Em 29 de outubro de 2026, cerca de US$ 6,36 bilhões saíram de carteiras da Binance, com a maior parte das movimentações em aproximadamente 20 minutos, segundo a TRM Labs. A empresa de inteligência classifica o caso como o maior roubo de criptomoedas já registrado. Uma hipótese inicial da Binance envolve o notebook de um engenheiro de DevOps; a investigação continua.
O valor impressiona. Mas o valor não é o ponto.
A Binance é a maior corretora de cripto do mundo, tanto em carteira quanto em volume transacionado. Tem uma das melhores operações de segurança do planeta. E ainda assim foi invadida de uma forma que, nas últimas semanas, a nossa equipe de inteligência de ameaças viu se repetir em bancos brasileiros.
O que esse ataque revela não é um problema do mercado de cripto. É um problema de todo mundo que tem um ambiente digital e acha que a estratégia de segurança de 2025 ainda serve em 2026.
O que se sabe até agora
A investigação ainda está em andamento e os detalhes podem mudar. Mas o que foi divulgado pela Binance e por empresas de inteligência de blockchain já dá a dimensão do caso.
- Volume: cerca de US$ 6,36 bilhões transferidos de carteiras da Binance em dez blockchains diferentes, segundo a TRM Labs. Mais de quatro vezes o roubo de US$ 1,5 bilhão da Bybit em fevereiro de 2025.
- Porta de entrada: a Binance informou que sua investigação inicial aponta para um possível comprometimento do notebook de um engenheiro de DevOps, que pode ter permitido acesso a um ambiente de serviços e o envio de transações não autorizadas. A empresa afirmou não ter encontrado evidência de vazamento de chaves privadas e informou posteriormente que identificou pontos adicionais de comprometimento. A investigação continua.
- Atribuição: TRM Labs e Chainalysis apontam o TraderTraitor, grupo ligado à Coreia do Norte e responsável pelo caso Bybit. A Binance ainda não confirmou.
- Resposta: cerca de US$ 3 bilhões congelados, saques suspensos e compromisso de cobrir as perdas com recursos próprios (Euronews).
Um parêntese que vale fazer: a Binance foi fundada por Changpeng Zhao, que nasceu na China mas foi para o Canadá ainda jovem. A empresa não tem sede nem entidade legal registrada na China. É uma corretora mais ocidental do que qualquer outra coisa. Quem quiser explicar o ataque por geopolítica chinesa está olhando para o lugar errado.
O que importa aqui é o perfil de quem foi comprometido. Um engenheiro de DevOps ou de infraestrutura não tem só acesso. Tem contexto: sabe como os sistemas da corretora operam, onde estão as automações, como as transações são submetidas. Esse é o grande X da questão.
October Storm: por que outubro concentrou tantos incidentes
A Binance não é um caso isolado. Outubro de 2026 teve uma concentração de incidentes cibernéticos que a imprensa internacional já batizou de Black October. Aqui na Vultus a gente chama de October Storm.
A minha leitura é direta: isso é fruto da adoção de inteligência artificial pelos adversários. Os invasores ganharam poder e escala de uma maneira nunca vista na história da segurança digital.
E o momento é ímpar porque a pressão vem por duas vias ao mesmo tempo.
Pela via das empresas, a superfície de ataque explodiu. A IA deu velocidade para desenvolver código, com vibe coding ou não, e para criar infraestrutura inteira. As empresas publicam mais serviços, integram mais plataformas e automatizam mais processos do que nunca. Quanto mais superfície, mais oportunidade para o atacante.
Pela via dos adversários, a mesma IA os tornou muito mais capazes. Não é que existam mais atacantes. É que cada atacante passou a produzir muito mais, com muito mais velocidade.
Junte as duas vias e o resultado é outubro de 2026.
Isso já está acontecendo no Brasil
Nas últimas semanas de outubro, a área de inteligência de ameaças da Vultus acompanhou bancos e instituições de pagamento brasileiras invadidas com uma cadeia de ataque muito parecida com a da Binance. Não estou dizendo que é o mesmo grupo. Estou dizendo que é a mesma lógica.
Nos casos acompanhados pela Vultus, o ponto de partida foi um acesso inicial legítimo: a credencial real de um usuário real, que a organização considera confiável. Esse acesso pode chegar por três caminhos.
