Os Dois Maiores Roubos de Criptomoedas da História Foram Cometidos pelo Mesmo Grupo: FBI Relaciona Roubo da Binance ao TraderTraitor

O setor de criptomoedas enfrenta um importante desdobramento de segurança: os dois maiores roubos da história das criptomoedas teriam sido atribuídos ao mesmo grupo de hackers ligado à Coreia do Norte.

O Federal Bureau of Investigation (FBI) identificou o TraderTraitor como o grupo responsável pelo roubo de mais de US$ 6,3 bilhões em ativos digitais da Binance. A atribuição conecta o incidente da Binance ao ataque de aproximadamente US$ 1,5 bilhão contra a Bybit, em fevereiro de 2025, que o FBI já havia relacionado ao mesmo grupo.

Se forem confirmados pelas investigações forenses e legais finais, esses casos representarão mais do que dois ataques isolados contra corretoras. Juntos, eles mostram como redes criminosas cibernéticas ligadas a Estados estão combinando engenharia social, softwares maliciosos, ataques à infraestrutura de carteiras e técnicas sofisticadas de lavagem de dinheiro on-chain em uma escala sem precedentes.

Um Novo Recorde em Roubos de Criptomoedas

O incidente da Binance teria superado o ataque à Bybit como o maior roubo de criptomoedas já registrado. Embora as estimativas possam mudar à medida que os investigadores rastreiam carteiras adicionais e identificam os ativos afetados, a perda divulgada é medida em bilhões de dólares.

A atribuição feita pelo FBI é particularmente importante porque está alinhada com análises anteriores de empresas de inteligência de blockchain. Pesquisadores de organizações como a TRM Labs e a Chainalysis teriam identificado semelhanças entre os ataques à Binance e à Bybit, incluindo:

• Padrões operacionais comparáveis
• Uso recorrente de carteiras intermediárias
• Movimentação rápida dos fundos roubados por várias redes
• Uso de serviços descentralizados e conversão entre diferentes blockchains
• Infraestrutura de lavagem de dinheiro sobreposta
• Pequenas transferências preliminares usadas para preparar transações posteriores

As transações em blockchain são públicas por definição, mas a visibilidade pública não torna automaticamente os fundos fáceis de recuperar. Os invasores podem dividir os ativos em milhares de transferências, movê-los por várias redes, trocar tokens e usar serviços que aumentam a privacidade para dificultar a atribuição.

Quem é o TraderTraitor?

O TraderTraitor é amplamente considerado um braço operacional central do ecossistema mais amplo de cibercrime norte-coreano, frequentemente associado ao Lazarus Group.

O nome do grupo reflete uma tática recorrente: atacar indivíduos e organizações envolvidos com negociação de criptomoedas, desenvolvimento de blockchain, custódia de ativos digitais e infraestrutura financeira. Suas operações incluíram campanhas falsas de recrutamento, aplicativos maliciosos, falsificação de identidade e ataques contra funcionários com acesso a sistemas de assinatura ou softwares relacionados a carteiras.

O governo dos Estados Unidos alertou repetidamente que agentes cibernéticos ligados à Coreia do Norte usam o roubo de criptomoedas para gerar receita para o regime. Os recursos oficiais do FBI sobre crimes cibernéticos e os alertas da CISA oferecem um contexto mais amplo sobre operações cibernéticas patrocinadas por Estados e ameaças a ativos digitais.

A importância do TraderTraitor não está apenas no valor dos ativos roubados, mas também na capacidade do grupo de atacar as camadas humanas e organizacionais que cercam os sistemas de blockchain.

Um Padrão entre os Grandes Roubos de Criptomoedas

Os incidentes da Binance e da Bybit fazem parte de uma sequência mais ampla de ataques associados ao TraderTraitor ou à mesma rede ligada à Coreia do Norte.

DMM Bitcoin: Aproximadamente US$ 308 Milhões

Em maio de 2024, a corretora japonesa DMM Bitcoin sofreu uma perda de aproximadamente US$ 308 milhões, equivalente a cerca de 4.502,9 BTC na época.

