O dinheiro roubado da Binance está saindo em USDT pela TRON. É a mesma moeda que o balcão brasileiro vende por Pix

No sábado, 31 de outubro, o FBI atribuiu à Coreia do Norte o ataque que tirou mais de US$ 6 bilhões da Binance na noite de 29 de outubro. No alerta, a agência chama o grupo de TraderTraitor, o mesmo que apontou no roubo da Bybit, em 2025, e diz ter visto os autores converterem o que foi roubado "principalmente em Ethereum". Espera que o dinheiro passe por serviços de finanças descentralizadas e de troca instantânea antes das próximas etapas de lavagem.

O FBI pediu a quem opera esses serviços, a corretoras e a empresas de análise de blockchain que bloqueiem qualquer transação com os endereços usados pelo grupo, e publicou a lista: 608 endereços na rede Ethereum, 19 no bitcoin e 1 na Solana. Não há nenhum endereço da TRON.

O que aconteceu na TRON

A TRON é a rede onde circula a maior parte do USDT, a stablecoin pareada ao dólar que o balcão brasileiro compra e vende por Pix. Foi uma das redes atingidas. Segundo o analista SomaXBT, da Security Alliance (SEAL), numa publicação no X de 1º de novembro, saíram de carteiras da Binance na TRON 612,7 milhões de USDT e 46,4 milhões de TRX, a moeda da própria rede: US$ 628 milhões ao todo.

Parte disso ficou parada. A Tether, emissora do USDT, pode bloquear qualquer carteira no contrato da moeda, e o bloqueio fica gravado na blockchain. Conferimos esse registro: entre 18h09 e 18h21 de 29 de outubro, no horário de Brasília, menos de uma hora depois das saídas, a Tether bloqueou três carteiras na TRON que hoje guardam 378.719.468 USDT. É o número que as análises atribuem ao congelamento do roubo nessa rede.

O resto andou. Pelas contas do SomaXBT, cerca de US$ 194 milhões saíram da TRON por pontes entre redes, a maior parte pela Relay (US$ 48 milhões), pela THORChain (US$ 44 milhões), pela Chainflip (US$ 32,1 milhões) e pela Symbiosis (US$ 16 milhões). Outros US$ 43 milhões passaram pela Bitget Wallet e serviços parecidos, com destino ainda não identificado. A maior parte do que saiu virou ether: cerca de 53.300 ETH. E cerca de US$ 26 milhões ficaram na própria TRON, parte deles em contas de depósito de corretoras, como a HitBTC (US$ 4,2 milhões) e a Gate (US$ 1,4 milhão), e em serviços de troca instantânea, como a ChangeHero.

Lavagem que não dorme

A Elliptic, empresa de rastreamento em blockchain, acompanhou a principal carteira de distribuição do grupo na TRON. Ela mandou dinheiro todas as horas, por 31 horas seguidas, sem parar à noite; a pausa mais longa foi de 46 minutos. Na noite de 31 de outubro, já tinha espalhado cerca de US$ 196 milhões por uns 200 endereços, era reabastecida em lotes de uns US$ 40 milhões, e o ritmo tinha subido para US$ 7 milhões a US$ 11 milhões por hora. Os endereços que recebem costumam repassar o dinheiro em uns dois minutos.

Os sinais, diz a Elliptic, são de máquina: transferências quase nunca com menos de 30 segundos de intervalo, trocas na THORChain com os mesmos valores (um deles, 19 vezes) e um sistema que se corrige sozinho. No roubo da Bybit, compara a empresa, a lavagem seguia horário de expediente. Quando uma ponte recusou um depósito, o dinheiro voltou a ser enviado ao mesmo destino a partir de carteiras novas. Segundo o The Crypto Times, Tom Robinson, cofundador da Elliptic, disse que há pessoas dirigindo a operação, com scripts fazendo as transferências. A Chainalysis viu o mesmo padrão: milhares de transações, dinheiro que volta a endereços já usados, e muitos endereços que recebem, primeiro, exatamente 1 TRX. A empresa também encontrou o dinheiro da Binance misturado ao do roubo da corretora Bitget, no mês passado, também atribuído à Coreia do Norte.

Para o balcão, o que importa é o efeito disso: em vez de poucas carteiras grandes e marcadas, centenas de carteiras novas, com valores pequenos e médios, que não constam em lista nenhuma.

