Analistas da Bitunix: Roubo de Mais de US$ 6,3 Bilhões da Binance Volta a Colocar a Segurança da Custódia das Exchanges à Prova

O mercado de criptomoedas enfrentou recentemente, ao mesmo tempo, duas formas distintas de estresse sistêmico: a desalavancagem forçada e um grave incidente de segurança em uma exchange.

De acordo com dados de mercado divulgados em 30 de outubro, aproximadamente 239.224 traders de criptomoedas foram liquidados em um período de 24 horas, com perdas totais de cerca de US$ 1,536 bilhão. A maior liquidação individual no período analisado envolveu uma posição BTCUSDT na Binance avaliada em aproximadamente US$ 11,09 milhões, segundo os dados de liquidações da CoinGlass.

Praticamente ao mesmo tempo, um suposto ataque à infraestrutura de hot wallets multicadeia da Binance levantou uma preocupação ainda mais fundamental: as plataformas de negociação centralizadas conseguem proteger os ativos quando os invasores comprometem os sistemas que cercam a autorização das carteiras, mesmo que as chaves privadas subjacentes não sejam expostas diretamente?

Um Choque de Mercado que Vai Além da Volatilidade dos Preços

As liquidações são um risco conhecido nos mercados de criptomoedas alavancados. Quando os preços se movimentam de forma brusca, as exchanges encerram automaticamente as posições com garantias insuficientes, transferindo as perdas dos traders individuais para o mercado mais amplo por meio da redução da liquidez e do aumento da volatilidade.

Um incidente de grande escala envolvendo a custódia é diferente. Ele pode afetar usuários que não negociam com alavancagem, não mantêm posições em derivativos e não cometeram nenhum erro operacional. O risco decorre da capacidade da plataforma de proteger os ativos, validar saques e isolar permissões críticas.

A combinação desses dois eventos é particularmente prejudicial para a confiança do mercado:

• As liquidações forçadas aumentam a pressão vendedora no curto prazo.
• Uma falha de segurança pode desencadear saques e preocupações com a liquidez.
• A incerteza sobre os ativos afetados pode ampliar os spreads e gerar descontos.
• Os traders podem começar a avaliar o risco de contraparte além do risco de mercado.

É por isso que incidentes de segurança em exchanges frequentemente têm consequências que vão além dos fundos roubados diretamente. Eles podem influenciar o comportamento dos usuários, a transparência das reservas, a disponibilidade de saques e a confiança na custódia centralizada como um todo.

O que o Suposto Ataque Revela sobre os Riscos das Hot Wallets

O incidente relatado envolveu a transferência de aproximadamente US$ 6,36 bilhões em ativos de dez blockchains. Se confirmado integralmente, o caso se tornaria um dos maiores roubos de criptomoedas já registrados, superando o incidente anteriormente reportado na Bybit.

Segundo as investigações, os invasores teriam utilizado um processo sofisticado no qual prepararam antecipadamente uma lógica maliciosa para as transações. A atividade supostamente envolveu o mecanismo de autorização EIP-7702 da Ethereum, além de fluxos de assinatura de carteiras em outras redes.

O EIP-7702 faz parte do processo de desenvolvimento da abstração de contas da Ethereum e permite que uma conta de propriedade externa adote temporariamente funcionalidades de contrato inteligente por meio de um processo de autorização. Esse recurso pode melhorar a usabilidade e permitir uma execução de transações mais flexível, mas também torna o gerenciamento de permissões ainda mais importante. Um fluxo de autorização mal protegido pode criar riscos mesmo quando não há comprovação de que as chaves privadas tradicionais tenham sido roubadas.

A lição mais ampla é que a segurança de uma carteira não se limita à questão de saber se uma chave privada foi copiada. Uma hot wallet ainda pode estar exposta se um invasor conseguir comprometer:

1. O dispositivo do funcionário usado para gerenciar os sistemas de produção.
2. Os contêineres de serviço responsáveis pelo processamento de saques.
3. A infraestrutura de geração ou assinatura de transações.
4. Tokens de acesso, credenciais ou permissões de sessão.
5. Regras automatizadas de aprovação e mecanismos de políticas.
6. Fluxos de gerenciamento de ativos entre diferentes blockchains.

Em outras palavras, o perímetro de segurança abrange todo o fluxo de transação, e não apenas o dispositivo que realiza a assinatura final.

