Os hackers responsáveis pelo roubo recorde de 6,3 bilhões de dólares da Binance estão lavando os fundos obtidos por métodos que, na opinião dos investigadores da empresa de análise de blockchain Chainalysis, não foram observados anteriormente. Eles realizam milhares de transações, o que parece ser uma tentativa automatizada de ocultar rastros.
Eric Jordan, chefe de pesquisa da Chainalysis, declarou em seu comunicado: «Estamos observando esquemas de lavagem de dinheiro sem precedentes». Ele acrescentou que o grande número de transações em um curto período de tempo indica o uso de automação pelos invasores para confundir os rastros dos fundos.
Em vez de simplesmente mover o dinheiro adiante, os hackers o circulam repetidamente entre diferentes endereços, muitas vezes enviando-o de volta para carteiras usadas anteriormente na cadeia. Muitos endereços recebem inicialmente exatamente 1 TRX, o token nativo da blockchain Tron, e depois recebem fundos adicionais e os repassam — uma sequência que Jordan chamou de «ação processual para movimentação e redistribuição de fundos roubados».
Essas conclusões complementam o debate destacado pela TechCentral na semana passada sobre se a inteligência artificial aumenta os riscos para as corretoras de criptomoedas. A Chainalysis não afirmou que a IA estivesse envolvida no esquema, apenas que a lavagem de dinheiro era automatizada.
Nos primeiros minutos do ataque, os invasores superaram os emissores de stablecoins, como Tether e Circle, que poderiam congelar seus tokens. Em quase 20 minutos, eles trocaram 325 milhões de dólares em stablecoins por 285 milhões de dólares em Ether, que não pode ser congelado pelos emissores, de acordo com dados da Chainalysis. O congelamento começou às 23:14, horário da África do Sul, em 29 de outubro, menos de uma hora após o início do roubo. A Chainalysis estima o valor total dos fundos congelados em cerca de 2,8 bilhões de dólares, enquanto a Binance relatou ter descoberto cerca de 3 bilhões de dólares.
No sábado, o FBI declarou que a ação de «mais de 6 bilhões de dólares» estava ligada à Coreia do Norte, nomeando essa atividade TraderTraitor. A agência dos EUA informou que os hackers converteram principalmente os ativos roubados em «Ether» e pediu enfaticamente às empresas de criptomoedas que bloqueassem transações relacionadas à lista de endereços divulgada.
O presidente dos EUA, Donald Trump, mais tarde no sábado, disse que permanecia incerto se a Coreia do Norte estava envolvida. Ele informou aos repórteres que «não sabemos se é a Coreia do Norte — mas se for, falaremos com a Coreia do Norte sobre isso». Pyongyang nega há muito tempo o uso de unidades cibernéticas estatais para fraude financeira.
A Chainalysis, que estima o dano em cerca de 6,4 bilhões de dólares, indicou que suas evidências mais convincentes surgiram quando os investigadores «observaram em tempo real os fundos roubados da Binance misturarem-se com fundos roubados durante a exploração da Bitget no mês passado». O roubo da Bitget em setembro foi atribuído à Coreia do Norte.
Os clientes da Binance retiraram um volume líquido de 3,64 bilhões de dólares da corretora depois que ela começou a restaurar gradualmente os saques às 8h, horário da África do Sul, no domingo. Até as 17h30, 4,65 bilhões de dólares em saques e 1,01 bilhão de dólares em depósitos haviam sido processados, totalizando um fluxo líquido que a Binance estimou em 2,1% de seus ativos sob custódia de 171 bilhões de dólares.
A Binance publicou em uma postagem no X que «após o pico inicial, os volumes de retirada diminuíram e se estabilizaram, como esperado, enquanto os volumes de depósito permanecem significativos».
De acordo com um relatório da Reuters de segunda-feira, a plataforma de análise DefiLlama mostrou saídas maiores: primeiro 4,36 bilhões de dólares e depois 5,81 bilhões de dólares. A Binance informou à agência de notícias que o primeiro número não incluía fundos que foram movidos para uma nova carteira quente própria que a corretora usa para pagar saques.
A Binance declarou no domingo que substituiu cerca de 95% dos ativos roubados, alocando mais de 6,34 bilhões de dólares de seus próprios recursos. Em um comunicado à TechCentral, a Binance África informou que esse dinheiro vem do tesouro corporativo, de parte de seu Fundo SAFU (Fundo de Ativos Seguros para Usuários) e de parte do fundo de seguro de futuros, «garantindo que o saldo do fundo permaneça acima dos níveis de gestão de risco exigidos».
A Binance também ajustou seu relatório de violação. Os relatórios iniciais apontavam para um notebook comprometido de um engenheiro, mas, como afirmaram os co-CEOs Yi He e Richard Teng em uma atualização de 30 de outubro, «nossa investigação subsequente revelou pontos de violação adicionais». A corretora prometeu fornecer um relatório pós-incidente assim que a investigação fosse concluída.
Jordan observou: «As corretoras de criptomoedas são alvos particularmente atraentes para hackers, independentemente de onde estejam sediadas, porque, citando uma frase frequentemente atribuída ao ladrão de bancos Willie Sutton, 'onde há dinheiro'». Ele concluiu que «cada corretora deve manter a vigilância».
