI), apontou como responsável pelo roubo de 1,5 bilhão de dólares da corretora Bybit, em fevereiro de 2025, enquanto a Elliptic fala em atribuição provável. Pra Chainalysis, um dos indícios mais fortes é a conexão entre o dinheiro da Binance e o do roubo à corretora Bitget, em setembro, que já tinha sido atribuído a norte-coreanos. Há ainda sinais de roubos anteriores, como a carteira do atacante ter sido abastecida com saques pequenos do Tornado Cash, um serviço que embaralha a origem do dinheiro, e o ponto de entrada ter sido o computador de um funcionário, como aconteceu na Bybit (fonte, fonte, fonte).

A Coreia do Norte está sujeita desde 2006 a sanções do Conselho de Segurança (United Nations Security Council) da Organização das Nações Unidas (ONU), a partir do seu primeiro teste nuclear. Em relatório de 2024, o painel de especialistas (Panel of Experts) que monitora essas sanções investigava 58 ataques suspeitos contra empresas de criptomoedas entre 2017 e 2023, avaliados em cerca de 3 bilhões de dólares, e que, segundo relatos recebidos pelo painel, ajudam a financiar o desenvolvimento de armas do país (fonte, fonte).

Só que a atribuição tem ressalvas, e a própria Elliptic as lista. A parte do dinheiro que chegou ao endereço em comum com a Bitget é pequena, e redes profissionais de lavagem podem servir a mais de um cliente, então esse endereço comprova que os dois roubos usaram a mesma rede de lavagem, mas não necessariamente que o hacker é o mesmo. A lavagem também foi mais lenta do que costuma ser nos casos atribuídos à Coreia do Norte, e a Binance ainda não publicou como o laptop foi comprometido. Além disso, as empresas que fazem a atribuição vendem serviços de rastreamento, e até 30 de outubro nenhum governo ou agência policial tinha confirmado, enquanto no caso da Bybit o FBI levou cinco dias pra fazer isso. A Coreia do Norte já negou acusações parecidas no passado (fonte, fonte).

Satoshi queria um dinheiro que dispensasse terceiros de confiança, e quem deixa o dinheiro numa corretora volta a depender de um terceiro, que nesses casos é o único a controlar as criptomoedas do cliente. O BIS já notava isso em 2018, ao observar que muitos usuários que foram pras criptomoedas por desconfiar dos bancos acabaram dependendo de intermediários sem regulação, alguns fraudulentos ou vítimas de hackers, como a própria Mt. Gox. É realmente muito curioso perceber que a Mt. Gox e a Binance, separadas por mais de dez anos, perderam dinheiro de clientes por problemas na própria corretora e não na rede do Bitcoin (fonte).

O registro público das transações ajudou os investigadores a acompanhar o dinheiro em tempo real. Só que a mesma característica que protege o vendedor contra fraude, a de que uma transação confirmada e incorporada a uma cadeia com trabalho acumulado suficiente fica cada vez mais difícil de reverter, também torna difícil desfazer o roubo de bitcoin e ether (fonte, p. 1 e seção 11).

Se esta análise foi útil para você, receba gratuitamente novos conteúdos sobre geopolítica, economia e relações internacionais.

✓ Novos artigos publicados no blog

✓ Gráficos e infográficos

✓ Curiosidades históricas

✓ Análises sobre os principais acontecimentos internacionais

📲 Seguir CAVALÉRO LETTER