O hack da Binance anunciado em 29 de outubro de 2026 entrou para a conversa do mercado como um dos maiores da história das criptomoedas, e a maior corretora do mundo suspendeu depósitos e saques enquanto investiga. Os números ainda dançam: levantamentos on-chain apontam entre US$ 5,5 e US$ 6,3 bilhões drenados de carteiras quentes em várias redes, com a Blockaid estimando cerca de US$ 5,5 bilhões, enquanto cifras menores, de US$ 2 a 3 bilhões, circularam nas primeiras horas. A própria Binance não confirmou o valor final e disse que cobrirá as perdas e que os fundos dos usuários estão seguros. Antes de ser uma notícia sobre uma empresa, o episódio é um teste de estresse sobre como guardamos valor em cripto.
O que se sabe sobre o hack da Binance até agora
Pelo que as análises on-chain descreveram, o ataque atingiu uma carteira quente, aquela conectada à internet para dar liquidez às operações do dia, e não o cofre frio da corretora. Segundo a Blockaid, o vetor passou por uma delegação via EIP-7702, o padrão introduzido no Ethereum com a atualização Pectra em 2025, que permite a uma conta autorizar um contrato a agir em seu nome. O atacante teria obtido uma dessas autorizações e, poucos minutos depois, esvaziado a carteira para um endereço externo. O que ainda não está estabelecido é a parte mais importante: como o acesso foi conseguido, se por vazamento de chave, engano de um signatário ou comprometimento da infraestrutura de assinatura. Movimentos em outras redes, como Bitcoin e Tron, nem sequer são explicados por esse mecanismo, o que recomenda cautela com qualquer narrativa fechada enquanto a apuração corre.
O que veio depois revelou tanto quanto o próprio ataque: a Tether congelou mais de US$ 1,5 bilhão em USDT ligados ao caso, a Circle bloqueou centenas de milhões em USDC, e emissores e conselhos de redes somaram outros congelamentos, chegando a um total reportado entre US$ 2,3 e US$ 2,7 bilhões. Prender o token na origem, porém, não é o mesmo que devolvê-lo, e o Bitcoin e o Ether nativos não têm botão de congelamento equivalente ao das stablecoins.
Centralização e descentralização: onde está o risco
Por trás do incidente está o paradoxo que organiza esse mercado. A corretora centralizada concentra a custódia de milhões de usuários, e essa concentração é exatamente o que transforma uma carteira quente num alvo de bilhões: um único ponto de falha, um só conjunto de chaves, um prêmio que justifica o ataque mais sofisticado. A descentralização responde a isso tirando o cofre do meio, de modo que, na autocustódia, cada um guarda a própria chave, não há honeypot coletivo, e a transparência on-chain deixa o rastro à vista de qualquer um.
A conta da descentralização, no entanto, também chega: quem perde a chave, cai num golpe de assinatura ou interage com um contrato malicioso não tem a quem recorrer, porque não existe suporte, estorno nem garantia de cobertura das perdas. Foi a camada centralizada, aqui, que permitiu reagir, já que emissores de stablecoin puderam congelar fundos justamente porque controlam um registro central, e a corretora prometeu cobrir o prejuízo porque tem balanço para isso. O mesmo poder de freezing que socorre a vítima hoje é o que preocupa quem valoriza a resistência à censura, pois um registro que congela ladrão também congela quem o emissor decidir. Centralização e descentralização não são o lado certo e o errado da segurança; são conjuntos distintos de risco, e a escolha ingênua é fingir que um deles não cobra preço.
