Hack de US$ 6,3 bi na Binance é 'guerra cibernética', diz TRM Labs, que pede ação ofensiva dos governos

O chefe global de políticas e assuntos governamentais da TRM Labs, Ari Redbord, classificou o roubo de US$ 6,3 bilhões da Binance como "guerra cibernética" e instou governos a conduzirem operações cibernéticas ofensivas contra a infraestrutura de hackers norte-coreanos, argumentando que o sucesso inédito da indústria em congelar 40% dos fundos subtraídos não dissuadirá um regime para o qual o roubo de criptoativos constitui aproximadamente um terço do PIB.

Mecânica do Ataque e Atribuição

A Binance divulgou em post-mortem de 3 de novembro que os invasores se passaram por recrutadores para implantar malware no computador de trabalho de um engenheiro e, em seguida, exploraram uma ferramenta interna de IA comprometida para acessar o serviço de assinatura de carteiras da corretora. A janela de intrusão durou oito semanas antes do exploit, segundo a empresa de segurança em blockchain SEAL. A TRM Labs atribuiu o ataque a um grupo norte-coreano que rastreia sob o nome de TraitorTrader, citando evidências "indiscutíveis" on-chain e off-chain. O mesmo grupo foi vinculado ao hack de US$ 1,5 bilhão na Bybit em fevereiro de 2025.

Redbord observou que o roubo de 29 de outubro pela Coreia do Norte respondeu por metade dos US$ 12,5 bilhões subtraídos por hackers estatais desde 2017. "Mesmo que os atacantes recuperem apenas US$ 1 bilhão, o ganho potencial continua enorme," disse ele. "A Coreia do Norte continuará fazendo isso enquanto for eficaz."

Coordenação Inédita da Indústria

A velocidade da resposta da indústria marcou um ponto de inflexão. A Tether congelou 971,1 milhões de USDT em 37 minutos após a varredura principal. Os congelamentos combinados dos emissores de stablecoins totalizaram aproximadamente US$ 2,67 bilhões, representando 40% do valor roubado. "Nada parecido jamais foi feito antes," afirmou Redbord. "Conseguiram reaver 40% logo de cara."

A coordenação foi facilitada pela Beacon Network da TRM, um sistema de compartilhamento de inteligência lançado em 2025. "Normalmente vejo alguns alertas da Beacon por dia. Nos últimos dias, vi, não sei, centenas ou talvez até mil alertas," disse Redbord. A rede permitiu que empresas imobilizassem fundos antes de trabalhar para apreendê-los.

Lacunas Estruturais e a Dissolução da Unidade T3

Apesar do sucesso da coordenação, fragilidades estruturais persistem. A Bloomberg noticiou em 4 de novembro que a Unidade T3 de Crimes Financeiros — formada por TRM, Tron e Tether em setembro de 2024 — foi dissolvida no final de agosto de 2025, com fontes citando respostas lentas e má coordenação. A Tether afirmou que continuará trabalhando com a TRM por meio da Beacon. A dissolução levanta dúvidas sobre a durabilidade de parcerias público-privadas sem governança formal.

O relatório de lacunas de capacidade da TRM constatou que a assimetria entre atacantes e defensores está se ampliando, impulsionada pela adoção precoce de tecnologias de fronteira, como IA, pelos hackers. Redbord argumentou que equipes de aplicação da lei e compliance precisam de capacidades equivalentes de IA para encontrar e corrigir vulnerabilidades na velocidade em que os invasores as exploram.

Implicações de Política e Perspectivas Futuras

"Toda vez que a Coreia do Norte hackeia, deveríamos hackeá-los de volta," disse Redbord, pedindo operações cibernéticas ofensivas e ação contra redes de lavagem e bancos usados para conversão em moeda fiduciária. O Fed e o OCC teriam começado a verificar a exposição de bancos dos EUA após o hack. O escrutínio regulatório sobre controles de hot wallets de corretoras e governança de ferramentas internas de IA deve se intensificar. A atribuição ao TraitorTrader, se confirmada pelas autoridades, poderia desencadear designações de sanções e isolar ainda mais as redes financeiras norte-coreanas.