Uma resposta coordenada que envolveu emissores de stablecoins, autoridades policiais dos EUA, empresas de análise de blockchain, redes e plataformas de negociação congelou ou apreendeu cerca de 2,8 a 3 mil milhões de dólares em criptoativos ligados ao alegado roubo de 6,3 mil milhões de dólares à Binance nos dias seguintes ao ataque, segundo a Chainalysis e a Elliptic.
A resposta concentrou-se nas stablecoins, onde os emissores podem colocar endereços em listas negras e travar transferências. A Tether congelou mais de 1,567 mil milhões de USDT, enquanto a Circle bloqueou cerca de 823 milhões de dólares em USDC, deixando mais de 2,3 mil milhões de dólares das stablecoins roubadas fora do alcance do atacante. A Elliptic afirmou que o montante congelado ou apreendido que verificou ascendeu a cerca de 2,85 mil milhões de dólares, face a perdas totais estimadas em 6,43 mil milhões de dólares.
A dimensão da intervenção reflete a forma como os esforços de recuperação dependem cada vez mais de uma coordenação rápida entre blockchains públicas, e não dos controlos internos de uma única empresa. Grande parte do restante cripto roubado era constituído por ativos como ETH e BTC, que não têm um emissor capaz de congelar saldos diretamente.
Emissores de stablecoins agiram em minutos
A ação da Tether representou a maior parte dos ativos congelados. A empresa bloqueou transferências que envolviam mais de 1,567 mil milhões de USDT depois de os fundos terem chegado ao que o rastreio de blockchain identificou como a principal carteira Ethereum do atacante. Os relatos iniciais identificaram um congelamento de cerca de 1,18 mil milhões de USDT, seguido, 17 minutos depois, de uma segunda ação que afetou quatro endereços ligados ao atacante.
A Circle congelou mais de 800 milhões de dólares em USDC ligados ao mesmo incidente, com o total noticiado a atingir aproximadamente 823 milhões de dólares. A ação sobre USDC ocorreu cerca de três minutos após o primeiro congelamento da Tether e foi coordenada com as autoridades, segundo o material fornecido.
Em conjunto, os congelamentos de USDT e USDC abrangeram cerca de 94% das stablecoins identificadas entre os ativos roubados, concentradas sobretudo em Ethereum e TRON. O resultado demonstra os limites práticos que enfrentam os atacantes que roubam stablecoins emitidas centralmente: podem controlar chaves privadas, mas a transferibilidade pode desaparecer assim que um emissor coloca uma carteira em lista negra.
FBI atribui operação ao TraderTraitor
A unidade de cibercrime do FBI atribuiu o roubo a um grupo norte-coreano que opera sob a designação TraderTraitor, num aviso público datado de 31 de outubro. O bureau identificou mais de 600 endereços Ethereum, quase 20 endereços Bitcoin e um endereço Solana como ligados à atividade.
Após a atribuição, o FBI, o Serviço Secreto dos EUA e a Investigação Criminal do IRS apelaram a fornecedores de infraestrutura e empresas de criptomoedas para bloquearem transações associadas às carteiras listadas e a quaisquer endereços relacionados. O pedido abrangeu nós THORChain, operadores de chamada de procedimento remoto (RPC), serviços de troca instantânea, protocolos DeFi, empresas de análise de blockchain e prestadores de serviços de ativos virtuais.
O Serviço Secreto dos EUA disse que contactou participantes da indústria minutos após o incidente. Disse também que procuradores federais em Washington, D.C., e no Distrito Central da Califórnia estiveram envolvidos juntamente com componentes do Departamento de Justiça.
As operações de pirataria norte-coreanas recorreram repetidamente a trocas rápidas de ativos, transações através de pontes e um grande número de carteiras recém-criadas para dificultar o rastreio. Neste caso, a rapidez dos primeiros bloqueios parece ter impedido que uma parte substancial do saldo em stablecoins passasse por esse processo.
O rastreio passou de centenas para milhares de carteiras
As empresas de inteligência de blockchain Elliptic, Chainalysis, TRM Labs e SlowMist compilaram dados de endereços e monitorizaram a movimentação dos ativos roubados. A Elliptic publicou uma lista negra descarregável que cresceu de centenas de endereços para milhares e, mais tarde, para dezenas de milhares, à medida que os investigadores seguiam transações através de novas carteiras.
A Chainalysis relatou que cerca de 2,8 mil milhões de dólares tinham sido congelados por volta das 11h30, hora da Costa Leste, de 3 de novembro. A empresa disse que os investigadores partilharam pistas com parceiros da indústria para identificar e bloquear ativos, alertando que a utilização de milhares de endereços pelo atacante poderia expandir-se para dezenas de milhares nas semanas seguintes.
