O roubo ocorrido em 29 de outubro de 2026 movimentou cerca de US$ 6,3 bilhões a US$ 6,4 bilhões em criptomoedas por várias blockchains. A maior parte das transferências aconteceu em aproximadamente 20 minutos. O FBI atribuiu o ataque ao grupo TraderTraitor, ligado à Coreia do Norte. Enquanto isso, empresas de análise de blockchain acompanharam os caminhos percorridos pelos ativos, e uma interrupção na THORChain suspendeu temporariamente operações de troca entre redes.
1
12
58
Os valores são estimativas de investigações diferentes, não um balanço único e consolidado. Também é importante separar o que foi movimentado, o que foi congelado e o que a Binance afirma que vai cobrir para compensar clientes.
O que aconteceu — e quem foi responsabilizado?
A TRM Labs estimou que cerca de US$ 6,36 bilhões saíram de carteiras da Binance em 10 blockchains, em sua maioria ao longo de aproximadamente 20 minutos, a partir das 20h05 UTC. Outras análises chegaram a números e contagens diferentes: a Elliptic estimou US$ 6,43 bilhões em 11 blockchains, enquanto a Bitquery acompanhou cerca de US$ 6,3 bilhões em nove. As divergências refletem métodos e análises distintos, não um total único aceito por todos.
12
58
19
O FBI responsabilizou a Coreia do Norte e identificou a atividade como parte do grupo TraderTraitor. A agência também afirmou ter observado os responsáveis convertendo os ativos roubados principalmente em ether.
1 A Coreia do Norte negou a acusação. Segundo a CoinDesk, Kim Yo Jong classificou as alegações como uma provocação política; a Reuters noticiou que o país as chamou de “retórica absurda”.
56
48
Relatos apontaram para o comprometimento de sistemas ligados ao processo de assinatura de carteiras da Binance. Mas as informações disponíveis aqui não estabelecem uma explicação forense completa de como os invasores conseguiram acesso.
5
16
O que aconteceu com os SOL roubados?
Até 4 de novembro, reportagens que citaram o rastreamento de transações em blockchain indicavam que cerca de 81% dos 970.522 SOL atribuídos ao roubo já tinham saído de carteiras associadas aos invasores. Carteiras rastreadas pela Arkham teriam mantido 182.443 SOL, avaliados em cerca de US$ 16,9 milhões naquele momento.
22
29
Os relatos descrevem os SOL sendo divididos entre várias carteiras e passando por conversões e trocas entre blockchains, inclusive pela THORChain. Algumas publicações apontaram um trajeto que incluiu USDC e Ethereum antes de os fundos seguirem em direção ao bitcoin. São informações de rastreamento: não provam que todos os ativos percorreram o mesmo caminho, nem que todos foram vendidos ou convertidos em dinheiro.
23
29
Essa distinção é importante ao avaliar possíveis efeitos no mercado. Uma reportagem registrou uma queda de curto prazo no preço do SOL durante o período do roubo, mas as fontes disponíveis não permitem determinar quanto o ataque contribuiu para movimentos mais amplos de preço. Também não confirmam alegações mais abrangentes sobre o desempenho em outubro, posições vendidas, fluxos de ETFs ou depósitos em corretoras. A transferência de tokens para uma corretora, por si só, não comprova que houve venda.
28
Por que a THORChain suspendeu as trocas — e o que voltou a funcionar
Em 31 de outubro, uma reorganização de blocos na rede Ethereum afetou um depósito de 10 ETH na THORChain. Segundo relatos, o protocolo emitiu um reembolso duplicado e, em seguida, suspendeu as trocas como medida de emergência. A Chainalysis afirmou que a interrupção atrasou inadvertidamente a movimentação de fundos roubados da Binance, pois usuários — incluindo os suspeitos do ataque — não podiam fazer trocas por muitas das pontes da THORChain durante a pausa.
38
46
Após a atualização v3.21.1, a THORChain retomou trocas envolvendo Bitcoin, Ethereum e outros nove ativos listados. De acordo com o relato sobre a retomada, as operações com Solana, BNB Smart Chain e Cosmos Hub continuaram suspensas.
41
Uma reportagem separada, atribuída à Grey Ledger, afirmou que 41 trocas associadas a endereços monitorados foram concluídas nos 25 minutos seguintes à retomada, com o pagamento de 368,12 ETH. Esse é um resultado de rastreamento relatado — não um balanço completo dos fundos roubados nem prova de que todos os endereços de destino eram controlados pelas mesmas pessoas.
42
O FBI pediu a serviços de criptomoedas, incluindo operadores de nós da THORChain, que restringissem transações ligadas ao roubo. A lista divulgada pela agência incluía 608 endereços de Ethereum, 19 de Bitcoin e um de Solana. A estrutura independente dos nós da THORChain torna mais complexo explicar como um pedido desse tipo se traduz em medidas dentro do protocolo.
34
40
60
Fundos congelados, saldos restantes e cobertura aos clientes
A Elliptic informou que as emissoras Tether e Circle haviam congelado cerca de US$ 2,8 bilhões em stablecoins ligadas ao roubo. Outras estimativas também apontaram bilhões de dólares em ativos congelados ou interceptados, mas os totais variam conforme a fonte e a data do levantamento.
52
60
Estimativas separadas colocaram entre US$ 3,21 bilhões e US$ 3,25 bilhões em endereços associados ao roubo, principalmente em bitcoin e ether. São números referentes a momentos específicos do rastreamento: um ativo que continua em uma carteira ligada ao caso não equivale a um ativo recuperado; e um saldo congelado não é o mesmo que o valor restante sob controle dos invasores.
53
60
A Binance afirmou que cobriria as perdas dos clientes. Uma reportagem publicada em 4 de novembro disse que a corretora havia reposto cerca de 98% do valor afetado. Essa cobertura aos clientes é diferente de recuperar as criptomoedas roubadas das pessoas responsáveis pelo ataque.
27
50
O que as evidências mostram — e o que não mostram
O quadro mais bem sustentado pelas fontes é o de um roubo de grande escala e execução rápida; uma atribuição do FBI ao grupo TraderTraitor, ligado à Coreia do Norte e cuja responsabilidade foi negada pelo país; uma movimentação substancial dos SOL roubados; e uma pausa na THORChain que interrompeu temporariamente as trocas entre redes.
1
12
22
38
56
As fontes disponíveis não permitem tratar todos os trajetos relatados como confirmados, confundir movimentação com conversão bem-sucedida em dinheiro ou afirmar que o ataque causou a tendência mais ampla de preço da Solana. Estimativas do que foi congelado, do que ainda está em carteiras ligadas ao roubo e do que a Binance repôs descrevem coisas diferentes — e devem ser entendidas separadamente.