O volume do hacker supera a tesouraria da Coinbase
Os responsáveis pelo ataque de US$ 6,3 bilhões à Binance mantinham, na sexta-feira, 18.270 BTC — perto de US$ 1,4 bilhão — distribuídos por 19 endereços, conforme rastreamento da Bitquery. O volume excede em 199 BTC o total que a Coinbase declara carregar para investimento próprio e para despesas operacionais: 17.954 BTC e 117 BTC, nessa ordem, somando 18.071 BTC em 30 de setembro. Um invasor digital controla mais Bitcoin do que o caixa próprio de uma exchange listada em bolsa.
O recorte importa. Os números da Coinbase não incluem os Bitcoins que a corretora custodia em nome de clientes — mede-se ali apenas o estoque de tesouraria da companhia, a mesma base que a BitcoinTreasuries.net utiliza para colocá-la na 8ª posição entre empresas de capital aberto que mantêm BTC no balanço.
Um rastro distribuído em 19 carteiras
A Bitquery — firma especializada em análise de blockchain, o livro-caixa público e encadeado das criptomoedas — conseguiu vincular os 18.270 BTC a 19 endereços. Dezessete deles carregavam exatamente 1.000 BTC cada; o excedente ficou guardado em outras duas carteiras.
A origem do saldo está nas carteiras quentes da Binance, os endereços conectados à internet que a exchange usa para processar saques e depósitos no dia a dia. O esvaziamento ocorreu na quinta-feira e atingiu nove blockchains diferentes em menos de quatro horas, o que sugere coordenação e conhecimento prévio da infraestrutura da corretora.
Bitcoin e Ether: as duas comparações
| Detentor | Posição | Referência |
|---|---|---|
| Invasores da Binance | 18.270 BTC | Bitquery, sexta-feira |
| Coinbase (investimento) | 17.954 BTC | 30 de setembro |
| Coinbase (operações) | 117 BTC | 30 de setembro |
| Coinbase (total declarado) | 18.071 BTC | 30 de setembro |
| Invasores da Binance | 508.621 ETH | Bitquery, sexta-feira |
| The Ether Machine | 495.362 ETH | BitcoinTreasuries.net |
A vantagem criminosa não se limita ao BTC. No mesmo levantamento de sexta-feira, a Bitquery rastreou 508.621 ETH sob controle dos invasores, montante superior aos 495.362 ETH atribuídos à The Ether Machine, terceira colocada na lista de detentores corporativos de Ether. Desse total, 200.630 ETH vieram diretamente do roubo; o restante foi formado pela conversão de stablecoins — tokens atrelados a moedas fiduciárias, como o dólar — e de outros ativos digitais tomados no ataque.
O que a Binance confirmou e quem a inteligência aponta
A exchange admitiu o ataque na sexta-feira e informou que aproximadamente US$ 3 bilhões em ativos roubados já haviam sido congelados, além de assumir o compromisso de cobrir integralmente as perdas dos usuários. A TRM Labs, empresa de inteligência em blockchain, atribuiu a operação ao TraderTraitor, grupo de hackers ligado à Coreia do Norte.
A investigação também revisou a hipótese inicial. O primeiro indício apontava para um laptop comprometido de um engenheiro de DevOps — profissional que faz a ponte entre o desenvolvimento de software e a operação dos sistemas. A partir daí, segundo a Binance, os investigadores localizaram pontos de invasão adicionais, o que amplia o escopo técnico do incidente.
A leitura para quem investe em cripto
O caso expõe uma dimensão que costuma ficar fora da planilha do investidor pessoa física: o risco de contraparte. Ao deixar ativos em uma corretora, o cliente troca a posse direta das chaves por uma promessa de saque — e essa promessa depende da qualidade da segurança operacional da casa, não apenas da cotação do ativo.
As carteiras quentes são o elo mais exposto dessa engrenagem justamente porque precisam estar online para atender o fluxo diário. Quanto maior o volume que uma exchange mantém nesses endereços, maior o alvo. A resposta do setor tem passado por auditorias de reservas, segregação de custódia e limites de saque proporcionais à liquidez disponível.
Há ainda um efeito de segunda ordem relevante para o mercado: quando um volume dessa magnitude sai de exchange e passa a circular por carteiras pulverizadas, o rastro se fragmenta e a recuperação fica mais lenta. O congelamento de parte dos fundos mostra que o monitoramento on-chain funciona, mas não é instantâneo nem completo — e é exatamente essa assimetria que sustenta o modelo de negócio dos atacantes.
Para o investidor brasileiro com exposição a criptoativos, o episódio reforça a importância de verificar como cada plataforma trata custódia, seguro e transparência de reservas antes de definir onde os ativos ficam parados. Diversificar a guarda — inclusive com autocustódia para posições de longo prazo — é uma decisão de gestão de risco, não uma aposta em direção de preço.