- Hackers utilizam milhares de transações automatizadas e movimentações circulares para dificultar o rastreamento dos ativos roubados.
- Chainalysis identifica padrão envolvendo transferências de exatamente 1 TRX, enquanto Elliptic acompanha operações ininterruptas durante 31 horas.
- Investigadores relacionam o ataque ao grupo norte-coreano TraderTraitor; aproximadamente US$ 3 bilhões em criptomoedas foram congelados.
Os responsáveis pelo ataque hacker de aproximadamente US$ 6,4 bilhões à Binance, ocorrido em 29 de outubro, estão utilizando métodos de lavagem de dinheiro que ainda não haviam sido observados pela empresa de análise blockchain Chainalysis. A investigação revelou milhares de transações realizadas em poucos minutos, movimentações circulares entre carteiras e indícios de sistemas automatizados para dificultar a identificação do destino dos recursos.
As descobertas foram apresentadas em uma investigação publicada pela Chainalysis em 30 de outubro e detalhadas posteriormente pelo portal Finbold. Segundo os pesquisadores, os criminosos estão criando uma rede complexa de transferências, na qual os ativos roubados passam repetidamente por diferentes endereços antes de serem convertidos ou enviados para outras blockchains.
Uma das características mais incomuns é a utilização de carteiras que recebem exatamente 1 TRX, criptomoeda nativa da rede Tron, antes de receber valores maiores e encaminhá-los para novos endereços. O comportamento repetitivo levou os analistas a suspeitarem da utilização de programas desenvolvidos especificamente para movimentar os recursos.
Além disso, a empresa de investigação Elliptic identificou transferências realizadas durante mais de 31 horas consecutivas, sem interrupções durante a madrugada. O padrão reforça a hipótese de que a lavagem dos ativos está sendo conduzida por ferramentas automatizadas, capazes de operar continuamente.
Como os hackers estão lavando os bilhões roubados da Binance?
O principal objetivo dos criminosos parece ser dificultar o rastreamento dos ativos roubados e impedir que as empresas responsáveis pela emissão de stablecoins consigam bloquear os recursos antes que eles sejam convertidos em outras criptomoedas.
Segundo a Chainalysis, diferentemente de operações tradicionais, nas quais os recursos seguem por uma sequência de carteiras até um destino final, os hackers estão criando movimentos circulares. Em determinados casos, os valores retornam para endereços que já participaram anteriormente das transferências.
Esse comportamento multiplica as conexões entre as carteiras e torna a investigação mais complexa, especialmente quando milhares de transações são realizadas em intervalos extremamente curtos.
A empresa identificou ainda uma sequência recorrente de operações envolvendo a rede Tron. Diversos endereços recebem inicialmente uma transferência de 1 TRX, depois recebem quantias maiores e, em seguida, encaminham os recursos para outras carteiras.
A repetição praticamente idêntica dessas operações sugere a existência de um processo programado para distribuir os valores roubados. Embora o padrão possa envolver o financiamento de carteiras para movimentações na rede, a investigação ainda não estabeleceu publicamente a finalidade exata dessas transferências de 1 TRX.
Outro elemento importante é a velocidade das conversões. A Chainalysis identificou uma operação na qual os invasores movimentaram aproximadamente US$ 500 milhões em stablecoins para uma carteira destinada à conversão dos ativos.
Desse montante, cerca de US$ 325 milhões foram trocados por US$ 285 milhões em Ethereum (ETH) em aproximadamente 20 minutos. Outros US$ 175 milhões foram encaminhados para carteiras intermediárias cerca de dez minutos depois.
A estratégia buscava transformar ativos passíveis de congelamento, como USDT e USDC, em criptomoedas que não possuem um emissor central capaz de bloquear diretamente os saldos, como ETH.
A rapidez também trouxe custos significativos para os criminosos. Na operação identificada pela Chainalysis, o valor em Ethereum recebido foi aproximadamente US$ 40 milhões inferior ao montante em stablecoins utilizado. Os dados divulgados não permitem atribuir integralmente essa diferença a taxas, descontos ou condições de liquidez.
Sistema automatizado movimentou recursos durante 31 horas sem parar
Uma investigação complementar da Elliptic, publicada em 31 de outubro, identificou evidências adicionais de automação.
Segundo a empresa, uma carteira principal de distribuição na rede Tron realizou transferências durante 31 horas consecutivas, sem interrupções durante a madrugada. O maior intervalo identificado entre períodos de atividade foi de apenas 46 minutos.
As transferências apresentavam intervalos regulares, raramente inferiores a 30 segundos. Além disso, as carteiras que recebiam os recursos geralmente encaminhavam os valores para novos destinos em aproximadamente dois minutos.
Outro comportamento identificado pelos pesquisadores envolveu a repetição de valores nas operações de conversão realizadas por meio do protocolo THORChain. Em um dos casos, a mesma quantia apareceu 19 vezes em operações diferentes.