Engenharia social e comprometimento da estação de trabalho. A vítima é induzida a instalar um malware ou entregar um acesso. O notebook dela vira o ponto de partida para o resto do ambiente. Uma hipótese inicial da Binance envolve o comprometimento de um notebook, mas a investigação ainda está em andamento.
Comprometimento da cadeia de suprimento de software. Todo software que roda no seu ambiente, inclusive na máquina do desenvolvedor, consome bibliotecas públicas. Os atores de ameaça vêm comprometendo essas bibliotecas, muitas vezes também por engenharia social contra quem as mantém. Quando o software legítimo atualiza e puxa de um repositório envenenado, ele é comprometido junto.
SIM swap contra linhas corporativas. Esse foi o padrão nos casos brasileiros. O chip está no nome da empresa. Os fraudadores vão até a operadora de posse de documentos da empresa, se passam por alguém autorizado e transferem a propriedade da linha. A partir dali, controlam o fator de autenticação e a recuperação de contas.
Engenharia social e supply chain são hoje as duas principais vias de acesso inicial que observamos. O SIM swap é o que vem fazendo mais estrago no Brasil.
O que mudou: o tempo deixou de ser nosso aliado
O que os casos brasileiros e o caso Binance têm em comum não é só o acesso inicial. É o que acontece depois dele.
Até pouco tempo atrás, e estou falando de oito ou nove meses, conseguir o acesso era só o começo do trabalho do invasor. Ele precisava entender o ambiente: ler documentação, mapear sistemas, descobrir como as transações eram submetidas, achar o caminho até o dinheiro. Em infraestruturas de pagamento, isso levava dias ou semanas.
Esse tempo era a nossa vantagem. Na maioria das vezes, quando o atacante terminava de aprender o suficiente para transacionar, o ataque já tinha sido detectado e mitigado.
Com IA, não. Uma vez dentro, o invasor coloca a IA para ler código, documentação, configurações e integrações, e ganha em minutos o conhecimento que antes levava semanas. A IA surfa nessas infraestruturas numa velocidade que as melhores defesas do mundo não conseguem acompanhar.
Sobre a Binance especificamente, não há confirmação pública de uso de IA na operação. A maior parte dos bilhões foi movimentada em cerca de 20 minutos, mas isso não comprova, por si só, o uso de IA nem a forma de acesso. A TRM Labs identificou sinais de preparação anterior à movimentação. Nos casos que analisamos no Brasil, observamos um padrão de aprendizado acelerado.
O desafio deixou de ser impedir o atacante de entrar. Passou a ser detectar e interromper o avanço dele antes que ele produza impacto. E a janela para isso encolheu brutalmente.
Por que a Binance, e por que isso é problema seu
Instituições que transacionam dinheiro sempre foram alvos prioritários. O que mudou é o modelo de negócio do crime.
No modelo tradicional, o invasor entrava, roubava dados e precisava de um segundo passo para monetizar: extorsão, ransomware, venda de informação. Quando o alvo tem poder de transacionar diretamente, seja em cripto ou em dinheiro tradicional, esse segundo passo some. A invasão vira receita na hora.
É por isso que bancos, instituições de pagamento e corretoras estão na mira. Não precisa ser cripto.
A Binance reúne características que a tornam um alvo atrativo: uma grande concentração de criptoativos e a possibilidade de movimentá-los globalmente com rapidez, criando desafios próprios de rastreamento e congelamento. Ela é potencialmente uma das empresas mais atacadas do mundo e tem uma segurança à altura disso.
Ainda assim, sofreu um incidente que afetou bilhões de dólares em ativos.
O efeito imediato é desconfiança no mercado de cripto, e o preço vai oscilar nos próximos dias. Mas o efeito que me interessa é outro. Esse ataque coloca um ponto de interrogação sobre toda e qualquer estratégia de segurança digital vigente hoje.
Se a Binance foi invadida assim, como estão as outras empresas? Como está a sua empresa sob a ótica de uma IA?
A pergunta que todo CISO tem que fazer hoje
Não é "estamos protegidos?". Essa pergunta não tem resposta útil.
