Teorias de “trabalho interno” na Binance crescem antes de relatórios de reservas

Céticos questionam o momento da auditoria de segunda-feira

As dúvidas se concentram na sequência dos eventos, já que, em sua atualização de 30 de outubro, a Binance informou ter recuperado cerca de 80% dos ativos roubados e ainda estar comprando os 20% restantes. A empresa planejava um instantâneo inicial de comprovação de reservas dentro de 12 horas, com os resultados prontos até segunda-feira, 2 de novembro.

Um relatório de comprovação de reservas tem como objetivo mostrar que uma corretora detém ativos suficientes para garantir o saldo de cada cliente, mas os críticos argumentam que realizá-lo após a recompra oculta o tamanho real do rombo.

Posteriormente, o popular trader Financelancelot classificou o ataque como “totalmente um trabalho interno”, questionando como um invasor poderia obter as autorizações corretas dentre possibilidades ilimitadas.

Ao mesmo tempo, outra pessoa alegou que a Binance “arquitetou um ataque” para encobrir uma crise de liquidez, argumentando que um único laptop comprometido não poderia ter assinado transações em dez blockchains em 20 minutos, e comparou a situação à da FTX antes de seu colapso.

Por fim, o renomado trader da Solana, Ansem, fez referência à queda por liquidação de 10 de outubro de 2025, antes de afirmar:

Minha confiança na Binance se foi. Um novo 10/10 está se formando aos poucos.

No entanto, é preciso deixar claro que nenhuma das alegações mencionadas acima é respaldada por evidências concretas, e o Bitcoin.com News já havia noticiado anteriormente como investigadores da cadeia de blocos questionaram partes da explicação inicial da Binance, que se concentrava em um laptop comprometido.

O que as análises forenses realmente mostram

Os investigadores apontam para um invasor externo, ao mesmo tempo em que mostram por que a história do laptop parecia incompleta. A empresa de inteligência de blockchain TRM Labs atribuiu o roubo ao grupo de hackers norte-coreano Tradertraitor, escrevendo: “Fazemos essa avaliação com alta confiança.”

A TRM concordou que uma explicação baseada em phishing “abrange a Ethereum, mas deixa as outras cadeias sem explicação”. Sua avaliação é de que o invasor provavelmente obteve controle do sistema de assinatura da carteira quente da Binance, que poderia realizar assinaturas entre cadeias.

A TRM também descobriu que os preparativos começaram pelo menos 36 horas antes, com saques via Tornado Cash, e que o invasor testou o código em carteiras de teste antes de atacar a Binance. A maior parte dos fundos saiu por dez cadeias em cerca de 20 minutos a partir das 20h05 UTC.

Desde então, a Binance foi além da teoria do laptop e afirmou ter encontrado pontos de violação adicionais e “nenhuma evidência de que as chaves privadas das carteiras tenham vazado”. O co-CEO Richard Teng afirmou que apenas a carteira quente da própria Binance foi comprometida e que os fundos dos clientes não foram afetados.

Nem todos compartilham da certeza da TRM quanto à atribuição da autoria; a empresa de conformidade em criptomoedas Elliptic afirmou que agentes ligados à Coreia do Norte provavelmente foram os responsáveis, mas que “nenhum governo ou órgão de segurança pública havia confirmado a atribuição até o momento”.

Segunda-feira é o verdadeiro teste

A Binance informou que os saques devem começar a ser restabelecidos em fases dentro de cerca de 34 horas, seguidos pelo relatório de reservas e por uma análise técnica completa do incidente. Essas divulgações decidirão se as especulações sobre um “trabalho interno” vão se dissipar ou ganhar força.