- Leia também: Próximo alvo dos hackers da Coreia do Norte é a carteira de Bitcoins da BlackRock, diz presidente da OneKey
A Elliptic também observou que o sistema parecia conseguir corrigir determinadas falhas. Quando uma operação de transferência entre blockchains era rejeitada, os recursos eram novamente encaminhados para o mesmo destino a partir de outras carteiras.
Na atualização divulgada em 31 de outubro, às 22h41 UTC, a Elliptic informou que aproximadamente US$ 196 milhões haviam saído da principal carteira de distribuição na Tron para cerca de 200 endereços. A carteira vinha sendo reabastecida em lotes de aproximadamente US$ 40 milhões.
O ritmo das movimentações chegou a variar entre US$ 7 milhões e US$ 11 milhões por hora. Desse fluxo rastreado, cerca de US$ 31 milhões haviam passado pelo THORChain, enquanto outros valores foram identificados em serviços como SunSwap, Bitget Swap e USDT0.
Os pesquisadores destacam que o padrão difere daquele observado no ataque à Bybit, em fevereiro de 2025, quando os movimentos de lavagem apresentavam intervalos mais compatíveis com jornadas de trabalho humanas.
Os indícios apontam para uma operação baseada em software, mas não demonstram, por si só, que os criminosos estejam utilizando inteligência artificial. A existência de scripts automatizados não significa necessariamente a utilização de agentes autônomos de IA.
Hack da Binance pode ter ligação com Coreia do Norte e ataque à Bitget
A investigação da Chainalysis também encontrou evidências que relacionam o ataque à Binance ao TraderTraitor, grupo de cibercriminosos associado à Coreia do Norte e suspeito de participar de grandes roubos de criptomoedas.
Segundo a empresa, a ligação mais importante surgiu quando os pesquisadores identificaram recursos roubados da Binance sendo misturados, em transações blockchain, com valores provenientes de um ataque anterior à Bitget, ocorrido em setembro.
O episódio anterior já havia sido atribuído a agentes norte-coreanos. Para a Chainalysis, a mistura dos recursos representa uma conexão direta entre as duas operações, fortalecendo a hipótese de que os mesmos criminosos estejam envolvidos.
- Leia também: Chainalysis, empresa que rastreia hackers de criptomoedas, informa que foi hackeada com uso de IA
A TRM Labs também atribuiu o ataque ao TraderTraitor, classificando a conclusão como de alta confiança. Entretanto, a identificação dos responsáveis permanece baseada em investigações de inteligência e análise de movimentações, sem uma conclusão judicial definitiva apresentada publicamente.
O uso de diferentes carteiras e protocolos dificulta o trabalho das autoridades, mas não impede necessariamente o rastreamento. Como as movimentações permanecem registradas em blockchains públicas, empresas especializadas conseguem identificar padrões, relacionar endereços e acompanhar parte dos recursos mesmo após sucessivas transferências.
A principal dificuldade é acompanhar a velocidade das operações, especialmente quando os criminosos criam novas carteiras e utilizam mecanismos para transferir os ativos entre diferentes redes.
Binance já congelou cerca de US$ 3 bilhões e recompôs 95% dos ativos
Apesar da complexidade da operação, a resposta coordenada de empresas de análise blockchain, emissores de stablecoins e autoridades permitiu bloquear uma parcela significativa dos valores roubados.
A Chainalysis informou inicialmente que aproximadamente US$ 2,8 bilhões haviam sido congelados. A Elliptic posteriormente elevou sua estimativa para US$ 2,85 bilhões, enquanto a Binance divulgou que cerca de US$ 3 bilhões estavam bloqueados on-chain.
O congelamento representa uma medida importante para impedir novas movimentações, mas não significa necessariamente que esses recursos já tenham sido devolvidos à exchange.
Em paralelo, a Binance iniciou um processo de recomposição patrimonial utilizando recursos próprios, seu fundo de proteção SAFU e outros mecanismos financeiros.
Em comunicado divulgado neste domingo (1º), a empresa informou que aproximadamente 95% dos ativos afetados já haviam sido repostos, contra 90% na atualização anterior.
A exchange também anunciou a retomada gradual dos saques em diferentes redes blockchain, incluindo Bitcoin, Ethereum, Tron, Solana e XRP, conforme a conclusão das verificações de segurança.
É importante distinguir os dois processos. A recomposição de 95% corresponde à cobertura dos ativos afetados pela Binance, e não à recuperação de 95% dos recursos das carteiras dos hackers.
Sobre a origem do ataque, a investigação preliminar da empresa apontou que o comprometimento do computador de um engenheiro de DevOps pode ter permitido o acesso a um serviço interno e a emissão de transações de saque não autorizadas. Até o momento, a Binance afirma não ter encontrado evidências de vazamento de chaves privadas.
