Uma nova análise da TRM Labs atribui a uma unidade de hackers ligada à Coreia do Norte o ataque que retirou aproximadamente US$ 6,36 bilhões de carteiras associadas à Binance. A empresa chama o grupo de TraderTraitor e afirma que sua avaliação combina inteligência on-chain e off-chain, com “alta confiança”. A atribuição é uma conclusão da TRM, não uma confirmação pública da Binance ou de uma autoridade policial.
Em seu relatório técnico sobre o incidente, a TRM diz ter rastreado as transferências em dez blockchains e que a maior parte ocorreu em cerca de 20 minutos, a partir das 20h05 UTC de 29 de outubro. O valor foi calculado pelos preços dos ativos no momento das transferências; a própria empresa também apresenta uma avaliação diferente a preços correntes.
O relatório afirma que a preparação começou pelo menos 36 horas antes, com movimentações de teste e autorizações assinadas antecipadamente. Na rede Ethereum, a TRM descreve o uso de uma delegação EIP-7702 para transformar uma carteira quente da Binance em um mecanismo de varredura controlado pelo invasor. Esses detalhes são a reconstrução técnica da empresa de análise e ainda não equivalem ao post-mortem final da exchange.
A atribuição foi reportada pela Reuters, que reproduziu a avaliação da TRM, e também aparece em análises da Axios e da Cointelegraph. A quantidade de veículos não cria uma confirmação independente: os relatos convergem para a mesma fonte técnica e para a mesma atribuição.
Na atualização oficial da Binance, a empresa havia informado impacto estimado de cerca de US$ 6,3 bilhões, aproximadamente US$ 3 bilhões congelados on-chain e uma hipótese inicial de comprometimento do laptop de um engenheiro de DevOps. A Binance afirmou que não encontrou evidência de vazamento de chaves privadas, que cobrirá eventuais perdas e que trabalha com autoridades para confirmar a identidade dos responsáveis.
Os dois relatos podem coexistir: a TRM apresenta uma atribuição preliminar baseada em padrões técnicos e inteligência adicional, enquanto a Binance ainda não publicou o post-mortem completo nem confirmou quem realizou o ataque. Também permanecem diferentes as medidas de impacto, transferências observadas, ativos congelados e prejuízo líquido.
O próximo teste da hipótese será a divulgação da evidência off-chain usada pela TRM, um comunicado de autoridades como o FBI, a reconciliação independente das carteiras e o post-mortem da Binance. Até lá, a formulação segura é que a TRM atribui o ataque ao TraderTraitor com alta confiança — não que a autoria esteja oficialmente estabelecida.