Dois roubos de criptoativos ocorridos com menos de uma semana de intervalo parecem seguir um padrão semelhante: os fundos são rapidamente retirados de stablecoins que os emissores podem congelar, divididos em montantes menores, transferidos entre blockchains e, por fim, encaminhados através de moedas de privacidade ou operações de balcão para dificultar o rastreio. O montante de stablecoins congelado e as quantidades de ETH e BTC ainda controladas pelos atacantes são relevantes tanto para avaliar as hipóteses de recuperação como para estimar a eventual pressão de venda no mercado.
Congelamentos de stablecoins após o roubo às carteiras da Binance
A 29 de outubro, atacantes transferiram cerca de 6,36 mil milhões de dólares em ativos a partir de carteiras quentes da Binance, distribuídas por várias blockchains. Estas carteiras estão ligadas à internet e são usadas pelas plataformas para operações como os levantamentos de clientes. A empresa de análise de blockchain TRM Labs afirmou que a maior parte dos fundos foi movimentada em cerca de 20 minutos. O FBI atribuiu o ataque ao grupo de piratas informáticos norte-coreano TraderTraitor. Trata-se do maior roubo de criptoativos conhecido até à data.
Os emissores de stablecoins podem congelar tokens guardados em carteiras específicas, o que deixa USDT e USDC expostos a esse tipo de medida. Segundo a TRM, a Tether congelou cerca de 971 milhões de USDT nas carteiras recetoras dos atacantes, aproximadamente 37 minutos depois de os principais fundos terem chegado. Mais tarde, a Circle congelou cerca de 823 milhões de USDC. Somando as ações da Tether, da Circle, da Ripple, da World Liberty Financial e do Arbitrum Security Council, a TRM estima que foram congelados cerca de 2,7 mil milhões de dólares. A Binance apontou para um total de aproximadamente 3 mil milhões.
Para reduzir o risco de novos congelamentos, os atacantes venderam cerca de 325 milhões de USDT a criadores de mercado em troca de aproximadamente 122.300 ETH. A operação foi executada com um desconto superior a 10% face ao preço de mercado da altura. Também depositaram cerca de 60 milhões de USDT como garantia no protocolo de empréstimos Aave e contraíram empréstimos de aproximadamente 19.760 ETH. O desconto acentuado na conversão para ativos que os emissores não conseguem congelar diretamente aponta para a rapidez da resposta ao risco de bloqueio.
BTC dividido em transferências menores e fundos movidos entre redes
Depois de convertidos em ativos como ETH e BTC, que os emissores não podem congelar diretamente, os fundos tornaram-se mais difíceis de rastrear. A TRM indicou que os 18.270 BTC retirados da Binance foram divididos, ainda no mesmo bloco, em várias transferências de 1.000 BTC e 100 BTC, criando múltiplos percursos menores. Os investigadores também detetaram movimentações automáticas de fundos entre várias carteiras, incluindo endereços já utilizados anteriormente, o que poderá complicar o rastreio.
As pontes entre blockchains permitem transferir ativos de uma rede para outra, obrigando os investigadores a continuar a análise na nova rede. A empresa de monitorização Onchain Lens afirmou que, num outro caso suspeito divulgado na segunda-feira, fundos de uma carteira associada ao King, um bot de arbitragem da Solana, passaram por várias carteiras Solana antes de seguirem para a Ethereum através do serviço de interoperabilidade Mayan. O operador do King não confirmou qualquer intrusão; por isso, o percurso, por si só, não demonstra que o bot ou uma entidade relacionada tenha sido comprometida.
A TRM afirmou que, nas fases iniciais do caso da Binance, os atacantes recorreram mais a criadores de mercado e a protocolos de empréstimo do que a pontes entre redes. Estas tinham tido maior protagonismo após o roubo de 1,5 mil milhões de dólares à Bybit, em 2025. A empresa espera que, à medida que os fundos da Binance continuem a ser movimentados, também possam ser usados serviços de transferência entre redes, plataformas de câmbio e intermediários de balcão.
