Grande parte do dinheiro tirado da Binance não escapou. O Decrypt informou que $2,85 bilhões dos $6,43 bilhões roubados foram congelados ou apreendidos, contra cerca de 3% no hack da Bybit.
É isso que diferencia este caso do padrão habitual, em que os fundos roubados já desapareceram há muito tempo quando alguém aponta um suspeito. A atribuição é a outra metade da história: uma agência do governo dos EUA colocou um Estado por trás de um dos maiores roubos de cripto já registrados, e esse Estado negou.
Principais números
- $6,3 bilhões em ativos digitais tirados da Binance no ataque de 29 de outubro, segundo o número do FBI
- $2,85 bilhões congelados ou apreendidos, contra cerca de 3% dos fundos no hack da Bybit, segundo o Decrypt
- 12.000 carteiras usadas na lavagem, uma nova a cada 25 segundos, aproximadamente
- $3,64 bilhões em saídas líquidas da Binance nas primeiras nove horas e meia após a reabertura dos saques, ou 2,1% de seus ativos
O FBI nomeou a operação e pediu que outros a bloqueassem
Em um alerta de segurança de 31 de outubro, o FBI atribuiu o ataque de 29 de outubro a agentes cibernéticos norte-coreanos, informou o CryptoSlate. O órgão se refere a essa atividade como TraderTraitor.
Segundo o Cointelegraph, o FBI disse que os ativos roubados foram convertidos em sua maioria em Ether e que espera que sejam convertidos novamente por meio de DeFi e serviços de troca instantânea à medida que a lavagem avança para estágios mais sofisticados.
A agência pediu que empresas privadas bloqueassem os fundos: operadores de THORNode, operadores de nós RPC, exchanges instantâneas, serviços DeFi, empresas de análise de blockchain e outros prestadores de serviços de ativos digitais foram instados a bloquear transações envolvendo os endereços listados em seu comunicado. O CoinDesk informou que o pedido abrangia endereços de Bitcoin, Ether e Solana.
Em termos simples: cripto roubada só tem utilidade quando pode ser trocada, transferida entre blockchains ou convertida em dinheiro, e essas etapas passam por serviços operados por empresas identificáveis. Quando esses operadores recusam os endereços sinalizados, as moedas continuam rastreáveis e difíceis de gastar. É por isso que um alerta policial parece uma lista de endereços de carteiras, e não um mandado de prisão.
A lavagem é automatizada, e as reportagens não chegam a chamá-la de IA
O Decrypt descreveu a movimentação dos fundos como automatizada e abrangendo 12.000 carteiras, ao ritmo de uma nova carteira a cada 25 segundos, aproximadamente. É esse volume que as empresas de análise vêm acompanhando desde o roubo.
É também aí que as reportagens traçam um limite. O CoinDesk informou que não há prova de que inteligência artificial tenha sido usada para movimentar os fundos roubados por milhares de carteiras. Automação em alta velocidade não é o mesmo que um sistema de IA, e nenhuma das reportagens que li apresenta evidências desta última.
Para dar a dimensão, o Cointelegraph citou um relatório da CertiK que atribui mais de $2 bilhões dos cerca de $3,4 bilhões estimados em perdas de segurança cripto em 2025 a grupos ligados à Coreia do Norte, em 79 de 656 incidentes documentados. A mesma pesquisa estimou os roubos desses agentes em $6,75 bilhões, em 263 incidentes, entre 2016 e o início de 2026.
Pyongyang rejeita a atribuição
A Coreia do Norte negou a responsabilidade. O The Defiant informou que Kim Yo Jong chamou a acusação dos EUA de “retórica absurda”, enquanto a Chainalysis disse que os fundos roubados se misturaram aos recursos de um exploit anterior.
Os próprios números não são uniformes entre as reportagens. O número do FBI é de cerca de $6,3 bilhões, o CryptoSlate descreveu o alerta como abrangendo mais de $6 bilhões e o Decrypt usou $6,43 bilhões. Nenhuma das reportagens explica a diferença.
A Binance reabriu os saques e $3,64 bilhões saíram no primeiro dia
A Binance manteve 1º de novembro como meta de retomada e iniciou saques em fases, informou o Cointelegraph. Nas primeiras nove horas e meia após a reabertura, a exchange disse ter registrado $3,64 bilhões em saídas líquidas, equivalentes a 2,1% de seus ativos, segundo o Decrypt.
A exchange descreveu isso como a primeira fase. Nenhuma das reportagens informa uma data para as fases seguintes.