Binance: FBI culpa Coreia do Norte por roubo de mais de US$ 6 bilhões

O FBI apontou a Coreia do Norte como responsável pelo roubo de mais de US$ 6 bilhões da Binance, em nota publicada no sábado, 31 de outubro. Na mesma noite, o presidente Donald Trump disse a jornalistas: "Não sabemos se é a Coreia do Norte, mas, se for, vamos conversar com eles sobre isso".

A diferença pesa porque a nota acusa um país sem mostrar como chegou à conclusão, e o dinheiro segue em movimento. A Binance fala em US$ 6,3 bilhões, cerca de R$ 34 bilhões, ou 37 milhões de cestas básicas de São Paulo. Abaixo, o caminho do roubo, do primeiro sinal até a caçada.

Vinte minutos numa tarde de quinta

A saída começou às 17h05 de quinta-feira, 29 de outubro, no horário de Brasília. Segundo a empresa de rastreamento TRM Labs, a maior parte saiu em cerca de 20 minutos, por dez redes. Às 17h20, saíram mais de 18 mil bitcoins. Às 17h24, pela conta da Elliptic, uma só transação levou US$ 2,53 bilhões.

Pense numa loja. O cofre, desligado da internet, é a carteira fria. O caixa, à mão para o movimento do dia, é a carteira quente. Foi do caixa que o dinheiro saiu. Nada disso foi improvisado: TRM e Elliptic dizem que a preparação começou pelo menos 36 horas antes.

O primeiro alerta público que localizamos é das 17h32, de um perfil independente. A Binance só falou em "possível problema de segurança" às 18h29.

A corrida contra o bloqueio

Parte do roubo estava em moedas atreladas ao dólar, que têm um emissor capaz de travar o saldo. Às 18h01, a Tether travou US$ 971 milhões. Às 18h04, a Circle travou US$ 823 milhões. Bitcoin, ether e XRP não têm emissor, e por isso o atacante correu para trocar o que ainda podia ser bloqueado.

Segundo a TRM, ele vendeu cerca de 325 milhões de USDT por ether, aceitando desconto de mais de 10%. A Binance fala em cerca de US$ 3 bilhões congelados, e terceiros contam um pouco menos. Pelo cálculo da Elliptic de 30 de outubro, mais de US$ 3 bilhões estão em moedas que nenhum emissor alcança.

Congelado não é devolvido. Eric Jardine, da Chainalysis, afirmou que devolver os recursos "pode levar meses ou anos".

Como entraram

A Binance primeiro apontou o notebook comprometido de um engenheiro e depois falou em "pontos adicionais" de invasão. Richard Teng, co-CEO, disse que o atacante usou um mecanismo de autodestruição, que apagou ferramentas e rastros. O relatório técnico ainda não saiu.

A empresa diz não ver indício de vazamento de chave privada, o código que autoriza mover a cripto. Para a TRM, carteiras de redes diferentes liberaram dinheiro em cerca de meia hora, o que aponta para o sistema comum que assina tudo. As versões podem ser compatíveis, mas só o relatório técnico resolve.

O que o FBI disse, e o que não mostrou

O CustoBrasil leu a nota. Ela atribui o ataque ao que o FBI chama de TraderTraitor, mesmo nome ligado ao roubo de US$ 1,5 bilhão da Bybit, em 2025. A nota não mostra como a agência chegou à conclusão. Chainalysis, TRM e Elliptic já apontavam o grupo antes, e a Elliptic listou ressalvas.

Segundo a empresa de segurança Wiz, que cita um alerta do governo americano, as campanhas ligadas a esse nome costumam começar com falsas ofertas de emprego a funcionários técnicos de empresas de cripto. Não há prova pública de que foi assim desta vez.

O interesse de um país sob sanções é dinheiro. Monitores da ONU investigaram 58 ataques suspeitos a empresas de cripto entre 2017 e 2023, que somariam cerca de US$ 3 bilhões. Segundo a Reuters, o valor teria ajudado a bancar o programa de armas norte-coreano.

A Coreia do Norte costuma negar esse tipo de acusação, segundo o Money Times. Não localizamos resposta do país sobre este caso.

A resposta de Trump

Na noite de sábado, numa festa de Halloween em Mar-a-Lago, Trump foi questionado por jornalistas. "Não estou preocupado. Estamos aprendendo sobre isso. Não sabemos se é a Coreia do Norte, mas, se for, vamos conversar com eles sobre isso", disse, à Associated Press e à Fox. A fala foi em inglês, e a tradução é nossa.

O FBI é parte do governo dele. Não localizamos explicação pública para a diferença entre o que a agência afirma e o que o presidente disse.

Para onde foi o dinheiro

FBI, Serviço Secreto e a área criminal da Receita americana dizem ter visto o grupo trocar o roubo principalmente por ether. O passo esperado é usar finanças descentralizadas, sem intermediário, e serviços de troca instantânea para apagar o rastro.

Por isso a nota lista 628 endereços e pede que corretoras e empresas do setor bloqueiem transações ligadas a eles. Ari Redbord, da TRM Labs, disse à Associated Press esperar uma lavagem em pedaços, em corretoras menores, ao longo de meses. "É um jogo de gato e rato", afirmou. Se você usa outra corretora, uma transação ligada a esses endereços também pode travar.

E quem tem conta no Brasil?

A BBrasil, empresa da Binance que atende o país, disse em 30 de outubro que guarda os ativos dos clientes em carteiras frias, fora da internet, e que segue a separação exigida pelo Banco Central. Não localizamos confirmação independente. Os saques ficaram travados do mesmo jeito, e a reabertura de domingo é parcial.

Cripto não tem Fundo Garantidor de Créditos, e a Binance pediu licença ao Banco Central, o que não é ter licença. A empresa promete que o cliente não paga a conta, e diz ter reposto 95% do roubo com dinheiro próprio. Quem tem saldo lá deve guardar os comprovantes. Quem não tem cripto não paga por isso no imposto, mas deve desconfiar de oferta de recuperação ligada ao caso.

Nossa leitura

Publicar os endereços foi a parte certa: qualquer um pode conferir, e as corretoras podem bloquear. O resto ainda falta mostrar. O FBI acusa um país sem exibir a base, Trump diz não saber sem explicar a diferença, e a Binance fala do dinheiro dos clientes sem confirmação independente. A gente quer ver documento.

O próximo marco é terça, 3 de novembro, com a prova de reservas, que mostra se a Binance tem o que diz guardar. Ela cobre só 10 moedas e não é auditoria. Falta ainda o relatório técnico do ataque, e saber se a Casa Branca vai adotar a conclusão do FBI.