Descobertas Preliminares Apontam para uma Superfície de Ataque Ampliada

A investigação preliminar da Binance teria indicado que o laptop de um engenheiro de DevOps pode ter sido comprometido. A partir daí, o invasor supostamente avançou pelos contêineres de serviço e enviou saques não autorizados.

A exchange declarou não ter encontrado evidências de que as chaves privadas das carteiras tenham sido vazadas diretamente. Essa distinção é tecnicamente importante, mas não elimina a gravidade do incidente. Se um invasor obtiver controle suficiente sobre a infraestrutura que prepara, autoriza ou envia transações, os ativos poderão ser movimentados sem que seja necessário extrair uma chave privada bruta de seu local de armazenamento.

Este é um exemplo clássico de escalada de privilégios entre sistemas conectados:

• O comprometimento de um endpoint fornece o acesso inicial.
• Serviços internos expõem credenciais ou permissões adicionais.
• Um contêiner ou uma camada de orquestração torna-se uma ponte para o ambiente de produção.
• A lógica automatizada de assinatura ou aprovação executa instruções maliciosas.
• Os fundos são distribuídos por várias blockchains para dificultar a recuperação.

Por isso, as exchanges modernas precisam de controles em camadas que partam do pressuposto de que componentes individuais podem falhar. Defesas mais robustas podem incluir autenticação com suporte de hardware, separação rigorosa entre os ambientes de desenvolvimento e produção, credenciais de curta duração, simulação de transações, listas de endereços autorizados, aprovação independente de saques e detecção de anomalias em tempo real.

Atribuição Exige Cautela

Investigadores de blockchain teriam associado a atividade, com alto grau de confiança, ao TraderTraitor, um grupo de ameaças frequentemente relacionado por pesquisadores de segurança a operações cibernéticas norte-coreanas. No entanto, a atribuição feita por uma empresa privada de segurança não equivale a uma determinação judicial ou governamental definitiva.

Essa distinção é importante porque as transações em blockchain podem ser rastreadas, mas identificar os operadores reais por trás delas continua sendo complexo. Os invasores podem utilizar carteiras intermediárias, pontes entre blockchains, mixers, corretoras de balcão e protocolos descentralizados para ocultar a movimentação dos fundos.

Para os investidores, a questão prática não é apenas quem realizou o ataque. Também é necessário saber se a exchange consegue:

• Interromper rapidamente as transferências não autorizadas.
• Congelar os fundos em plataformas parceiras.
• Identificar os endereços afetados em várias redes.
• Explicar o caminho do ataque com detalhes técnicos suficientes.
• Demonstrar que os sistemas restantes são seguros para continuar operando.
• Publicar informações verificáveis sobre reservas e passivos.

Fundos Congelados não são o Mesmo que Fundos Recuperados

A Binance teria informado que aproximadamente US$ 3 bilhões em ativos haviam sido congelados e que as perdas seriam cobertas pelo seu fundo SAFU e por recursos corporativos. Ao mesmo tempo, o rastreamento on-chain teria estimado que cerca de US$ 3,1 bilhões continuavam livremente movimentáveis, incluindo quantidades significativas de Bitcoin e Ether.

Esses números devem ser tratados como dinâmicos, e não definitivos. A classificação dos ativos pode mudar à medida que os fundos são movimentados, congelados, transferidos por pontes, depositados em exchanges ou divididos entre novos endereços. A diferença entre “identificados”, “congelados” e “recuperados” também é fundamental:

• Fundos identificados são aqueles vinculados a endereços associados ao incidente.
• Fundos congelados estão sujeitos a restrições impostas por uma exchange, emissor ou prestador de serviços.
• Fundos recuperados foram devolvidos ou protegidos por meio de um processo formal de recuperação.

Até que um relatório técnico completo e uma contabilização clara dos ativos afetados sejam publicados, o mercado deve evitar tratar qualquer número preliminar como conclusivo. Os leitores podem acompanhar a atividade pública das carteiras por meio de ferramentas como o Etherscan e o Arkham, lembrando que os rótulos dos endereços e os dados de atribuição podem ser atualizados com o tempo.

O Principal Risco é a Concentração de Permissões

A conclusão mais importante não é que as hot wallets sejam inerentemente inseguras. Elas são necessárias para exchanges que processam grandes volumes de depósitos e saques. O problema mais profundo está na concentração excessiva de autoridade.