A TRM Labs disse ter elevada confiança na atribuição ao TraderTraitor, citando padrões que comparou com a violação da Bybit em 2025 e o caso KelpDAO de abril de 2026. A SlowMist descreveu uma sequência de ataque envolvendo o EIP-7702, uma norma Ethereum que pode permitir que uma conta detida externamente utilize temporariamente código de contrato inteligente. Segundo a SlowMist, o atacante ensaiou durante horas antes de utilizar a técnica num roubo em lote visando tokens de carteiras quentes.
O ataque reportado seria o maior roubo de criptomoedas de que há registo, ultrapassando em mais de quatro vezes os aproximadamente 1,5 mil milhões de dólares roubados à Bybit em fevereiro de 2025. A comparação também mostra quão maior se torna o desafio operacional quando os atacantes começam com milhares de milhões de dólares distribuídos por várias cadeias e tipos de ativos.
Redes utilizaram poderes de governação de emergência
A Arbitrum e a Optimism utilizaram medidas de emergência lideradas pela governação para mover tokens de endereços controlados pelo atacante para carteiras de congelamento. O conselho de segurança da Arbitrum transferiu cerca de 8.426 ETH e aproximadamente 74,56 milhões de ARB em 30 de outubro, ativos avaliados em cerca de $30,5 milhões no material fornecido.
A governação da Optimism moveu aproximadamente 44 milhões de OP, avaliados em cerca de $5 milhões. Estas intervenções totalizaram cerca de $35 milhões e mostram que algumas redes de camada 2 podem agir mais diretamente do que redes de camada base quando as estruturas de governação autorizam controlos de emergência.
A World Liberty Financial congelou separadamente ativos ligados ao ataque, incluindo cerca de $27 milhões em USD1 e aproximadamente $2 milhões em WLFI. A organização afirmou que planeava trabalhar com a BitGo no tratamento dos ativos afetados.
Tais medidas podem preservar ativos durante um roubo em curso, mas também colocam autoridade de emergência nas mãos de conselhos de segurança, eleitores de governação ou emitentes de tokens. Essa contrapartida tornou-se cada vez mais visível à medida que as redes concebem defesas contra explorações de grande escala.
Protocolos DeFi contiveram fundos emprestados
O atacante também utilizou fundos roubados em finanças descentralizadas antes de serem aplicadas restrições ao nível dos protocolos. Dados on-chain mostraram cerca de 60 milhões de USDT depositados na Aave V3, seguidos do empréstimo de aproximadamente 19.762 WETH, avaliados em cerca de $44,6 milhões na altura.
A Aave respondeu suspendendo novos depósitos e empréstimos em centenas de reservas de mercado operadas por DAO na V3 e V4. Levantamentos, reembolsos e liquidações permaneceram disponíveis, permitindo aos utilizadores reduzir posições e manter a saúde dos mercados existentes, enquanto travavam nova exposição ligada a garantias comprometidas.
Plataformas centralizadas, incluindo a OKX, a Coinbase e a Bybit, também participaram em medidas destinadas a intercetar transferências de carteiras comprometidas. Os ativos que continuam móveis apresentam um caminho de recuperação mais difícil, sobretudo se chegarem a balcões OTC, serviços de mistura ou pontos de saída de exchanges antes de serem identificados.
Foi noticiado que o atacante mantinha o controlo de cerca de 420.000 ETH e 18.270 BTC, avaliados no material fornecido em aproximadamente $2,4 mil milhões. Ao contrário do USDT, do USDC e dos tokens controlados por governação, o Bitcoin e o Ether não podem ser congelados por um emitente de tokens. A sua recuperação dependeria de rastreio, apreensão de ativos ou da identificação de um ponto em que os fundos entram num serviço regulado disposto ou obrigado a agir.
Saiba como as exchanges protegem os fundos após grandes exploits em este guia detalhado de recuperação.
Aviso legal: O conteúdo desta página é disponibilizado apenas para fins informativos gerais e não representa as opiniões nem os conselhos financeiros da Toobit. Não garantimos a exatidão ou a integridade destas informações e não nos responsabilizamos por quaisquer erros, omissões ou resultados decorrentes da sua utilização. O investimento em ativos digitais envolve risco; os utilizadores devem avaliar de forma independente a sua situação financeira e os riscos envolvidos. Para mais detalhes, consulte os nossos Termos de Serviço e Divulgação de Riscos.
