A atualização inicial da Binance descreveu como uma sequência de engenharia social e acessos a sistemas internos chegou a um serviço de assinatura de carteiras e a autorizações EIP-7702. As transferências não autorizadas ocorreram em 29 de outubro de 2026; a empresa publicou seu relato em 3 de novembro.
O caminho até o serviço de assinatura
Segundo a Binance, a sequência começou meses antes das transferências. Em junho, Engineer A instalou um pacote Homebrew adulterado. A empresa afirma que detectou uma anomalia, substituiu o dispositivo e trocou credenciais relacionadas; depois, informações sobre a função de A foram expostas aos invasores.
Em setembro, Engineer B foi abordado por meio de uma plataforma legítima de empregos e recebeu um repositório malicioso disfarçado de tarefa de entrevista. A Binance diz que o código substituiu um componente legítimo de desenvolvimento, executou comandos e se comunicou com um servidor controlado pelos invasores.
Em 20 de outubro, os invasores usaram o computador comprometido de B e uma ferramenta interna de inteligência artificial para obter controle sobre A e Wallet Software Engineer C, segundo a empresa. Em 29 de outubro, acessaram o computador de C, usaram credenciais roubadas de A, implantaram um contêiner e acionaram um script. A Binance afirma que esse acesso alcançou um serviço interno de assinatura de carteiras, capaz de iniciar transações fora do processo normal de saque.
A NeoTeo já acompanhou o vínculo on-chain relacionado ao ataque à Binance. Esta atualização se concentra no percurso interno descrito pela empresa até o serviço de assinatura.
Por que as autorizações EIP-7702 exigiram outra resposta
A Binance afirma que os invasores usaram o mecanismo EIP-7702 para delegar a um contrato inteligente controlado por eles parte dos direitos de execução sobre uma carteira quente, conectada à internet. Segundo a empresa, foram enviadas 50 transações de assinatura para manipular o nonce da conta e estabelecer delegações maliciosas.
Essas autorizações on-chain continuavam funcionando de forma independente do sistema habitual de saques. A Binance disse que sua carteira usava computação multipartidária (MPC) e não tinha uma única chave privada capaz de revogar as delegações imediatamente. Por isso, a retirada das permissões exigiu um procedimento especializado.
A Binance informou que a transferência final não autorizada, de 2.961,9 ETH, foi concluída às 23h56 UTC de 29 de outubro. A empresa disse que removeu a delegação Binance14 às 00h10 UTC de 30 de outubro.
O que a Binance informou sobre os ativos
A empresa estimou em cerca de US$ 6,34 bilhões os ativos digitais afetados. Separadamente, informou que aproximadamente US$ 2,85 bilhões haviam sido congelados ou interceptados, valor sujeito a conciliação e à volatilidade do mercado.
A Binance também disse ter reservado mais de 100% dos fundos necessários para cobrir a perda e que havia reposto 98% dos ativos em tokens afetados até 31 de outubro de 2026. Ativos congelados ou interceptados, fundos reservados para cobertura e ativos repostos são medidas distintas.
No detalhamento das transferências, a empresa relatou que cinco carteiras quentes enviaram 233,46 milhões de XRP entre 20h05 e 20h09 UTC de 29 de outubro. Também informou transferências de aproximadamente 970.500 SOL, 44,2 milhões de OP e 18.270 BTC.
A atribuição do FBI
Em alerta publicado em 31 de outubro, o FBI atribuiu à Coreia do Norte o roubo de mais de US$ 6 bilhões em ativos virtuais e chamou a atividade específica de TraderTraitor. A atualização da Binance citou a atribuição do FBI.
A Binance classificou seu relato como inicial e disse que a investigação e a revisão por empresas independentes de cibersegurança continuavam.
