A Coreia do Norte negou envolvimento no roubo à Binance e classificou como «grave provocação política» as acusações dos Estados Unidos contra um grupo de hackers ligado ao país. A Elliptic estima que, dos US$ 6,43 mil milhões em ativos roubados, cerca de US$ 2,85 mil milhões foram congelados ou recuperados; aproximadamente US$ 3,24 mil milhões continuam em endereços associados ao ataque. A dispersão dos fundos por várias blockchains e milhares de carteiras dificulta o seu rastreamento e recuperação.
Kim Yo Jong contesta acusação dos EUA
Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, criticou o FBI por atribuir o ataque ao TraderTraitor, grupo de hackers associado à Coreia do Norte. Os meios de comunicação estatais norte-coreanos citaram-na acusando o FBI de tentar apresentar o país como um «Estado cibercriminoso» e Washington de induzir a opinião pública internacional em erro.
Pyongyang nega responsabilidade, enquanto os EUA mantêm a sua atribuição. Para os utilizadores da Binance e para o mercado de criptoativos, a disputa sobre a autoria é apenas uma parte do caso: a localização dos fundos e a parcela que poderá ser recuperada continuam no centro das atenções.
Cerca de 12 mil carteiras em quatro dias
Numa análise publicada na segunda-feira, a Elliptic afirmou que, nos quatro dias após o ataque, os responsáveis movimentaram os fundos através de cerca de 12 mil carteiras em 11 blockchains. Foram realizadas mais de 40 mil transações, com a criação de uma nova carteira, em média, a cada 25 segundos. A empresa descreveu a operação como altamente sofisticada e automatizada.
Uma parte significativa dos fundos passou inicialmente pela rede Tron. Depois, foi repartida por cerca de 7.700 endereços e encaminhada para a Ethereum através de pontes entre blockchains. Pelo menos US$ 147 milhões saíram da Tron por essas pontes, segundo a Elliptic. A movimentação entre redes obriga os investigadores a acompanhar endereços e transações em diferentes blockchains.
Conversões e congelamento de stablecoins
Os atacantes recorreram a exchanges descentralizadas para trocar stablecoins roubadas por ativos que os emissores não conseguem congelar, incluindo ether. A Elliptic estima que cerca de US$ 786 milhões em stablecoins tenham sido convertidos antes de emissores como Tether e Circle congelarem os ativos restantes.
A Chainalysis afirmou que entidades ligadas à Coreia do Norte iniciaram uma nova fase de branqueamento depois de movimentarem mais de US$ 500 milhões por carteiras intermediárias na Tron. Os fundos também chegaram a outras redes, incluindo a Solana. A Elliptic detetou ainda sinais iniciais de mistura de bitcoins: até ao início de segunda-feira, cerca de 28 BTC, avaliados em aproximadamente US$ 2,2 milhões, tinham passado por 18 operações de mistura. Este processo pode dificultar o rastreamento, mas as informações divulgadas até agora não indicam que esses ativos tenham sido convertidos em moeda fiduciária.
44% dos fundos foram congelados ou recuperados
Com base numa estimativa de US$ 6,43 mil milhões roubados, a Elliptic calcula que cerca de US$ 2,85 mil milhões — 44% do total — tenham sido congelados ou recuperados. Aproximadamente US$ 3,24 mil milhões continuam em endereços ligados ao ataque, sobretudo em bitcoin e ether. A empresa afirma que apenas uma parcela muito reduzida parece ter sido convertida em dinheiro; a maior parte da atividade corresponde a transferências ou trocas entre criptoativos.
Segundo a Elliptic, os fundos estão a ser movimentados mais lentamente do que após o ataque à Bybit, de US$ 1,5 mil milhões, em fevereiro de 2025. Nesse caso, hackers norte-coreanos transferiram todo o ether roubado em dez dias. A empresa considera possível que os fundos restantes do ataque à Binance sejam convertidos gradualmente em bitcoin ao longo de vários meses, com eventuais levantamentos através de intermediários de balcão ou exchanges. Trata-se de uma avaliação de possíveis movimentos futuros, não de fluxos já confirmados.
Binance retoma levantamentos por fases
A Binance afirmou que está a restabelecer os levantamentos de forma faseada e alertou para burlões que prometem acelerar transações ou ajudar a obter compensações. A exchange também declarou ter coberto cerca de 95% do montante afetado. Os 5% restantes correspondem a tokens com menor liquidez, cuja obtenção deverá demorar mais; a empresa está a trabalhar com parceiros do setor para os conseguir.
Para os utilizadores, as prioridades imediatas são o ritmo de reposição dos levantamentos e a obtenção dos ativos em falta. Para as empresas de análise, as transferências entre redes e as conversões continuam a dificultar a recuperação. O valor de cobertura indicado pela Binance diz respeito à resposta da plataforma; as estimativas das empresas de análise descrevem o estado dos fundos roubados na blockchain. São métricas diferentes e não devem ser confundidas.