O congelamento não é imediato nem retroativo
O caso expôs um limite do próprio congelamento que o elogio à camada centralizada costuma ignorar. Parte dos stablecoins ligados ao desvio não ficou parada esperando o bloqueio: cerca de US$ 60 milhões em USDT foram depositados como colateral na Aave e, em menos de dois minutos, serviram para tomar perto de 19,7 mil ETH emprestados, nas transações das 20h59 e das 21h01 de 29 de outubro. O primeiro congelamento da Tether veio logo depois das 21h, minutos atrás dos empréstimos. Convertido o que era congelável, o stablecoin, em um ativo que não tem botão de bloqueio, o ETH, o valor já tinha saído pela porta quando o blacklist chegou. O freeze do emissor recai sobre o endereço do titular e não alcança de forma automática o que já foi parqueado dentro do contrato de outro protocolo, e foi nessa fresta, a corrida de poucos minutos entre o roubo e o bloqueio, que o atacante correu.
Do lado dos protocolos, a reação foi defensiva e, não por acaso, centralizadora. A Aave congelou o mercado afetado por volta das 21h42, cerca de quarenta minutos depois dos empréstimos, o que barra novos depósitos e novas tomadas mas ainda permite repagamento, saque autorizado e liquidação. Esse é o arsenal que um DeFi maduro foi montando depois de incidentes anteriores: pausa de mercado, congelamento de reserva, um guardião ou administrador de emergência com poder de acionar o freio, limites de saque e circuit breakers, além de prova de reservas on-chain e oráculos reforçados. A ironia fecha o raciocínio: cada um desses freios depende de alguém com a chave para puxá-lo, uma governança ou uma multisig, de modo que o DeFi capaz de se defender de um ataque desses reintroduz, por dentro, o mesmo ponto central de decisão que nasceu para eliminar. A pergunta deixa de ser se existe um poder central e passa a ser quem o detém, sob quais regras e com qual transparência.
O que a regulação atual já mira
A regulação brasileira de ativos virtuais foi desenhada em cima dos pontos fracos que um ataque desses ilumina. O marco legal (Lei 14.478/2022) entregou ao Banco Central a supervisão das prestadoras de serviços de ativos virtuais, e as Resoluções BCB 519, 520 e 521 de 2025, em vigor desde fevereiro de 2026, montaram o regime de autorização, de funcionamento e de prevenção à lavagem. Não é regra de fachada: ela cobra segregação entre o patrimônio da prestadora e o dos clientes, governança de custódia, gestão de risco e prova de reservas, que é o reporte periódico de que os ativos dos clientes estão de fato lá. Um incidente que drena a carteira quente de uma corretora é o cenário que esses deveres existem para prevenir, detectar e tornar reportável.
O próprio caso trouxe um exemplo prático dessa arquitetura. No Brasil, a Binance informou que os ativos dos clientes locais permanecem seguros, mantidos em carteiras frias e numa estrutura de custódia segregada que, segundo a empresa, segue as regras do Banco Central, com a operação brasileira organizada em entidade própria de serviços de ativos virtuais. Como medida de precaução durante as verificações, os saques de cripto na plataforma brasileira foram temporariamente suspensos, sem que a empresa tenha reportado perdas para clientes no país. É a diferença que a segregação patrimonial pretende criar: o incidente atingiu a operação global, e a camada local, sujeita ao regime do Banco Central, responde por uma conta separada.
Para fora do balcão o perímetro também se fecha, e a partir de 6 de novembro de 2026 as instituições autorizadas pelo Banco Central ficam proibidas de viabilizar operações com prestadoras de serviços de ativos virtuais não autorizadas no país (art. 91 da Resolução BCB 520, na redação da Resolução BCB 589/2026), o que empurra o mercado para dentro do sistema supervisionado. Para o usuário brasileiro, a lição prática é escolher a contraparte pela governança e pela conformidade, não só pela taxa, porque a diferença entre uma corretora autorizada e supervisionada e uma que opera à margem aparece precisamente no dia do incidente.
Por que olhar para um DeFi regulado
A saída madura não é torcer por um dos lados, e sim combinar o melhor de cada um. O DeFi regulado busca unir a transparência, a autocustódia e a auditabilidade do código, que são as vantagens reais da descentralização, com as salvaguardas que a regulação traz: identificação de participantes onde a lei exige, governança de contratos inteligentes com auditoria e resposta a incidente, segregação verificável e prova de reservas publicada on-chain. É possível ter liquidação transparente em cadeia e, ao mesmo tempo, um perímetro de conformidade que não deixe a vítima sem recurso nem o sistema sem supervisão.
