Última revisão: 2 de novembro de 2026. Os números podem mudar quando a Binance publicar o seu relatório técnico.
O ataque à Binance de 29 de outubro de 2026 é o maior roubo de criptomoedas alguma vez registado: a própria corretora estima o impacto em cerca de 6,3 mil milhões de dólares, mais de quatro vezes o que foi roubado à Bybit em 2025. Para lá dos clientes da Binance, há uma pergunta que afeta muito mais pessoas: o que acontece se chegarem à sua carteira criptomoedas que passaram pelos endereços do atacante?
O que aconteceu na Binance?
Segundo a TRM Labs, os fundos começaram a sair das hot wallets da Binance (as carteiras ligadas à internet que a corretora usa para pagar os levantamentos) por volta das 20:05 de Lisboa de quinta-feira, 29 de outubro, em dez blockchains diferentes, e a maior parte da operação durou cerca de 20 minutos. No comunicado de 30 de outubro, a Binance explicou que a investigação inicial aponta para o comprometimento do portátil de um engenheiro de DevOps, o que permitiu ao atacante aceder a um contentor de serviço e submeter ordens de levantamento não autorizadas. A empresa acrescentou que não encontrou provas de fuga de qualquer chave privada e que publicará um relatório técnico (post-mortem) quando terminar a investigação. A 2 de novembro, ainda não o tinha publicado.
O seu codiretor executivo, Richard Teng, precisou depois que a investigação descobriu pontos de entrada adicionais. Segundo a Chainalysis, o atacante financiou uma das suas carteiras através do misturador Tornado Cash.
A Binance suspendeu os levantamentos por precaução, enquanto os depósitos continuavam a funcionar. A 1 de novembro, a partir das 6:00 de Lisboa, começou a reabri-los por fases, começando pela bitcoin, pela ether e pelas principais stablecoins. Entre as 6:00 e as 15:30 de Lisboa desse dia, segundo a Binance, foram processados cerca de 4,65 mil milhões de dólares em levantamentos e 1,01 mil milhões em depósitos, uma saída líquida de cerca de 3,64 mil milhões (2,1 % dos ativos sob custódia).
Os números: o que é facto e o que é estimativa
Todos os montantes são estimativas em dólares e cada fonte conta de forma diferente, pelo que não convém somá-los nem considerá-los definitivos.
| Fonte | Montante roubado (estimativa) | Montante congelado |
|---|---|---|
| Binance (30 de outubro) | Cerca de 6,3 mil milhões de dólares | Cerca de 3 mil milhões |
| TRM Labs (30 de outubro) | Cerca de 6,36 mil milhões | Cerca de 2,7 mil milhões |
| Chainalysis | Cerca de 6,4 mil milhões | Cerca de 2,8 mil milhões |
| Elliptic (1 de novembro) | Cerca de 6,43 mil milhões | Cerca de 2,85 mil milhões, 94 % em stablecoins |
A 31 de outubro, o FBI atribuiu oficialmente o roubo à Coreia do Norte, mais concretamente à atividade que designa por TraderTraitor, um grupo ligado ao Lazarus a que também atribuiu o roubo à Bybit. A TRM Labs e a Chainalysis já tinham chegado à mesma conclusão: a Chainalysis viu os fundos da Binance misturarem-se em tempo real com os roubados à Bitget em setembro.
A Binance garante que assumirá todas as perdas com o seu fundo de emergência SAFU e com fundos próprios, que os saldos dos utilizadores não serão afetados e que, a 1 de novembro, tinha reposto cerca de 95 % dos ativos roubados. Os restantes 5 % são tokens menos líquidos que continua a comprar no mercado.
O que significa a Tether e a Circle «congelarem» fundos?
As stablecoins como a USDT ou a USDC têm um emitente central que pode bloquear os endereços que as detêm. Após o ataque, o diretor executivo da Tether, Paolo Ardoino, confirmou o congelamento de mais de 1,567 mil milhões de USDT. A Circle disse à CNBC a 2 de novembro que tinha congelado mais de 1,1 mil milhões de dólares em USDC, em coordenação com as autoridades. A Ripple, a World Liberty Financial (emitente da USD1) e o Conselho de Segurança da Arbitrum também bloquearam fundos.
Há duas ressalvas importantes:
- Congelar não é devolver. Os tokens ficam imobilizados, mas a devolução exige provar quem é o titular e a base legal para o fazer, lembraram advogados ao CoinDesk.
- A bitcoin e a ether não podem ser congeladas na rede. Segundo a Elliptic, cerca de 3,25 mil milhões de dólares do saque, incluindo 18 327 BTC, estão em ativos que nenhum emitente pode bloquear.
O verdadeiro risco para si: receber fundos «contaminados»
O roubo não termina com o ataque. Os fundos são branqueados ao passarem por milhares de endereços, pontes entre blockchains e serviços de troca instantânea. O FBI publicou uma lista de 608 endereços de Ethereum, 19 de Bitcoin e um de Solana, e pediu a corretoras, serviços DeFi, empresas de análise e outros prestadores que bloqueiem as transações com esses endereços ou deles derivadas. O diretor executivo da Chainalysis, Jonathan Levin, prevê que os endereços utilizados passem a ser «dezenas de milhares» nas próximas semanas.