Entidade ligada à UE poderá ter perdido mais de 106 milhões de dólares
O investigador de blockchain ZachXBT afirmou na segunda-feira que uma entidade não identificada da União Europeia poderá ter sido vítima de um roubo no domingo, com perdas superiores a 106 milhões de dólares em várias contas de plataformas de criptoativos. A alegada vítima e as plataformas envolvidas não foram identificadas, e o caso ainda não foi confirmado. ZachXBT disse que os fundos foram transferidos em USDC e USDT, tendo o USDC sido convertido em ETH — uma sequência semelhante às fases iniciais do caso da Binance.
ZachXBT acrescentou que os fundos passaram por serviços de câmbio instantâneo, incluindo WellWallet e Kyrrex, antes de serem convertidos em Monero através de um serviço chamado Wagyu. Estes serviços permitem trocar tokens rapidamente. Por defeito, a Monero oculta o remetente, o destinatário e o montante das transações. Depois de os fundos entrarem nessa rede, o seu rastreio através dos registos públicos da blockchain torna-se significativamente mais difícil.
Saldos ainda nas mãos dos atacantes podem afetar a oferta
Segundo a TRM, os atacantes da Binance ainda controlavam mais de 420.000 ETH e 18.270 BTC, com um valor combinado de cerca de 2,4 mil milhões de dólares. Estes ativos não estão diretamente sujeitos aos mecanismos de congelamento dos emissores de stablecoins. Caso grandes quantidades de ETH ou BTC cheguem ao mercado, poderão aumentar a oferta disponível. Não se conhecem, porém, o calendário nem o percurso de eventuais vendas: as transferências podem distribuir-se por semanas ou meses, pelo que os saldos atuais não demonstram que esteja iminente uma venda concentrada.
He Yi, co-CEO da Binance, afirmou que a plataforma destinou mais de 6,34 mil milhões de dólares de fundos próprios para cobrir os ativos roubados. Os planos incluem, segundo informações divulgadas, compras através de operações de balcão e de transações em plataformas de câmbio, que poderão criar procura do outro lado do mercado. A dimensão, o calendário e a execução dessas compras continuam a ser relevantes para avaliar os fluxos de fundos.
A Binance afirmou que suportará as perdas, sem indicar aos clientes que estas serão imputadas a eles. Embora o incidente tenha envolvido carteiras quentes da própria plataforma, o caso evidencia que a segurança dos ativos mantidos numa plataforma de negociação depende das salvaguardas adotadas por essa entidade. Os congelamentos de stablecoins limitaram a movimentação dos fundos roubados, mas também mostraram que os emissores podem controlar tokens guardados em carteiras específicas.
Movimentos das carteiras e montantes congelados sob vigilância
Os investigadores vão acompanhar as grandes transferências a partir das carteiras de ETH e BTC dos atacantes, em particular as que se dirijam a plataformas de câmbio ou a canais de balcão. A TRM está a monitorizar as transferências fracionadas e as carteiras onde os fundos são reunidos. Movimentos de grande dimensão poderão indicar que os ativos roubados se aproximam de uma venda, embora uma transferência, por si só, não prove que os fundos tenham sido convertidos em dinheiro.
A Binance não divulgou a causa completa do comprometimento do seu sistema de assinatura. Uma explicação detalhada da falha de segurança será importante para avaliar se outras plataformas estão expostas a riscos semelhantes. O alegado caso ligado à UE também aguarda confirmação pela vítima ou pelas plataformas envolvidas, bem como a validação do montante perdido. Até lá, a estimativa de mais de 106 milhões de dólares não está confirmada. Qualquer atualização sobre os fundos congelados ou recuperados poderá alterar os cálculos relativos ao montante ainda controlado pelos atacantes.