A pergunta é: qual é a perspectiva de uma IA sobre a nossa infraestrutura digital hoje? O que ela enxerga, e até onde ela chega, partindo de três pontos:
- Da internet, sem nenhum acesso. O que dá para descobrir e explorar na nossa superfície externa, que cresceu muito mais rápido do que o nosso inventário dela.
- De um acesso legítimo de baixo privilégio. A credencial de um colaborador, um estagiário, um fornecedor. Quais sistemas ela alcança e por onde ela escala.
- De um acesso legítimo de alto privilégio. O notebook de um engenheiro de DevOps, a sessão de um administrador. O cenário da Binance. Quais ações críticas podem ser executadas sem nenhuma validação adicional.
O terceiro cenário é o que quase ninguém testa. Muita empresa faz pentest externo periodicamente e nunca avaliou o que acontece quando uma identidade privilegiada cai. É nesse cenário que um acesso isolado pode levar a um incidente de grande impacto.
E a resposta não vem de um questionário de conformidade nem de um scanner. Um scanner diz que existe uma vulnerabilidade. Uma auditoria diz que existe um controle. Nenhum dos dois diz até onde um adversário chega combinando fragilidades num ambiente real, na velocidade de uma IA.
Tem que testar. Tem que colocar IA para testar o nosso ambiente, continuamente, do jeito que o adversário já está fazendo. É essa a direção em que a Vultus vem trabalhando: nossos especialistas em segurança ofensiva combinados com testes autônomos via IA, como o Ares, para encontrar e validar caminhos reais de comprometimento com a frequência que a velocidade dos ambientes exige. Não é substituir o humano. É dar a ele a mesma escala que o atacante ganhou.
O que o ataque à Binance realmente ensina
A investigação vai render mais detalhes nas próximas semanas. Mas a lição não depende dela.
A segurança de uma empresa não se mede pela dificuldade de entrar. Se mede por até onde alguém chega depois que entrou, e em quanto tempo. O adversário não respeita o calendário dos nossos testes, não se limita ao escopo da auditoria e não espera a próxima janela de manutenção.
Ele procura caminhos. Combina fragilidades. Usa acessos legítimos. E agora faz tudo isso com IA.
A má notícia é que o adversário está na nossa frente. A boa notícia é que a mesma tecnologia que deu escala a ele está disponível para nós. A diferença está em quem começa a usar primeiro.
Perguntas frequentes sobre o ataque à Binance
O que aconteceu com a Binance em outubro de 2026? Em 29 de outubro de 2026, cerca de US$ 6,36 bilhões foram transferidos sem autorização de carteiras da Binance, em dez blockchains, com a maior parte das movimentações concentrada em cerca de 20 minutos. É o maior roubo de criptomoedas já registrado.
Quem foi o responsável? TRM Labs e Chainalysis atribuem o ataque ao TraderTraitor, grupo ligado à Coreia do Norte e apontado também no caso Bybit. A Binance ainda não confirmou a atribuição.
Como os invasores entraram? A investigação inicial da Binance apontou o possível comprometimento do notebook de um engenheiro de DevOps e acesso a um ambiente de serviços. A empresa posteriormente informou ter identificado pontos adicionais de comprometimento; a investigação segue em andamento. A Binance disse não ter encontrado evidência de vazamento de chaves privadas.
O ataque usou inteligência artificial? Não há confirmação pública de uso de IA no caso Binance, e a velocidade das movimentações, por si só, não demonstra seu uso. Nos ataques recentes analisados pela Vultus em instituições brasileiras, observamos um padrão de aprendizado acelerado do ambiente após o acesso.
Como saber se minha empresa poderia sofrer um ataque parecido? Testando. Colocando IA para avaliar o ambiente a partir da internet, de um acesso legítimo comum e de um acesso privilegiado, de forma contínua, e medindo até onde ela chega.
Rodrigo Gava é CTO e Board Member da Vultus Cybersecurity, especialista em segurança ofensiva com quase duas décadas de experiência. Atua no desenvolvimento de tecnologias e metodologias para antecipação de ameaças, validação de riscos e proteção da continuidade dos negócios.
Fontes e acompanhamento do caso
As informações públicas sobre o incidente são preliminares e podem mudar com o avanço da investigação. As observações sobre instituições brasileiras neste artigo são análises da equipe da Vultus.