As corretoras e muitos bancos usam ferramentas de análise que atribuem a cada endereço um nível de risco consoante a sua exposição, direta ou indireta, a atividades ilícitas. Se receber criptomoedas que, alguns saltos antes, saíram de um endereço ligado ao ataque, o seu prestador pode:
- reter ou recusar o depósito;
- pedir-lhe documentação sobre a origem desses fundos;
- limitar ou encerrar a sua conta nos casos mais graves.
Não é preciso ter feito nada de errado. O risco é maior nas operações entre particulares (P2P), nas compras a desconhecidos abaixo da cotação de mercado e nos serviços de troca que não pedem identificação, porque são os canais que costumam usar quem branqueia fundos roubados. Cada entidade aplica os seus próprios critérios e limiares.
Porque é agora mais importante guardar comprovativos
Perante um alerta de risco, o que melhor o protege é conseguir reconstruir de onde vêm as suas criptomoedas: as regras contra o branqueamento obrigam corretoras e bancos a conhecer a origem dos fundos dos seus clientes. Guarde:
- Extratos e histórico de operações de cada corretora, com data, montante e comissões. Descarregue-os já.
- Os identificadores de transação (TxID) dos movimentos entre as suas contas e as suas carteiras próprias.
- A prova do dinheiro de partida: transferências bancárias, recibos de vencimento, faturas, contratos ou a venda de outros ativos.
- Uma análise dos seus endereços antes de transferir montantes relevantes para uma corretora ou um banco.
No nosso guia sobre como comprovar ao banco a origem dos fundos cripto encontrará uma lista mais detalhada de documentos.
O que muda ao usar um prestador autorizado ao abrigo do MiCA?
Segundo o registo provisório da ESMA, consultado a 2 de novembro de 2026 (última atualização a 29 de outubro), a Binance não consta dos prestadores de serviços de criptoativos autorizados na União Europeia ao abrigo do Regulamento MiCA. Um prestador autorizado não está imune a ataques, mas o MiCA impõe-lhe obrigações que protegem o cliente:
- manter os criptoativos dos clientes separados dos seus, também juridicamente, para que os seus credores não os possam reclamar (artigo 75.º, n.º 7);
- responder perante o cliente pela perda dos seus criptoativos em resultado de um incidente que lhe seja imputável, com um limite: o valor de mercado do ativo no momento da perda (artigo 75.º, n.º 8);
- ter procedimentos de reclamação e estar sob a supervisão de uma autoridade nacional, como a CMVM em Portugal ou a CNMV em Espanha.
A diferença é relevante: na Binance, a cobertura depende de uma decisão da empresa, enquanto um prestador autorizado tem uma obrigação legal exigível perante um supervisor. Pode verificar se a sua plataforma está autorizada com o nosso guia sobre o MiCA e as corretoras autorizadas.
Passos práticos na Europa e na América Latina
A Binance tem muitos utilizadores em países como a Argentina ou a Venezuela, segundo a BBC. Estes passos servem dos dois lados do Atlântico:
- Se tem saldo na Binance, siga apenas os canais oficiais. Depois de um ataque, multiplicam-se as mensagens falsas que prometem «recuperar fundos» ou pedem as suas chaves. Ninguém legítimo lhe pedirá a frase de recuperação.
- Antes de aceitar um pagamento em cripto de alguém que não conhece, verifique o endereço de origem. Desconfie de ofertas abaixo da cotação de mercado.
- Nas operações P2P, guarde a identidade da contraparte, a conversa e o comprovativo bancário.
- Não tente «limpar» fundos duvidosos com misturadores ou cadeias de trocas. Agrava o risco e pode ser visto como um indício de branqueamento.
- Se uma corretora ou um banco lhe pedir informação, responda com documentos ordenados por data. Peça que lhe indiquem que transação gerou o alerta.
- Se foi vítima de uma burla relacionada com o ataque, apresente queixa à polícia do seu país e guarde todas as provas.
Precisa de justificar a origem dos seus fundos? A FundsOrigin analisa o endereço público da sua carteira e gera um relatório em PDF que pode juntar à sua documentação; a decisão de o aceitar cabe sempre à entidade. Analise a sua carteira e veja as opções disponíveis →
Fontes
- Binance: atualização sobre o incidente (30/10/2026, em inglês)
- FBI: atribuição à Coreia do Norte e lista de endereços (31/10/2026, em inglês)
- Chainalysis: análise do roubo (em inglês)
- RTVE: números da Binance e da TRM Labs (30/10/2026, em espanhol)
- BBC Mundo: impacto na América Latina (em espanhol)
- CNBC: reabertura dos levantamentos e USDC congelados (2/11/2026, em inglês)
- CoinDesk: congelamentos de stablecoins (em inglês)
- The Block: branqueamento e números da Elliptic (1/11/2026, em inglês)
- ESMA: registo provisório do MiCA e artigo 75.º do Regulamento (UE) 2023/1114 (em inglês)
Este conteúdo é informativo e não constitui aconselhamento jurídico, fiscal ou de investimento. Resume informação pública sobre um incidente que continua a ser investigado; os números podem mudar. Consulte um profissional sobre o seu caso.