Os investigadores atribuíram o incidente a uma campanha de engenharia social na qual um invasor usou uma falsa abordagem de recrutamento no LinkedIn para atingir um funcionário da Ginco, empresa envolvida com softwares de carteiras. O funcionário teria sido induzido a executar um código malicioso, dando aos invasores a oportunidade de interferir no ambiente operacional da empresa.

O caso demonstrou uma realidade crítica de segurança: um invasor nem sempre precisa comprometer diretamente uma blockchain. Obter acesso a um desenvolvedor, administrador ou fluxo de aprovação de transações pode ser suficiente para autorizar uma transferência catastrófica.

Bybit: Aproximadamente US$ 1,5 Bilhão

O ataque à Bybit, em fevereiro de 2025, tornou-se o maior roubo de criptomoedas conhecido até então, com perdas estimadas em cerca de US$ 1,5 bilhão.

O FBI atribuiu publicamente o incidente ao TraderTraitor. O ataque também chamou atenção para os riscos associados a sistemas de aprovação de transações, estruturas multisig e interfaces usadas para revisar transferências complexas de ativos digitais.

Uma carteira com múltiplas assinaturas pode reduzir o risco de uma única chave comprometida, mas não é uma solução completa. Se vários signatários forem enganados, se a interface de assinatura exibir informações enganosas ou se um invasor comprometer a infraestrutura ao redor, um processo de múltiplas assinaturas ainda poderá ser explorado.

KelpDAO: Aproximadamente US$ 292 Milhões

Em abril de 2026, a KelpDAO teria sofrido uma perda de aproximadamente US$ 292 milhões.

Pesquisadores de segurança observaram várias características aparentemente consistentes com atividades anteriores do TraderTraitor, incluindo pequenas transferências iniciais associadas ao Tornado Cash, preparação antecipada de transações relacionadas à assinatura e movimentações cuidadosamente planejadas antes da exploração principal.

A atribuição em casos como esse costuma ser probabilística, e não imediata. Os analistas comparam o comportamento das transações, o reuso de infraestrutura, as relações entre carteiras, os padrões de malware e o momento das transferências antes de chegar a uma conclusão.

Bitget: Perdas Divulgadas entre US$ 350 Milhões e US$ 387 Milhões

Um incidente envolvendo a Bitget, ocorrido em setembro de 2026, foi estimado por diferentes fontes entre US$ 350 milhões e US$ 387 milhões.

Os analistas teriam identificado conexões entre os fundos roubados e carteiras anteriormente associadas a atividades ligadas ao TraderTraitor. A sobreposição suspeita incluía rotas de lavagem compartilhadas, padrões semelhantes de divisão dos fundos e ativos que posteriormente foram misturados a recursos provenientes de outros grandes roubos.

Quando vários roubos utilizam os mesmos serviços de conversão, pontes ou endereços intermediários, os investigadores de blockchain às vezes conseguem identificar uma rede operacional mais ampla. Ao mesmo tempo, a movimentação de fundos por uma infraestrutura comum não prova automaticamente que todos os incidentes foram conduzidos pelas mesmas pessoas. A atribuição final exige a combinação de evidências on-chain com inteligência obtida fora da blockchain.

Binance: Mais de US$ 6 Bilhões

O roubo da Binance teria ocorrido em outubro de 2026 e envolvido perdas superiores a US$ 6 bilhões. A atribuição do FBI ao TraderTraitor agora coloca o grupo no centro do maior roubo de criptomoedas da história.

A escala do incidente é relevante por dois motivos. Primeiro, demonstra que o impacto financeiro de um único comprometimento pode hoje rivalizar com grandes crimes financeiros tradicionais. Segundo, indica que as técnicas do grupo evoluíram de campanhas oportunistas de phishing para operações de longo prazo voltadas a ecossistemas complexos de ativos digitais.

