Hack da Binance: saída passa de US$ 5,5 bilhões e corretora suspende saques

🔍 APURAÇÃO KRIPTOHOJE

O ataque começou pela carteira quente Binance 14, no Ethereum, e se espalhou para Bitcoin, Tron, XRP e outras redes. Analistas que rastreiam os endereços somam de US$ 5,57 bilhões a US$ 5,88 bilhões. Emissoras de stablecoins congelaram mais de US$ 2,6 bilhões. A Binance suspendeu os saques, diz que os fundos dos usuários estão seguros e não confirmou o valor; CZ afirma que a perda será coberta.

Por Marcio Fagundes | Publicada às 18h15 e atualizada às 19h59 de 29/10/2026 (horário de Brasília). Caso em andamento: esta matéria será atualizada na mesma URL.

Os números até agora

Como o hack da Binance foi detectado

O primeiro alerta público localizado pelo KriptoHoje veio do agregador Tree News, às 17h39, com a frase “possível hack da Binance em andamento”. Dois minutos depois, o perfil detalhou que sua ferramenta de monitoramento havia identificado a saída de bilhões em mais de 60 tokens para um endereço abastecido pelo Tornado Cash. “Os detalhes ainda não estão claros”, escreveu o perfil, em tradução livre.

Às 17h43, o canal Crypto Banter, com grande audiência no mercado, repetiu os números e acrescentou que a operação partiu de um endereço financiado pelo Tornado Cash, com destino a uma conta nova. O próprio post ressalvava que a informação seguia sem confirmação. Às 17h55, a empresa de segurança PeckShield marcou a Binance e o fundador Changpeng Zhao (CZ) ao apontar “saídas grandes e inesperadas” das carteiras quentes da corretora, com uma captura da lista de transferências que mostra a Binance 14 e a Binance 16 enviando valores ao mesmo destino.

Às 17h42, o perfil Walter Bloomberg, que replica manchetes do mercado financeiro, falou em saída de US$ 2,77 bilhões das carteiras da Binance em cinco blockchains, com hack não confirmado. O KriptoHoje conferiu as movimentações na rede Ethereum; as demais redes citadas não foram verificadas até o fechamento.

O que a blockchain mostra, passo a passo

O KriptoHoje refez o caminho direto na rede, pelo explorador Blockscout, que registra cada transação com data, hora e participantes. Os fatos abaixo não dependem de nenhuma das versões que circulam nas redes sociais.

O endereço que executou a operação, 0x7C86…5CA0, recebeu três saques de cerca de 0,1 ETH do Tornado Cash: às 4h39 e às 5h53 de 28/10 e às 5h23 de 29/10. O Tornado Cash mistura depósitos de muitas pessoas para que não seja possível ligar quem pagou a quem recebeu. É o caminho comum de quem quer pagar as taxas da rede sem deixar rastro.

Às 12h59 de 29/10, esse mesmo endereço criou um contrato inteligente (0x63e8…6fAe). Às 17h20min59, enviou uma transação de um tipo introduzido no Ethereum em 2025, que permite a uma conta comum passar a executar o código de um contrato. A transação levava uma lista de 50 autorizações em nome da Binance 14, todas apontando para o contrato criado horas antes. Cada uma servia para uma posição diferente na fila de transações da carteira (números de 18.914.775 a 18.914.824). Só a de número 18.914.809 correspondia ao momento, e foi aceita pela rede.

Três minutos e 24 segundos depois, às 17h24min23, o mesmo endereço chamou uma função chamada “sweep” (varrer, em inglês) na Binance 14, já transformada pelo contrato. Na mesma transação, a carteira enviou 167.464,25 ETH e 63 transferências de tokens para o endereço 0x5227…2f8c, criado naquele dia. Entre os tokens estavam 1,615 bilhão de USDT, 62,6 milhões de RLUSD, 29,9 mil WBETH, 11,4 mil XAUT (token lastreado em ouro), 6,2 milhões de UNI, 27,8 milhões de USD1, ENA, PEPE, LINK, AAVE e WBTC. Pelos preços exibidos pelo Blockscout por volta das 18h05, os tokens somavam US$ 2,12 bilhões e o ether, US$ 378,5 milhões.