Se um único dispositivo comprometido, uma conta de serviço ou um fluxo operacional puder iniciar uma transação sem verificação independente suficiente, a plataforma terá criado um ponto único de falha. Isso continua sendo verdade mesmo quando as chaves privadas são protegidas por computação multipartidária, módulos de segurança de hardware ou outras tecnologias avançadas.

Um sistema de custódia resiliente deve partir do pressuposto de que:

• Um endpoint de funcionário pode ser comprometido.
• Uma conta na nuvem pode estar configurada incorretamente.
• Um contêiner de serviço pode ser alterado.
• Uma solicitação de assinatura pode ser maliciosa.
• O destino de uma transação pode estar disfarçado.
• Um invasor pode permanecer indetectado tempo suficiente para preparar uma transferência coordenada.

Por isso, os controles de segurança devem verificar não apenas quem assinou uma transação, mas também o que está sendo assinado, para onde os fundos estão indo, por que a transferência é legítima e se a transação está de acordo com o comportamento operacional normal.

O que os Usuários de Criptomoedas Devem Acompanhar a Seguir

À medida que a investigação avançar, o mercado provavelmente se concentrará em vários indicadores:

1. Status do serviço de saques — Se as redes afetadas voltarão a processar transações normalmente e se as restrições continuarão em vigor.
2. Movimentação dos ativos restantes — Se os endereços suspeitos continuarão transferindo Bitcoin, Ether ou outros tokens.
3. Alterações nos saldos congelados — Se os congelamentos anunciados resultarão em uma recuperação efetiva ou apenas em restrições temporárias.
4. Um relatório técnico pós-incidente completo — Detalhes sobre o endpoint comprometido, o acesso aos contêineres, o fluxo de autorização e a linha do tempo da detecção.
5. Atualização das provas de reservas e dos passivos — Evidências que ajudem os usuários a avaliar se a plataforma continua solvente e operacionalmente sólida.
6. Validação independente da segurança — Confirmação de que as permissões críticas foram substituídas, isoladas e novamente auditadas.

Os usuários também devem reavaliar quanto capital realmente precisam manter em uma plataforma de negociação. As exchanges são úteis para oferecer liquidez e executar operações, mas continuam sendo custodiante dos ativos dos usuários. Investimentos de longo prazo podem ser administrados de forma mais adequada por meio da autocustódia, desde que o usuário compreenda a proteção da frase-semente, a verificação de transações e os procedimentos de recuperação.

Por que a Autocustódia Ainda Exige Disciplina

A autocustódia elimina o risco de contraparte da exchange, mas não elimina os riscos de segurança. A responsabilidade passa da equipe de infraestrutura da plataforma para o próprio detentor dos ativos.

Uma carteira de hardware pode ajudar a manter as chaves privadas isoladas de dispositivos conectados à internet e reduzir a exposição a malwares, phishing e acessos não autorizados pelo navegador. No entanto, os usuários ainda precisam proteger sua frase de recuperação, verificar os detalhes das transações no próprio dispositivo, evitar assinar aprovações desconhecidas de contratos e manter uma estratégia segura de backup.

Para usuários que estejam reavaliando sua custódia após este incidente, as carteiras de hardware da OneKey são relevantes porque foram projetadas com foco no armazenamento offline das chaves e na verificação de transações no próprio dispositivo. Elas podem funcionar como uma camada prática para separar investimentos de longo prazo das contas em exchanges, especialmente quando os usuários seguem regras operacionais básicas:

• Mantenha a frase de recuperação offline e nunca a envie para serviços de armazenamento em nuvem.
• Nunca insira a frase de recuperação em sites, mensagens ou formulários de suporte.
• Verifique os endereços dos destinatários e as aprovações de tokens antes de assinar.
• Use carteiras separadas para economias de longo prazo e atividades de maior risco em DeFi.
• Teste o processo de recuperação com uma pequena quantia antes de depender dele.

O incidente da Binance é um lembrete de que a segurança em blockchain é um problema de ponta a ponta. Proteger os ativos exige mais do que proteger uma chave privada; é necessário controlar cada dispositivo, permissão, serviço e decisão de assinatura capaz de movimentar os fundos.

À medida que as liquidações alavancadas e as falhas de custódia se tornam cada vez mais interligadas, os usuários de criptomoedas precisam avaliar tanto a exposição ao mercado quanto a exposição à contraparte. Investigações transparentes, um isolamento mais rigoroso das permissões e uma autocustódia responsável serão essenciais para restaurar a confiança no ecossistema de ativos digitais.