Por Que os Casos Binance e Bybit São Importantes

A conexão entre os dois maiores roubos de criptomoedas muda a forma como o setor deve avaliar a segurança das corretoras.

1. A Blockchain Pode Não Ser o Principal Ponto Fraco

Em muitos incidentes de grande escala, o protocolo da blockchain continua funcionando conforme projetado. O problema ocorre nos pontos em que pessoas e aplicativos interagem com a rede:

• Sistemas de custódia das corretoras
• Ambientes de desenvolvimento
• Dispositivos de assinatura
• Painéis de aprovação de transações
• Infraestrutura em nuvem
• Canais de comunicação entre funcionários
• Softwares de carteiras de terceiros
• Chaves de API e credenciais de acesso

Por isso, a segurança de blockchain deve ser tratada como uma disciplina de ponta a ponta, e não apenas como uma questão relacionada ao código de contratos inteligentes.

2. A Engenharia Social Continua Extremamente Eficaz

Falsas ofertas de emprego, oportunidades de investimento, propostas de parceria e documentos técnicos continuam sendo vetores de ataque poderosos.

Funcionários de empresas de blockchain costumam receber um grande volume de mensagens não solicitadas. Um arquivo ou aplicativo malicioso pode parecer legítimo, especialmente quando está inserido em uma conversa realista sobre recrutamento ou desenvolvimento de negócios.

Por isso, as organizações devem presumir que até mesmo funcionários tecnicamente experientes podem se tornar alvos. O treinamento de segurança precisa abranger não apenas senhas e links de phishing, mas também repositórios de código, ferramentas de acesso remoto, softwares de carteiras, extensões de navegador e fluxos de assinatura.

3. A Revisão de Transações Precisa Ser Compreensível para Pessoas

Uma transação pode parecer legítima em um nível superficial e, ao mesmo tempo, conter detalhes perigosos. Os invasores podem manipular aprovações de tokens, interações com contratos, endereços de destino ou parâmetros da transação.

As equipes de segurança devem utilizar canais independentes de verificação e exigir que os signatários confirmem:

• O endereço exato de destino
• O ativo e o valor a serem transferidos
• As permissões de contrato que serão concedidas
• Os identificadores da rede e da blockchain
• A finalidade da transação
• Se a transação corresponde a uma solicitação interna aprovada

Aprovar cegamente uma transação só porque ela aparece em uma interface familiar é um dos hábitos mais perigosos nas operações com ativos digitais.

4. O Rastreamento On-Chain É Poderoso, mas Não É Instantâneo

Os registros públicos permitem que os investigadores acompanhem ativos roubados de uma forma que muitas vezes é impossível com dinheiro físico tradicional. No entanto, rastrear os fundos não garante sua recuperação.

Os invasores podem usar:

• Pontes entre blockchains
• Corretoras descentralizadas
• Trocas de tokens
• Múltiplas carteiras intermediárias
• Serviços que aumentam a privacidade
• Corretoras de balcão
• Carteiras inativas ativadas apenas depois de longos períodos

O resultado é uma corrida contínua entre investigadores e criminosos. Corretoras, custodiante, empresas de análise e autoridades policiais precisam compartilhar informações rapidamente, porque as primeiras horas após um incidente podem ser decisivas.

O Que Usuários e Organizações Podem Fazer Agora

Os casos envolvendo o TraderTraitor oferecem lições práticas tanto para usuários individuais quanto para equipes profissionais de criptomoedas.

Separar Investimentos de Longo Prazo dos Fundos Usados em Negociações Ativas

Os ativos que não são necessários para as operações diárias não devem permanecer conectados a contas de corretoras ou aplicativos expostos à internet. Um modelo de custódia compartimentalizado pode limitar o montante exposto caso uma conta de negociação, uma chave de API ou uma estação de trabalho seja comprometida.

Usar Aprovação de Transações Baseada em Hardware

Uma carteira de hardware pode manter as chaves privadas isoladas de computadores de uso geral e reduzir a exposição a malwares. No entanto, o dispositivo não substitui a verificação cuidadosa das transações. Os usuários ainda precisam conferir o endereço, a rede, o valor e a interação com o contrato antes de aprovar uma transferência.

