A Coreia do Norte negou o roubo de US$ 6,3 bilhões da Binance, o maior assalto já registrado no mercado de criptomoedas, e disse que os Estados Unidos culpam o país sempre que acontece um crime digital de grande escala. A negação veio em duas declarações de Kim Yo Jong, irmã do líder norte-coreano Kim Jong Un, divulgadas pela agência estatal KCNA. O caso é o segundo da mesma semana: quatro dias depois dele, um ataque esvaziou carteiras do Mercado Bitcoin, tema de Como o Mercado Bitcoin foi roubado e quem paga a conta.
O que a Binance perdeu em 29 de outubro
A Binance é a maior corretora de criptomoedas do mundo. Na noite de 29 de outubro, suas carteiras quentes foram esvaziadas em poucas horas. A Elliptic calculou US$ 6,43 bilhões em ativos, distribuídos por 11 blockchains. A própria Binance trabalha com cerca de US$ 6,3 bilhões. A diferença entre as duas cifras vem do conjunto de ativos considerado e da cotação usada na conversão para dólar, e nenhuma delas foi auditada de forma independente. Para a Elliptic, o caso é o maior roubo único de qualquer tipo já registrado, não apenas no mercado de criptomoedas.
No Ethereum, o atacante não precisou roubar chave privada. Ele usou o EIP-7702, recurso que permite a uma carteira delegar seu funcionamento a um contrato inteligente, e fez o próprio sistema da corretora assinar as autorizações. Três minutos e meio depois, 167.464 ETH e 63 tokens saíram da carteira conhecida como Binance 14, entre eles US$ 1,6 bilhão em USDT.
Em 3 de novembro, a Binance publicou o relatório inicial. O ataque começou em junho, quando um engenheiro da equipe de carteiras baixou um instalador adulterado do Homebrew ao tentar instalar uma ferramenta de programação com IA. A equipe de segurança detectou o software suspeito, trocou a máquina do funcionário e rotacionou as credenciais ligadas a ela. Mesmo assim, os invasores já haviam colhido informação sobre o que aquele engenheiro fazia e com quem trabalhava, e esse mapa orientou a abordagem seguinte. Em setembro, outro engenheiro foi procurado por falsos recrutadores numa plataforma de empregos legítima, passou por duas entrevistas, uma delas em vídeo, e recebeu uma “tarefa” de programação que era, na verdade, malware que as ferramentas de segurança não detectaram. Em 20 de outubro, os invasores usaram a máquina infectada e uma ferramenta interna de inteligência artificial da própria Binance para alcançar outros dois computadores e obter um token que permitia implantar contêineres. Em 29 de outubro, com credenciais roubadas, implantaram um contêiner malicioso e chegaram à infraestrutura que assina as transações das carteiras. O relatório não explica como a IA foi usada.
No mesmo relatório, a Binance diz ter detectado e impedido 57 tentativas de ataque atribuídas a grupos norte-coreanos ao longo de 2026, com falsas entrevistas, pacotes de software comprometidos, extensões de navegador maliciosas e aplicativos falsos de videoconferência. A empresa não informou quantas dessas tentativas tinham relação com o grupo do roubo de outubro. Depois do incidente, afirma ter reconstruído o sistema de carteiras, trocado os computadores comprometidos, aposentado as credenciais dos engenheiros e contratado empresas independentes para revisar o caso.
O que Kim Yo Jong disse
A primeira declaração saiu em 2 de novembro e foi publicada pela KCNA no dia seguinte. Kim Yo Jong, diretora de departamento do Comitê Central do Partido dos Trabalhadores, chamou a acusação do FBI de “retórica absurda e nada de novo” e de “grave provocação política contra a RPDC”.
Ela também disse que Washington tenta rotular o país como “Estado cibercriminoso” e que é “uma tentativa sinistra de prejudicar a imagem internacional da RPDC e minar sua dignidade e seu prestígio nacional”. Citou o caso da Bybit, em 2025, quando o FBI fez a mesma atribuição.
Um trecho da nota raramente repetido na imprensa sugere uma tese: Kim Yo Jong lembrou que o governo americano anunciou que confiscaria criptoativos roubados e os usaria como reserva estratégica do Estado. Segundo ela, basta examinar quem vai receber o dinheiro quando ele for recuperado para ter uma pista de quem está por trás do ataque. É insinuação, não prova.