Vinte e quatro segundos depois, às 17h24min47, outra carteira que os exploradores atribuem à corretora, a Binance 16 (0xDFd5…963d), enviou 28.006 ETH e oito tokens ao mesmo destino. Essa carteira continua sendo uma conta comum, sem contrato: a transação saiu assinada pela própria chave dela.

Para onde o dinheiro foi depois

O endereço de destino não ficou parado. Às 17h30 e às 17h33, enviou 500 milhões e 200 milhões de USDT para dois endereços novos. Às 17h38, mandou 195.460 ETH, cerca de US$ 442 milhões, para um terceiro endereço novo (0x8532…43D4), onde o valor estava às 18h10.

O endereço que recebeu os 200 milhões de USDT usou o roteador da Uniswap, corretora descentralizada, às 17h47 e enviou 3.552 ETH adiante às 17h53. O que recebeu os 500 milhões tinha cerca de 122,3 mil ETH às 18h10 e passou a mandar frações de 1 ETH para outros endereços. Nenhum dos dois tinha USDT na consulta: os dólares digitais haviam sido trocados antes do bloqueio.

Outras retiradas continuaram depois do primeiro alerta. Às 17h41 e às 17h59, o mesmo endereço iniciador fez a Binance 14 puxar 780 milhões e 43 milhões de USDC de um contrato sem rótulo público (0xEe7a…4055), também com destino a 0x5227…2f8c. E às 18h04 houve uma segunda varredura da Binance 14: 1.700 ETH e 23 tokens que tinham chegado à carteira depois da primeira saída. Na consulta das 18h10, a Binance 14 continuava delegada ao contrato do iniciador.

Tether bloqueia US$ 975 milhões

Às 18h05, o Tree News informou que a Tether havia congelado US$ 971 milhões em USDT no “provável hack”. O KriptoHoje consultou o contrato do USDT às 18h10: o endereço 0x5227…2f8c e os dois que receberam os 500 milhões e os 200 milhões constam na lista de bloqueio da Tether. O primeiro tinha 975,07 milhões de USDT, que não podem mais ser movimentados.

O endereço de destino também tinha cerca de 822,5 milhões de USDC às 18h10. Às 18h18, o CEO da Circle, emissora do USDC, anunciou o congelamento de mais de 800 milhões de USDC ligados ao incidente. Nenhum dos bloqueios alcança o ether, que não tem emissor central, nem a maior parte dos outros tokens: os 195.460 ETH enviados às 17h38 e os cerca de 122,3 mil ETH obtidos com a troca de USDT seguem fora do alcance das emissoras.

A conta passa de US$ 5,5 bilhões

Nas horas seguintes, rastreadores independentes mostraram que a saída da Binance 14 era só uma parte do ataque. Às 18h12, o analista Wazz, que acompanha os endereços com uma ferramenta própria, publicou um balanço feito por volta das 18h06: pelo menos US$ 5,57 bilhões em três redes. No Ethereum, US$ 3,51 bilhões saíram da Binance 14, da Binance 16 e de uma terceira carteira quente; no Bitcoin, 18.270 BTC (US$ 1,44 bilhão) saíram de uma carteira quente da corretora; na Tron, 612,7 milhões de USDT e 46,4 milhões de TRX (US$ 630 milhões).

O mesmo analista somou depois mais US$ 62 milhões em carteiras da Binance nas redes Avalanche, Arbitrum, Optimism e Base (19h02) e cerca de US$ 300 milhões em XRP (19h39). Segundo ele, a saída na rede da Ripple começou dez minutos antes das demais e foi o primeiro sinal do ataque. Às 19h21, o perfil Lookonchain afirmou que a Binance perdeu mais de US$ 5,8 bilhões, dos quais US$ 2,41 bilhões em USDT e USDC já estavam congelados.

O grupo de endereços citado pelo Lookonchain foi montado por usuários dentro da Arkham, plataforma de análise de blockchain, e não é uma classificação oficial. Na consulta do KriptoHoje às 19h55, ele reunia 62 endereços e US$ 5,88 bilhões: 1,768 bilhão de USDT, 18,27 mil BTC, 440,4 mil ETH, 823 milhões de USDC, 684,6 milhões de TRX e 970,5 mil SOL, entre outros. O valor inclui o que já está congelado e muda com os preços. A soma também pode trazer erros: um endereço mal atribuído entra no total.