Esse desenho tem onde ser testado no Brasil, porque o ambiente de experimentação da CVM e o piloto de tokenização em DLT permitem criar produtos que nascem auditáveis e dentro de um marco, em vez de obrigar a escolha entre a opacidade de uma caixa-preta centralizada e o faroeste de um protocolo sem dono. O hack desta semana não prova que a descentralização falhou nem que a centralização venceu; mostra que custódia é um problema de engenharia e de governança ao mesmo tempo, e que o desenho regulatório capaz de reconciliar transparência com responsabilidade é o que tende a sobreviver ao próximo ataque, que virá.
Perguntas frequentes
O que causou o hack da Binance?
A causa raiz não está confirmada. A análise on-chain atribuída à Blockaid aponta uma delegação via EIP-7702 que permitiu esvaziar uma carteira quente, mas não se sabe ainda como o acesso foi obtido, e parte dos movimentos não é explicada por esse mecanismo. Os valores do roubo seguem como estimativa, sem confirmação da Binance.
Autocustódia é mais segura do que deixar na corretora?
Depende do risco que você consegue administrar. A autocustódia elimina o alvo coletivo e dá controle da chave, mas transfere a você a responsabilidade integral, sem suporte, estorno ou cobertura. A corretora concentra risco, porém pode ter governança, seguro e capacidade de cobrir perdas. Não há resposta única; há perfis de risco diferentes.
O que a regulação brasileira exige das corretoras de cripto?
Pela Lei 14.478/2022 e pelas Resoluções BCB 519, 520 e 521 de 2025, a prestadora precisa de autorização para funcionar e fica sujeita a segregação patrimonial, governança de custódia, gestão de risco, prevenção à lavagem e prova de reservas. A partir de 6/11/2026, instituições reguladas não podem viabilizar operações com prestadoras não autorizadas.
Leia também
- Autorização de PSAV: prazo e conformidade contínua, sobre o regime de autorização das prestadoras.
- O piloto de tokenização da CVM e o programa DLT, sobre o ambiente em que um DeFi regulado pode ser testado.
Fontes
Banco Central do Brasil, Resoluções BCB nº 519, 520 e 521, de 2025 (autorização, funcionamento e prevenção à lavagem das prestadoras de serviços de ativos virtuais; art. 91 da Res. 520 na redação da Res. BCB 589/2026): bcb.gov.br
Lei nº 14.478, de 21 de dezembro de 2022 (marco legal dos ativos virtuais): planalto.gov.br
Comissão de Valores Mobiliários, Resolução CVM nº 249 (ambiente de testes e piloto de tokenização em DLT): conteudo.cvm.gov.br
TechCrunch, “Binance pauses withdrawals as hackers suspected of stealing billions in crypto” (29/10/2026): techcrunch.com
Blockaid, “Binance $5.5B Hack: Using Advanced AI Models, Blockaid Detects the Biggest Theft in Crypto History” (2026): blockaid.io
Poder360, “Binance congela US$ 2,54 bi após suspeita de ataque hacker” (2026): poder360.com.br
Coindoo, “How the Binance Hacker Outsmarted Stablecoin Freezes” (2026), sobre a sequência de depósito na Aave e tomada de ETH antes do congelamento: coindoo.com
CryptoTimes, “Binance Hack: Aave Freezes Avalanche Markets…” (30/10/2026), sobre o congelamento de mercado pela Aave como resposta de protocolo: cryptotimes.io
BitNotícias, “Binance revela que criptomoedas de brasileiros estão segregadas fora da exchange global e das carteiras hackeadas” (2026), sobre a custódia segregada dos ativos de clientes brasileiros: bitnoticias.com.br
Este conteúdo tem caráter informativo e não constitui opinião legal para caso concreto. Os valores do incidente são estimativas preliminares, sujeitas a atualização.
Comments are closed