A segunda declaração veio em 4 de novembro. Nela, Kim Yo Jong disse que o caso é “a ponta do iceberg” da política hostil dos EUA, afirmou que não há motivo para sentar com “pessoas não confiáveis e hostis” e criticou exercícios militares conjuntos e a exigência de desnuclearização. Não descartou diálogo, mas condicionou qualquer conversa ao interesse nacional norte-coreano.
O tom tinha endereço. A nota saiu enquanto Donald Trump tentava viabilizar um encontro com Kim Jong Un à margem da cúpula da APEC, marcada para 18 e 19 de novembro em Shenzhen, na China. A resposta de Kim Yo Jong veio antes: sem o abandono do que Pyongyang chama de política hostil dos EUA, não há conversa.
Em Seul, o Ministério da Reunificação leu o gesto como algo fora do padrão. Segundo um funcionário do ministério, foi a primeira vez que Kim Yo Jong assinou pessoalmente uma resposta a acusações de cibercrime, assunto que antes ficava com porta-vozes da chancelaria ou com comentários da KCNA. A leitura sul-coreana é que Pyongyang tratou o caso como grave o bastante para elevar o nível da resposta, de olho no próprio prestígio internacional.
A declaração de 4 de novembro saiu no mesmo dia em que a Coreia do Norte disparou vários mísseis em direção ao Mar do Leste, o Mar do Japão, a partir da região de Sondok. O Estado-Maior sul-coreano informou que ainda analisava as especificações e não descartou que fossem mísseis balísticos de curto alcance. Na semana anterior, o país já havia lançado cerca de uma dezena de mísseis de curto alcance.
Por que o FBI aponta o TraderTraitor
O FBI divulgou o alerta em 31 de outubro. A agência atribuiu o roubo ao TraderTraitor, o mesmo grupo que apontou no roubo de US$ 1,5 bilhão da Bybit em fevereiro de 2025, e pediu que corretoras e empresas de análise bloqueassem transações com os endereços identificados.
O TraderTraitor é tratado como parte do que investigadores chamam de Grupo Lazarus, ligado à agência de inteligência militar norte-coreana. Em 2019, o Tesouro dos EUA sancionou Lazarus, Bluenoroff e Andariel. Em 2021, o Departamento de Justiça denunciou três hackers militares por tentativas de roubo e extorsão que passavam de US$ 1,3 bilhão. Em 2023, o Tesouro sancionou o misturador Sinbad, apontado como ferramenta de lavagem do grupo.
Ninguém assumiu a autoria do roubo da Binance. A negação de Pyongyang é a única manifestação pública de um acusado, e ela não veio com laudo técnico, só com argumento político.
A resposta da Elliptic
A Elliptic, que rastreia o dinheiro desde o primeiro dia, rebateu a negação. Em comunicado ao CoinDesk, a empresa afirmou que as evidências on-chain ligam o roubo à Coreia do Norte e sustentam a atribuição do FBI ao TraderTraitor.
Os números que a empresa publicou ajudam a entender o tamanho do problema. Em menos de quatro dias, os fundos passaram por cerca de 12 mil carteiras em 11 blockchains, com mais de 40 mil transações e uma carteira nova a cada 25 segundos. Até 3 de novembro, US$ 2,85 bilhões estavam congelados ou apreendidos, 44% do total, quase tudo em USDT e USDC. Outros US$ 3,18 bilhões seguiam em endereços ligados ao crime.
Sobre automação, a Elliptic foi cuidadosa. O padrão é de script: valores quebrados até a sexta casa decimal, transferências que saem em até dois minutos, tokens vendidos em dezenas de pedaços. Não há sinal de um agente de inteligência artificial decidindo o próximo passo. As tentativas que falham são reenviadas do mesmo jeito, o que parece script insistindo, não modelo aprendendo.
O limite da atribuição
Quem trabalha com investigação de blockchain faz uma distinção que a discussão pública costuma apagar. Análise on-chain consegue ligar carteiras a um mesmo operador. Ela não prova nacionalidade nem patrocínio estatal.
“As evidências que sustentam a atribuição à RPDC são cumulativas e vão muito além da especulação”, disse Vasily Vidmanov, da AMLBot, ao CoinDesk. Para ele, a evidência mais forte contra a negação é o que acontece com o dinheiro depois: se os fundos seguirem o mesmo caminho de lavagem visto em roubos anteriores atribuídos à Coreia do Norte, passando por bitcoin e por mesas de câmbio informais, o rastro responde melhor do que qualquer declaração.
