Se você acredita que nenhuma transferência sai da conta da sua empresa sem a sua assinatura, o ataque à Binance é um bom motivo para testar essa certeza hoje. Na noite de 29 de outubro de 2026, cerca de 6,3 bilhões de dólares saíram das carteiras da Binance, a maior corretora de criptomoedas do mundo, em saques não autorizados, a maior parte em cerca de 20 minutos. O co-CEO da corretora disse que parte da operação não passou pelos controles de aprovação habituais. A lição para o seu negócio não tem nada a ver com criptomoedas: liste cada caminho capaz de movimentar dinheiro ou alterar a conta de um favorecido, e faça com que cada um exija duas pessoas, dois aparelhos e um registro que ninguém consiga apagar.

O que aconteceu na Binance, em números

Segundo a segunda atualização oficial que a Binance publicou em 30 de outubro, suas carteiras quentes, ou seja, as carteiras conectadas à internet que processam os saques dos clientes, foram comprometidas por volta das 20:05 UTC, com uma perda de cerca de 6,3 bilhões de dólares. A corretora suspendeu os saques, informou que cerca de 3 bilhões de dólares foram congelados na blockchain com a ajuda de parceiros e reservou mais de 6,34 bilhões de dólares de recursos próprios para cobrir as perdas, incluindo 5 bilhões mantidos exatamente nos tokens que foram roubados, ou cerca de 80% do valor. A meta era retomar os saques em fases em cerca de 34 horas após essa atualização, com um relatório de prova de reservas até 2 de novembro.

A análise da TRM Labs sobre os dados da blockchain traz detalhes importantes: os fundos saíram por 10 redes, a preparação começou pelo menos 36 horas antes do roubo, o invasor ensaiou a ferramenta em outra carteira antes de usá-la e preparou 50 autorizações assinadas com antecedência para que uma delas fosse válida no momento da execução. A TRM calcula o total em 6,36 bilhões de dólares, cerca de quatro vezes o ataque à Bybit, de 1,5 bilhão de dólares, em fevereiro de 2025. A TRM e a Elliptic atribuem o ataque ao TraderTraitor, um grupo ligado à Coreia do Norte, embora a Elliptic observe que nenhum governo confirmou ainda essa atribuição.

O que a Binance disse sobre como aconteceu

A investigação inicial apontou para o notebook comprometido de um engenheiro de DevOps, que permitiu ao invasor chegar a um contêiner de serviço e enviar transações de saque não autorizadas. Depois, a corretora disse que a investigação seguinte revelou outros pontos de invasão e que não encontrou evidências de vazamento das chaves privadas de suas carteiras. O co-CEO afirmou que o ataque não foi executado por uma só pessoa, que o invasor usou um mecanismo de autodestruição que apagava ferramentas e rastros durante a operação e que a delegação usada no Ethereum não passou pelos controles de aprovação habituais da Binance.

Em termos simples: o invasor não arrombou o cofre. Ele fez os próprios sistemas da Binance assinarem as transferências. Na avaliação da TRM, a explicação mais provável é a capacidade de fazer o sistema de assinatura assinar transações escolhidas pelo invasor, em redes diferentes e com chaves diferentes, em cerca de meia hora.

Por que isso importa para uma empresa que não tem nenhuma criptomoeda

Porque toda empresa opera uma versão pequena desse sistema de assinatura: o portal do banco para empresas, o arquivo de pagamentos que o contador exporta do sistema contábil e envia ao banco, a tela onde se editam os dados bancários de um fornecedor, a permissão de reembolso no seu gateway de pagamento, o arquivo mensal da folha de pagamento. Como dono, você vê o caminho oficial de aprovação, solicitação, depois gestor, depois financeiro, mas o invasor procura o caminho lateral: uma conta de sistema que envia arquivos automaticamente, um administrador de TI que pode trocar um IBAN ou uma chave de integração em um fornecedor externo capaz de executar uma transferência.

Há mais duas lições. A primeira é a velocidade: a maior parte do dinheiro saiu em cerca de 20 minutos, e nenhum funcionário consegue acompanhar isso manualmente, então a proteção precisa ser feita de limites e alertas que funcionem sozinhos. A segunda é a preparação: o invasor se preparou com 36 horas de antecedência e testou a ferramenta, o que significa que havia sinais precoces para quem estivesse observando. Já escrevemos sobre como um único site gratuito de streaming em um notebook de trabalho pode entregar as senhas da sua empresa aos invasores, e o aparelho de quem tem as permissões é o alvo mais valioso da empresa.

