Hacker da Binance move US$ 293 mi em XRP; US$ 242 mi fogem pela Tron

O XRP roubado volta à ativa

O endereço de armazenamento do invasor no XRP Ledger (XRPL) começou a enviar pagamentos de teste de 1.000 XRP para seis novas carteiras às 03h47 UTC do dia 2 de novembro. As grandes transferências ocorreram alguns minutos depois.

O rastreador de blockchain Whale Alert sinalizou uma transferência de 40 milhões de XRP, no valor de cerca de US$ 50,4 milhões, de um endereço identificado como “Binance Hack 2026”. Menos de um minuto depois, ele sinalizou uma segunda transferência de 40 milhões de XRP, do mesmo valor.

Esses dois alertas foram apenas parte da operação, já que o histórico completo do livro-razão da carteira mostra nove pagamentos de grande valor entre 03h52 e 04h00 UTC, totalizando cerca de 233,45 milhões de XRP. Após as seis transferências de teste, o endereço restava com apenas 23,7 XRP.

Cinco das carteiras receptoras agora possuem cerca de 40 milhões de XRP cada. A sexta carteira possui 33,46 milhões de XRP. Até as 04h37 UTC, nenhuma das seis havia repassado os fundos.

Esse é o estoque que o Bitcoin.com News noticiou quando o XRP foi atingido pela primeira vez no ataque de 29 de outubro. A partir das 20h05 UTC, cinco carteiras da Binance enviaram 233,46 milhões de XRP para um único endereço do invasor em cerca de quatro minutos.

Com o XRP sendo negociado perto de US$ 1,26, o valor total do saque chega agora a cerca de US$ 293 milhões.

Por que o XRP nunca foi congelado

Ao contrário das stablecoins, o XRP nativo não tem um emissor que possa congelá-lo. A Ripple congelou os RLUSD roubados vinculados ao ataque, mas esses controles de congelamento do emissor não se aplicam ao XRP, e recuperar o XRP depende de rastreá-lo e de as corretoras bloquearem os depósitos.

A empresa de análise de blockchain Elliptic havia constatado que o XRP ainda estava no local em 31 de outubro; portanto, essa última divisão de um grande saldo entre várias novas carteiras provavelmente é uma etapa de lavagem de dinheiro. Isso cria mais rastros para os investigadores seguirem e permite que os fundos sejam movimentados em quantias menores.

US$ 242 milhões já movimentados pela Tron

A movimentação do XRP ocorre em paralelo a novos dados de rastreamento de outra cadeia. Analistas relataram que o invasor movimentou cerca de US$ 242 milhões por meio de rotas relacionadas à Tron nos dois dias seguintes ao ataque. Cerca de US$ 628 milhões em ativos na Tron foram roubados no ataque.

O relatório indicou que, após a Tether ter congelado cerca de 378,7 milhões de USDT, o invasor movimentou os fundos por meio do Relay, Thorchain, Chainflip, Symbiosis e outros canais. Outros US$ 41,7 milhões passaram pela Bitget Wallet, e seu destino ainda não foi confirmado.

O Thorchain, um protocolo de troca entre cadeias, foi uma das principais rotas. Uma falha na rede interrompeu o processo, enquanto o FBI pressionava os operadores de nós a bloquearem transações ligadas ao ataque. A parcela em bitcoin também não foi movimentada.

Por fim, o Bitcoin.com News informou recentemente que o saque de 1,4 bilhão de dólares em bitcoins pela Coreia do Norte também permanece no mesmo lugar até o momento da redação desta matéria.

Um fluxo gradual para a Gate

O invasor também está sondando exchanges centralizadas, e a conta de análise on-chain Lookonchain informou que o hacker depositou US$ 250 mil na exchange de criptomoedas Gate ao longo de 12 horas. E, embora essa seja uma quantia minúscula em comparação com o total roubado, isso mostra que o hacker está testando saídas que passam por plataformas de custódia.

O momento, no entanto, é delicado para a Gate, já que seu diretor executivo pediu uma aliança de segurança em todo o setor dias após a violação. A Gate não havia se pronunciado publicamente sobre os depósitos até o momento da redação desta matéria.

Autoridades americanas atribuíram o roubo à Coreia do Norte. A Binance afirma ter coberto cerca de 95% do valor afetado com recursos da empresa. Os próximos dias prometem ser interessantes!