Manter Cópias Independentes da Frase de Recuperação

A frase de recuperação de uma carteira deve ser gerada e armazenada offline. Ela nunca deve ser inserida em um site, aplicativo de mensagens, documento na nuvem ou software desconhecido.

Os usuários também devem evitar fotografar ou copiar digitalmente a frase de recuperação. Os backups físicos precisam ser protegidos contra acesso não autorizado, incêndio, água e perda acidental.

Tratar Mensagens Não Solicitadas de Recrutamento como Incidentes de Segurança

Para quem trabalha com Web3, uma oferta de emprego ou solicitação de parceria pode ser uma tentativa de ataque. Arquivos, repositórios, aplicativos de videoconferência, extensões de navegador e ferramentas relacionadas a carteiras devem ser verificados por meio de um canal de comunicação separado antes de serem instalados ou executados.

Adotar Controles Operacionais para Equipes de Tesouraria

As organizações que administram quantidades significativas de ativos digitais devem considerar:

• Várias camadas independentes de aprovação
• Listas de endereços autorizados e atrasos para saques
• Simulação de transações antes da assinatura
• Dispositivos separados para assinatura e comunicação
• Controles rigorosos de acesso baseados em funções
• Procedimentos de pausa emergencial
• Monitoramento contínuo da atividade das carteiras
• Revisão periódica das integrações com terceiros
• Simulações de resposta a incidentes

Nenhum controle isolado é suficiente contra um adversário bem financiado. A defesa mais forte combina isolamento técnico, disciplina de processos e detecção rápida.

O Que Isso Significa para o Futuro da Segurança em Criptomoedas

Os incidentes mais recentes reforçam uma mudança mais ampla no cenário de ameaças. O roubo de criptomoedas já não se limita a atacar carteiras pessoais mal protegidas ou explorar vulnerabilidades evidentes em contratos inteligentes. Grandes grupos criminosos estão cada vez mais mirando a infraestrutura que conecta pessoas, aplicativos, corretoras e blockchains.

As melhorias de segurança mais valiosas provavelmente virão de:

• Interfaces de assinatura melhores
• Simulação de transações mais clara
• Isolamento mais robusto dos dispositivos
• Treinamento aprimorado de segurança para funcionários
• Cooperação mais rápida entre corretoras e investigadores
• Procedimentos mais eficazes de sanções e congelamento de ativos
• Detecção automatizada de fluxos financeiros suspeitos
• Maior transparência sobre a arquitetura de custódia

Para o setor, a principal lição é simples: a segurança das chaves privadas é necessária, mas representa apenas uma parte do problema. Proteger ativos digitais também exige proteger os dispositivos, as identidades, os aplicativos, os procedimentos de aprovação e os canais de comunicação que cercam cada transação.

Uma Camada Prática de Proteção para Usuários Individuais

Para pessoas que mantêm quantidades significativas de criptomoedas, uma carteira de hardware pode oferecer uma camada importante de proteção ao manter as operações com chaves privadas separadas de um computador conectado à internet.

As carteiras de hardware OneKey foram projetadas com base no isolamento offline das chaves e na aprovação de transações diretamente no dispositivo. Isso pode ajudar a reduzir o risco de que um malware instalado no computador extraia secretamente as chaves privadas. Ainda assim, os usuários devem verificar cuidadosamente cada transação e seguir práticas seguras de backup, pois a custódia baseada em hardware não protege os fundos se uma frase de recuperação for exposta ou se uma transação maliciosa for aprovada.

Os casos da Binance e da Bybit mostram por que a autocustódia deve ser encarada como um processo completo de segurança — e não simplesmente como a compra de um dispositivo. A geração segura das chaves, os backups offline, a verificação dos endereços e hábitos disciplinados de assinatura são fatores importantes na defesa contra campanhas de roubo de criptomoedas cada vez mais sofisticadas.