O que revisar na sua empresa nesta semana

  • Mapeie cada caminho por onde o dinheiro pode sair: anote cada pessoa e cada sistema que pode iniciar uma transferência, aprová-la, alterar a conta de um favorecido ou emitir um reembolso, incluindo contas de sistema, chaves de integração e fornecedores externos.
  • Duas pessoas e dois aparelhos para cada transferência: quem lança uma transferência não a aprova, e a aprovação é feita em outro aparelho. É o princípio da segregação de funções dos Controles Essenciais de Cibersegurança: concluir uma tarefa exige mais de uma pessoa, cada uma com privilégios diferentes. Ligue isso a uma matriz de aprovações que defina quem assina o quê.
  • Limites e alertas instantâneos: peça ao seu banco um limite diário de transferências e um alerta instantâneo no celular do dono a cada transferência grande e sempre que um favorecido for incluído ou alterado.
  • Permissões de administrador na medida da necessidade: ative a autenticação multifator para cada acesso remoto e cada conta privilegiada, revise periodicamente a lista de quem tem essas permissões e exclua as contas de ex-funcionários e de fornecedores que já encerraram o trabalho.
  • Um registro que o invasor não consiga apagar: o invasor da Binance apagou rastros durante a operação. Ative os registros de eventos das contas privilegiadas e do acesso remoto, guarde uma cópia fora do próprio sistema e mantenha-a por pelo menos 12 meses, como exigem os controles.
  • Um plano para os primeiros minutos: defina quem liga para o banco para interromper uma transferência, quem desativa a conta suspeita e onde ficam os números de emergência. No caso da Binance, a Tether congelou a carteira principal do invasor 37 minutos depois da maior retirada, e foi essa rapidez que salvou uma grande parte do dinheiro.

O que dizem os controles sauditas?

Os Controles Essenciais de Cibersegurança ECC-2:2024, emitidos pela Autoridade Nacional de Cibersegurança (NCA), são obrigatórios para órgãos governamentais e suas entidades vinculadas, e para entidades do setor privado que possuem, operam ou hospedam Infraestrutura Nacional Crítica, e a NCA incentiva fortemente todas as demais entidades do Reino a utilizá-los. Eles correspondem diretamente às lições da Binance: autenticação multifator para acesso remoto e contas privilegiadas (2-2-3-2), os princípios de necessidade de conhecer, menor privilégio e segregação de funções (2-2-3-3), a gestão de acessos privilegiados (2-2-3-4), a revisão periódica de identidades e direitos de acesso (2-2-3-5), e os registros de eventos das contas privilegiadas e do acesso remoto, monitorados continuamente e mantidos por pelo menos 12 meses (2-12-3).

A visão da Origami

Lemos o ataque à Binance como uma lição sobre caminhos de aprovação, não sobre criptomoedas. A maioria das empresas desenha a aprovação para o caminho oficial e esquece os caminhos laterais: a conta de sistema que envia o arquivo de pagamentos, o usuário que pode editar um IBAN, a chave de integração que pode executar. Esses caminhos laterais são a primeira coisa que um invasor procura.

Quando construímos um sistema sob medida que lida com dinheiro, como um sistema do ciclo de compras ou um portal de pagamentos a fornecedores, recomendamos que a aprovação faça parte do projeto desde o primeiro dia: duas pessoas diferentes para lançar e aprovar, limites de valores e um registro de cada alteração nos dados dos favorecidos. Se você precisa de um sistema contábil pronto em vez de um sob medida, conheça o Fahim.

Conclusão

Você não precisa de uma carteira cripto para aprender com o maior roubo de criptomoedas já registrado. Reserve duas horas nesta semana com o seu contador e o seu responsável de TI: anotem cada caminho por onde o dinheiro pode sair, separem o lançamento da aprovação em dois aparelhos, peçam ao banco limites e alertas, revisem quem tem direitos de administrador e guardem os registros fora do alcance de quem administra o sistema. Se você quer uma revisão dos caminhos de aprovação dos seus sistemas, fale conosco ou conheça nossos serviços.

Fontes