Análise editorial · Fontes primárias

Binance reconstitui o comprometimento do serviço de assinatura e uma lacuna de contenção on-chain

As conclusões iniciais publicadas pela Binance em 3 de novembro ligam o roubo de 29 de outubro a endpoints de desenvolvimento comprometidos, ferramentas internas de IA e um serviço de assinatura de carteiras. A empresa afirma que 98% dos criptoativos afetados estavam repostos em 31 de outubro; o FBI atribui separadamente a operação ao TraderTraitor.

Incidente: 2026-10-29 · Divulgação: 2026-10-30
Atualizado: 2026-11-04T07:35:00.000Z · Confiança: high

Incidente, divulgação e atualização

O incidente ocorreu em 29 de outubro de 2026 e a Binance divulgou-o no dia 30.[1] As conclusões iniciais, publicadas em 3 de novembro, descrevem uma campanha iniciada com a instalação adulterada de uma ferramenta de desenvolvimento em junho e uma tarefa maliciosa de recrutamento em setembro. A Binance afirma que os atacantes usaram depois endpoints comprometidos, ferramentas internas de IA e um token de implementação para alcançar as operações de assinatura.[3] Trata-se de uma atualização material do relatório anterior de recuperação, não de um novo incidente.

Percurso das transações e contenção

Segundo a Binance, o acesso não autorizado a um serviço interno de assinatura contornou o processo normal de levantamento. O atacante estabeleceu autorizações de delegação Ethereum EIP-7702; suspender os levantamentos não revogou, por isso, permissões já registadas on-chain. Como a hot wallet usava computação multipartidária, nenhuma chave privada isolada podia removê-las de imediato. A Binance informa que a última transferência não autorizada foi finalizada às 23:56 UTC e a delegação eliminada às 00:10 UTC de 30 de outubro.[3]

Recuperação, atribuição e incerteza

A Binance estima os ativos afetados em cerca de 6,34 mil milhões de dólares e afirma que aproximadamente 2,85 mil milhões tinham sido congelados ou intercetados, sujeitos a reconciliação e volatilidade. Diz que 98% dos criptoativos afetados estavam repostos em 31 de outubro e que os ativos ilíquidos restantes continuavam a ser comprados.[3] O FBI atribui separadamente o roubo à atividade norte-coreana TraderTraitor e afirma que os ativos eram convertidos sobretudo em Ether antes de novas fases de branqueamento.[4] Essa é a avaliação do FBI; a revisão independente da Binance continua pendente.

Prioridades para o CISO

Para organizações que operam serviços de assinatura, pagamento ou implementação, o risco para a missão abrange estações de desenvolvimento, assistentes de IA, tokens CI/CD e autorização de transações como uma única cadeia de confiança. É necessário validar que o encerramento de emergência revoga também autoridades externas e on-chain. Devem inventariar-se credenciais utilizáveis nos endpoints, exigir tokens curtos e limitados e aprovação independente para políticas de assinatura, além de testar a recuperação perante transações pendentes e permissões delegadas.

Fontes

Francisco Javier Jurado Alonso