Se o valor for confirmado, será o maior roubo da história do setor, mais de três vezes o da Bybit (cerca de US$ 1,46 bilhão, em fevereiro de 2025). A conta que importa para a Binance é outra: quanto ficou fora do alcance dos congelamentos. O ether e o bitcoin não têm emissor central e não podem ser bloqueados. Às 19h56, os 195.460 ETH enviados às 17h38 continuavam parados no mesmo endereço; o Lookonchain informou às 19h48 que o invasor começou a trocar PEPE, UNI, LINK e outros tokens por ETH.

O que a rede mostrou depois das 18h

A delegação da Binance 14 ao contrato do invasor continuava ativa às 19h56. Às 19h39, o mesmo endereço iniciador fez nova varredura da carteira, com tokens como HOT, FTT, LQTY e RESOLV, para outro endereço novo (0xA97b…8d10). A partir das 19h55, transações comuns assinadas pela própria Binance 14 passaram a enviar o saldo restante de dezenas de tokens para 0xF977…aceC, endereço que a Arkham identifica como carteira fria da Binance. É o sinal mais claro de que a corretora passou a esvaziar a carteira comprometida para proteger o que restava.

Saques suspensos e congelamentos

Às 19h15, em resposta ao próprio post, e às 19h33, em publicação própria, a Binance informou que sua equipe faz verificações de segurança, que os saques voltam quando o problema estiver totalmente resolvido e que os fundos dos usuários continuam seguros. A corretora não informou prazo nem o total perdido.

Os congelamentos cresceram ao longo da noite. Às 18h25, o CEO da Tether, Paolo Ardoino, informou que a empresa congelou mais de 1,567 bilhão de USDT ligados ao caso. Às 19h08, Yi He, cofundadora da Binance, agradeceu à Ripple por congelar cerca de 200 milhões, sem dizer em qual ativo. Zach Witkoff, da World Liberty, disse que a stablecoin USD1 congelou US$ 27 milhões. Segundo o analista Wazz, a Paxos bloqueou cerca de US$ 7,7 milhões em PAXG no endereço principal às 19h30, e a Tether, US$ 8,4 milhões na rede Avalanche.

CZ promete cobrir a perda

Às 19h23, CZ respondeu a uma estimativa do analista 0xngmi, segundo a qual, com USDT e USDC congelados, a perda líquida da Binance ficaria perto de US$ 1 bilhão, cerca de 0,69% dos US$ 144 bilhões que a corretora tem sob custódia. CZ escreveu que a perda “pode ser um pouco maior”, mas que será coberta. A Binance, como empresa, ainda não informou quanto perdeu nem como vai repor os valores.

O que dizem CZ, Binance e Circle

Quase uma hora depois da saída, às 18h15, Changpeng Zhao, fundador da Binance, citou o post do Tree News sobre o bloqueio da Tether e escreveu: “Os fundos dos usuários estão seguros!”, em tradução livre. Disse que o caso parece mesmo um hack, agradeceu os congelamentos da Tether e da Circle e afirmou que, como acionista, espera que todos os fundos de usuários sejam integralmente cobertos. CZ deixou o comando da Binance em 2023 e ressalvou no próprio post que não administra mais a corretora; a fala dele não é um comunicado da empresa.

A nota oficial da Binance saiu às 18h24 e foi mais cautelosa. A corretora disse estar “ciente de relatos de um possível problema de segurança”, em tradução livre, e que suas equipes revisam as informações com urgência. Não confirmou ataque, não informou valores e não disse se saques e depósitos estão normais. Pediu que os usuários desconfiem de links, mensagens e pedidos de dados de conta que não venham dos canais oficiais. O post aparece como editado no X.

Roubo ou migração interna?

Nem todos os analistas leram o caso como ataque. Às 17h58, o analista StarPlatinum somou US$ 2,7 bilhões na saída das duas carteiras e escreveu que, por enquanto, a atividade “parece muito mais uma migração interna de carteira”. Respostas ao alerta do Tree News também falaram em troca rotineira de carteira quente.

Os dados da rede contradizem dois pontos desse post. O texto diz que o endereço de destino ainda não havia movido os fundos, mas as saídas de 700 milhões de USDT e de 195.460 ETH aconteceram entre 17h30 e 17h38, antes da publicação. Também diz que a transferência de 780 milhões de USDC não se completou, mas a transação das 17h41 aparece como bem-sucedida no Blockscout e o saldo de USDC estava no destino às 18h10.

