Uma taxa de aproximadamente US$ 15 ajudou os invasores da Binance a transferir cerca de US$ 2,5 bilhões em uma única operação. O valor correspondia a 40% dos US$ 6,3 bilhões roubados da corretora na semana anterior, segundo uma análise da Blockaid sobre transações registradas na blockchain Ethereum. A quantia paga não comprou as criptomoedas; comprou uma autorização. Pequena no preço, enorme no estrago.
O ataque explorou o EIP-7702, uma atualização da Ethereum implementada em maio de 2025 para tornar carteiras mais práticas. Antes dela, uma carteira básica funcionava de maneira parecida com uma conta corrente: o proprietário precisava autorizar cada transação. Com a mudança, a conta pode delegar a um software a capacidade de agir em seu nome e combinar várias ações. É uma espécie de débito automático para ativos digitais — só que, quando a chave cai na mão errada, a conta inteira pode virar saque.
Como os hackers conseguiram mover US$ 2,5 bilhões de uma vez?
Os hackers usaram uma autorização válida da carteira Binance 14 para permitir que um código sob seu controle movimentasse os ativos, e depois acionaram esse código em uma única transferência. A operação ocorreu por volta das 17h20 (horário de Brasília) de 29 de outubro, de acordo com a Blockaid. A primeira transação não retirou dinheiro; apenas instruiu a rede Ethereum a aceitar o programa delegado. Cerca de três minutos e meio depois, veio o esvaziamento: 167.464 Ether e mais de 60 tokens diferentes foram enviados aos invasores.
O maior pedaço do lote era composto por US$ 1,6 bilhão em USDT, a stablecoin da Tether. Em condições normais, transferir tantos ativos exigiria uma sequência de operações, cada uma acrescentando tempo e uma nova oportunidade para os sistemas de segurança identificarem um comportamento estranho. O EIP-7702 ofereceu o atalho. Não foi uma falha que simplesmente abriu uma porta; foi uma autorização persistente que permitiu ao invasor entrar, preparar a saída e apertar o botão quando quisesse.
A Tibane Labs descreveu o programa como algo bastante direto: quando o proprietário ordenasse, ele esvaziaria a carteira para um endereço escolhido. A parte desconcertante está justamente aí. O mecanismo usado não precisava parecer um roubo em cada etapa. Primeiro, uma permissão. Depois, a transferência. A taxa de rede foi rotina; o efeito, não. Em cripto, a diferença entre uma operação administrativa e uma catástrofe pode caber numa assinatura digital.
Por que a autorização continuou funcionando depois da descoberta?
A autorização permaneceu válida na Ethereum mesmo depois que a Binance interrompeu saques ou desligou serviços ligados à carteira, segundo o relatório do incidente. Essa permanência permitiu que os invasores continuassem movimentando fundos enquanto depósitos ainda chegavam à Binance 14. Dan Caspi, cofundador e diretor de tecnologia da Hypernative, resumiu o problema: em um ataque, o defensor quer desacelerar o invasor; o EIP-7702 ajudou o invasor a acelerar.
O roubo não terminou nos US$ 2,5 bilhões iniciais. Conforme a Elliptic, os criminosos usaram a mesma permissão para retirar aproximadamente US$ 3,6 bilhões no total, incluindo US$ 823 milhões de outra conta da Binance e quatro novas varreduras da Binance 14. O número exato e a composição dos ativos dependem do rastreamento das transações, mas a lógica é clara: bloquear saques não bastava enquanto a autorização delegada continuava registrada na rede.
Como a invasão começou e o que a Binance mudou?
A Binance afirmou que o acesso inicial veio de falsas ofertas de emprego usadas para enganar um engenheiro e fazê-lo baixar código malicioso. A empresa classificou o episódio como uma campanha sofisticada e em várias etapas, envolvendo engenharia social, dispositivos comprometidos e técnicas de inteligência artificial. O alvo seguinte foi a Binance 14, uma hot wallet usada para processar saques de clientes e que normalmente concentra Ether, stablecoins e dezenas de outros tokens.
A corretora declarou que o EIP-7702 teve papel significativo no ataque. Segundo seu porta-voz, a Binance revogou a delegação afetada, reconstruiu a infraestrutura da carteira e atualizou controles de assinatura e monitoramento. Também informou que adotou políticas mais rígidas para transações de delegação, análise comportamental reforçada, controles adicionais por operação e procedimentos emergenciais de revogação. A empresa disse ainda que os fundos dos usuários permanecem protegidos e que absorveu o impacto financeiro.
O FBI atribuiu o ataque à Coreia do Norte, que negou envolvimento. Se confirmada, seria a maior subtração de criptomoedas registrada até então. Mas o detalhe mais instrutivo talvez não esteja na geopolítica nem no valor monumental. Está nos US$ 15: uma ferramenta criada para reduzir atrito também reduziu o tempo de reação. A carteira parecia mais simples para o usuário. Para o invasor, tornou-se uma torneira com autorização remota.