Por que isso chega a quem vende USDT por Pix

Dinheiro roubado em cripto só vira dinheiro de verdade quando alguém o troca por moeda local. Quem compra é, no fim da linha, uma mesa de balcão, um vendedor de P2P, uma corretora com cadastro frouxo ou uma pessoa que achou um preço bom. Não sabemos se algum centavo desse roubo já chegou ao Brasil. Sabemos que o USDT na TRON é a moeda que mais aparece por aqui: das 46 carteiras consultadas na consulta de carteira da CyberX desde o lançamento, 29 eram da TRON, e em 28 delas o USDT dominava a movimentação.

Quem recebe USDT que passou por uma carteira do roubo corre dois riscos:

• A moeda pode ser congelada na sua mão. O bloqueio da Tether não separa a parte "suja": trava a carteira inteira, com tudo que há nela. Já explicamos como isso funciona e o que dá para fazer em A Tether pode congelar USDT.
• A sua conta na corretora pode ser bloqueada. As corretoras estão marcando os endereços do ataque. Um depósito que vem deles, ou que passou por eles há poucos saltos, pode ser retido, e quem explica a origem é você.

O que conferir antes de fechar negócio

• Preço abaixo do mercado, de quem você não conhece, nesta semana, é sinal de alerta. Dinheiro roubado aceita desconto para sair rápido.
• Peça o endereço da carteira de origem e consulte antes de mandar o Pix. A consulta de carteira da CyberX compara o endereço e as contrapartes diretas com a lista de sanções da OFAC, com a lista do alerta do FBI e com o registro de bloqueios do contrato do USDT. Uma carteira que recebeu USDT direto de uma das três carteiras bloqueadas aparece com o alerta de contraparte congelada.
• Saiba o limite da consulta. Nenhuma lista pública tem as centenas de carteiras novas que a Elliptic descreve. Uma carteira criada ontem, sem contraparte marcada, não dispara nada por estar numa lista. O que a consulta mostra nesse caso é o comportamento: carteira recente, dinheiro que entra e sai rápido, valores repetidos. Sinal, não sentença.
• Guarde tudo. Comprovante do Pix, endereço, hash da transação, conversa com o vendedor. Se a moeda for congelada depois, é com isso que você mostra que comprou de boa-fé. Explicamos o caminho em Paguei por Pix e virou cripto.

E a Binance

A Binance diz ter reposto cerca de 95% do valor afetado e que os clientes não vão arcar com a perda. Os saques voltaram em fases a partir de 1º de novembro e o relatório técnico do ataque ainda não saiu. Acompanhamos isso na matéria de 30 de outubro, atualizada. Lá também está o outro lado do caso: o golpe do falso suporte que promete "liberar" saque ou "reembolsar" quem foi afetado. A Binance não cobra nada para isso.

Em uma linha

O dinheiro do maior roubo cripto da história está sendo picado em USDT na TRON, fora de qualquer lista pública; quem compra USDT de desconhecido por Pix nesta semana deve consultar a carteira de origem, desconfiar do preço e guardar o comprovante.

Recebeu oferta de USDT barato, ou teve carteira congelada depois de uma compra? Relate o caso. O relato não recupera dinheiro, mas ajuda a mapear o caminho e alerta quem vem depois.

Fontes

• FBI — North Korea Responsible for $6 Billion+ Binance Attack (31/10/2026), com a lista de endereços
• Elliptic — The Binance hack is laundering on autopilot (31/10/2026, atualizações ao vivo)
• Chainalysis — Binance Hack: Tracing the $6.4 Billion Theft to North Korea (30/10/2026)
• SomaXBT (SEAL) — publicação no X (01/11/2026), com o destino do dinheiro roubado na TRON
• The Crypto Times — Binance Hack: North Korean Hackers Move $242M in Two Days (02/11/2026), com a fala de Tom Robinson
• Contrato do USDT na TRON — eventos AddedBlackList de 29/10/2026, 21:09–21:21 UTC, e saldos das três carteiras (TG5iBMQ…, TCzBTkq…, TPBkSjk…), consultados em 02/11/2026
• Binance — Recovery Update #4: Withdrawals Resume in Phases (01/11/2026)
• CyberX — O golpe que vem depois do ataque à Binance, A Tether pode congelar USDT e Paguei por Pix e virou cripto