Há fatos que pesam contra a tese de rotina: o iniciador foi abastecido pelo Tornado Cash, os USDT foram trocados em corretora descentralizada e espalhados em minutos, a Tether e a Circle bloquearam os valores e o próprio CZ disse que parece um hack. Com a suspensão dos saques, o congelamento de bilhões por várias emissoras e saídas em outras redes, a tese de migração interna perdeu força. O que segue em aberto: a Binance ainda não descreveu o ataque, e a delegação da Binance 14 e a transferência direta da Binance 16 exigiram assinaturas válidas das chaves dessas carteiras. Uma operação interna mal explicada e um ataque com acesso às chaves deixariam esse mesmo rastro na assinatura.

O que ainda não se sabe

A Binance não confirmou como foi a invasão, quanto foi levado, em quais redes, quando os saques voltam e se outras carteiras estão expostas. Diz que os fundos dos usuários estão seguros; a promessa de cobrir as perdas veio de CZ, que não dirige mais a empresa. Os totais de US$ 5,57 bilhões a US$ 5,88 bilhões são de analistas independentes e ainda não foram verificados pelo KriptoHoje fora do Ethereum. Também não se sabe quem controla os endereços de destino, se o ether desviado poderá ser recuperado, qual é a relação entre a Binance 16 e o restante da operação e se há ligação com a campanha de ataques a funcionários de corretoras que a própria Binance disse ter barrado na semana anterior, segundo o Crypto Briefing.

Linha do tempo

Horários de Brasília (UTC-3), conferidos pelo registro de cada transação no Blockscout e pelo identificador de cada post no X.

• 28/10/2026, 4h39 e 5h53: o endereço 0x7C86…5CA0 recebe dois saques de cerca de 0,1 ETH do Tornado Cash (Blockscout).
• 29/10, 5h23: terceiro saque do Tornado Cash para o mesmo endereço.
• 29/10, 12h59: o endereço cria o contrato 0x63e8…6fAe.
• 17h20min59: transação com 50 autorizações EIP-7702 em nome da Binance 14; uma é aceita e a carteira passa a rodar o contrato (transação).
• 17h24min23: função sweep leva 167.464 ETH e 63 tokens da Binance 14 para 0x5227…2f8c, cerca de US$ 2,50 bilhões (transação).
• 17h24min47: a Binance 16 envia 28.006 ETH e oito tokens ao mesmo destino.
• 17h30 e 17h33: o destino envia 500 milhões e 200 milhões de USDT a dois endereços novos.
• 17h38: o destino envia 195.460 ETH a um terceiro endereço novo.
• 17h39: Tree News publica o primeiro alerta de possível hack em andamento.
• 17h41: Tree News detalha a saída e o Tornado Cash; na mesma hora, 780 milhões de USDC saem de um contrato para o destino por meio da Binance 14.
• 17h42: Walter Bloomberg fala em US$ 2,77 bilhões em cinco blockchains, sem confirmação de hack.
• 17h43: Crypto Banter publica os números, sem confirmação.
• 17h47 e 17h53: um dos endereços novos usa a Uniswap e envia 3.552 ETH adiante.
• 17h55: PeckShield aponta saídas inesperadas e marca a Binance e CZ.
• 17h58: StarPlatinum levanta a hipótese de migração interna.
• 17h59: mais 43 milhões de USDC saem pelo mesmo caminho.
• 18h04: segunda varredura da Binance 14, com 1.700 ETH e 23 tokens.
• 18h05: Tree News informa que a Tether congelou US$ 971 milhões em USDT.
• 18h10: consulta do KriptoHoje confirma os três endereços na lista de bloqueio da Tether e 975,07 milhões de USDT parados no destino.
• 18h15: CZ diz que os fundos dos usuários estão seguros e que parece um hack (post).
• 18h17: a cofundadora Yi He diz que a Binance investiga relatos de um possível problema de segurança.
• 18h18: Jeremy Allaire, CEO da Circle, anuncia o congelamento de mais de 800 milhões de USDC (post).
• 18h12: o analista Wazz soma pelo menos US$ 5,57 bilhões em Ethereum, Bitcoin e Tron (post).
• 18h24: a Binance publica nota oficial dizendo que investiga (post).
• 18h25: Paolo Ardoino, CEO da Tether, informa o congelamento de mais de 1,567 bilhão de USDT (post).
• 19h02: Wazz soma mais US$ 62 milhões em Avalanche, Arbitrum, Optimism e Base.
• 19h08: Yi He agradece à Ripple pelo congelamento de cerca de 200 milhões (post).
• 19h15: a Binance informa que os saques voltam quando o problema de segurança for resolvido.
• 19h21: Lookonchain fala em mais de US$ 5,8 bilhões, com US$ 2,41 bilhões congelados (post).
• 19h23: CZ diz que a perda pode passar de US$ 1 bilhão, mas que será coberta (post).
• 19h33: a Binance repete, em post próprio, que os saques estão suspensos e que os fundos dos usuários estão seguros (post).
• 19h39: nova varredura da Binance 14 pelo endereço do invasor; Wazz soma cerca de US$ 300 milhões em XRP.
• 19h48: Lookonchain informa que o invasor troca PEPE, UNI, LINK e outros tokens por ETH.
• 19h55: a própria Binance 14 começa a enviar o saldo restante para uma carteira fria da Binance; o grupo “Binance_Hacker” da Arkham marca US$ 5,88 bilhões.