A negação também encontrou eco político. O presidente dos EUA, Donald Trump, disse a jornalistas que não estava preocupado e que não se sabe se foi a Coreia do Norte, no mesmo fim de semana em que o FBI fez a atribuição.
O vizinho do Sul também reagiu
A confusão entre as duas Coreias é comum, e nesta semana as duas apareceram no noticiário por motivos opostos. A Coreia do Norte é a acusada. A Coreia do Sul é a que correu para se proteger.
Em 3 de novembro, o presidente sul-coreano Lee Jae Myung pediu no conselho de ministros a criação de um “czar de cibersegurança”, um órgão com poder para coordenar a defesa digital de ministérios e empresas privadas. Segundo ele, o modelo atual, baseado em inspeção e resposta depois do incidente, mostra limites claros. Lee citou o avanço da inteligência artificial como fator que torna os criminosos mais sofisticados e não mencionou a Coreia do Norte ao falar da Binance.
O Serviço Nacional de Inteligência do país já havia ordenado verificação em mais de 2.100 órgãos públicos, e o ministério da ciência inspecionava cerca de 170 grandes instalações privadas, entre elas bancos e telecomunicações. O pano de fundo é doméstico: o país vinha de vazamentos de dados em empresas como Mirae Asset, Bithumb e Daishin Securities. Não há prazo anunciado para o novo órgão existir.
O debate doméstico vai além da defesa. Na Assembleia Nacional, projetos em tramitação na Comissão de Política Nacional preveem responsabilizar as corretoras por perdas causadas por ataques hackers, e um deles transfere para a empresa o ônus de provar que não houve falha. A autoridade financeira do país estuda ir além, com responsabilidade objetiva, que obriga a corretora a ressarcir mesmo sem culpa comprovada, dentro do projeto da lei básica de ativos digitais. Nada disso está aprovado.
O que isso muda para quem investe
Para o investidor brasileiro, a negação norte-coreana não altera nada na prática. O que muda o risco é outra coisa: a concentração em corretora.
Quando uma exchange é atacada, o cliente depende da saúde financeira e da governança da empresa para receber de volta. A Binance disse que cobriu com recursos próprios cerca de 95% do que foi roubado e registrou saída líquida de US$ 4,72 bilhões depois da retomada dos saques, fatia que classificou como pequena diante dos cerca de US$ 157 bilhões em ativos sob custódia. O Mercado Bitcoin, no caso brasileiro, segue com a plataforma fora do ar e afirma que ninguém terá perda de ativos.
Vale lembrar de dois pontos que costumam ser confundidos. Cripto não tem FGC: não existe fundo garantidor como o dos depósitos bancários. E a regra do Banco Central, pela Resolução 520/2025 sob a Lei 14.478/2022, exige segregação patrimonial estrita entre os ativos dos clientes e o caixa da corretora. Segregação protege o saldo em uma quebra da empresa. Ela não impede que um atacante esvazie uma carteira quente.
O que ainda não se sabe
A negação de Pyongyang não é uma refutação técnica. Ela não apresentou contraperícia, não contestou endereços específicos e não explica como os fundos saíram de uma carteira assinada pelo próprio sistema da Binance. Também não há confirmação independente de que o grupo por trás do ataque à Binance seja o mesmo que atingiu o Mercado Bitcoin, e nenhuma autoridade brasileira fez atribuição pública até agora.
Sobre a inteligência artificial, o que existe é diferente do que circulou. A Binance confirmou que uma ferramenta interna de IA foi usada para alcançar computadores de engenheiros. Não há evidência pública de IA escolhendo alvos ou decidindo a lavagem. São coisas distintas, e a distância entre elas é a diferença entre uma ferramenta mal usada e um ataque autônomo.
O caso continua em investigação nos EUA e no Brasil. Novos bloqueios, recuperação de ativos e eventual atribuição ao caso brasileiro ainda podem mudar o quadro.
Fonte: KCNA, via OANA, BBC, CoinDesk, Estadão, Korea Herald, Korea Herald (Ministério da Reunificação), Japan Times, Yonhap, Yonhap (projetos de lei), CryptoSlate, Chainalysis (fraude de emprego), AMLBot, Korea JoongAng Daily, Elliptic, SecurityWeek, FBI e The Verge.