O histórico de incidentes da Binance

Em maio de 2019, a Binance informou o roubo de 7.000 bitcoins, cerca de US$ 40 milhões na época, de uma carteira quente; segundo a Bloomberg, os invasores usaram phishing e vírus para obter dados de usuários. Depois do caso, a corretora prometeu reforçar a validação de saques e adotar chaves de segurança físicas para o login, de acordo com o TechCrunch.

Em outubro de 2022, uma falha na ponte BSC Token Hub permitiu criar 2 milhões de BNB, cerca de US$ 570 milhões na época, e a rede BNB Chain foi pausada, como relatou a NBC News. Em 27 de outubro de 2026, a Binance disse ter barrado uma semana de ataques ligados à Coreia do Norte por meio de falsas entrevistas de emprego, sem perdas, segundo o Crypto Briefing.

Se a saída desta quinta-feira for confirmada como roubo, o valor supera o do hack da Bybit, de fevereiro de 2025, cerca de US$ 1,46 bilhão, apontado até aqui como o maior da história do setor. O KriptoHoje acompanhou outros incidentes recentes em corretoras e carteiras, como o da Bitget, o vazamento da Coinbase via Amplitude e o hack da Polymarket, publicado poucas horas antes deste caso.

O que fazer se você usa a Binance

• Acompanhe só os canais oficiais da Binance (site, aplicativo e perfis verificados); a própria nota da corretora alerta para golpes. Casos assim costumam gerar golpes de falso suporte; veja o caso do falso suporte da Binance no Telegram.
• Ninguém da corretora pede senha, código de dois fatores ou frase de recuperação, nem pede para você “proteger” fundos enviando-os a outro endereço.
• Os saques estão suspensos desde o início da noite. Não acredite em “liberação antecipada”, “fila prioritária” ou suporte que peça pagamento ou dados para destravar saldo: é golpe.
• Avaliação do KriptoHoje: enquanto a Binance não explicar o caso, vale aguardar a próxima atualização oficial antes de fazer novos depósitos. Às 19h56, a Binance 14 seguia delegada ao contrato do invasor.
• Ative chave de segurança física no login e a lista de endereços autorizados para saque, recursos que a própria Binance oferece.
• Para entender os riscos de deixar criptomoedas em corretora e como funciona a autocustódia, a KriptoBR mantém o Curso de Segurança e Privacidade.

Fontes

Blockscout: transação sweep, transação de delegação, Binance 14, endereço de destino, endereço iniciador. X: Tree News (17h41), Tree News (18h05), Crypto Banter, Walter Bloomberg, PeckShield, StarPlatinum, CZ, Binance, Jeremy Allaire (Circle), Yi He, Wazz, Lookonchain, Paolo Ardoino (Tether). Arkham: grupo Binance_Hacker. Imprensa: Decrypt. Padrão técnico: EIP-7702. Histórico: Bloomberg, TechCrunch, NBC News, Crypto Briefing.

Leituras relacionadas

• Hack da Polymarket: script de terceiro vende posições e drena centenas de contas
• Vazamento da Coinbase: o que a Amplitude expôs e o histórico de incidentes
• Bitget perde US$ 351 mi em ataque atribuído à Coreia do Norte
• Hack da Ledger: implante, perdas e o que fazer no Brasil
• Mais matérias de Segurança