Lavagem na Binance via THORChain coloca swaps sem permissão sob pressão do FBI

A THORChain processou ativos roubados da Binance apesar dos apelos do FBI, renovando o escrutínio após seu papel na movimentação de quase US$ 1 bilhão do roubo à Bybit em 2025. A controvérsia sobre a lavagem na Binance via THORChain se concentra em uma distinção restrita, mas relevante: interromper uma rota inteira de negociação é diferente de bloquear um atacante específico. Desenvolvedores afirmam que a rede não dispõe de controles seletivos de transações. Investigadores querem impedir a movimentação de fundos roubados identificáveis.

O The Wall Street Journal informou que operadores da THORChain ganharam ao menos US$ 12 milhões com transações envolvendo fundos roubados da Bybit, citando a Chainalysis. Sua investigação mais recente relaciona esse histórico a recursos da Binance movimentados pela mesma infraestrutura. Esses números descrevem fluxos criminosos reportados e receitas associadas, e não comprovam que todos os participantes da infraestrutura tenham auxiliado conscientemente os atacantes.

O conflito imediato coloca o acesso sem permissão, isto é, a participação sem aprovação de um operador, em oposição aos esforços para interromper a movimentação de ativos roubados. Binance, investigadores e operadores de infraestrutura enfrentam pressões distintas dentro desse conflito. A questão central é prática: qual intervenção o sistema existente pode suportar, quem pode autorizá-la e quem arca com as consequências?

A lavagem na Binance via THORChain segue uma rota conhecida

A investigação do The Wall Street Journal, reproduzida pela Mint, descreve outro encontro entre um grande roubo em uma exchange e uma infraestrutura projetada para acesso aberto. Segundo sua investigação sobre fundos roubados, a THORChain processou mais de US$ 46 milhões da Binance em 72 horas. A Chainalysis estimou que essas transações geraram mais de US$ 200.000 em taxas.

Esses valores exigem interpretação cuidadosa. Eles representam uma janela inicial de reporte, e não uma contabilização completa das transferências posteriores. Também distinguem os ativos que passaram pelo serviço da receita gerada por essa atividade. Tratar o volume de transações como lucro exageraria o que os participantes da infraestrutura receberam.

A mudança relevante é a reutilização de uma rota de conversão conhecida depois que investigadores solicitaram explicitamente uma intervenção.

A THORChain oferece suporte a swaps entre cadeias, trocas entre ativos registrados em blockchains diferentes. Uma blockchain é um livro-razão compartilhado de transações, mantido por uma rede de computadores. Neste caso, a função relevante é converter ativos roubados em outras criptomoedas sem abrir uma conta em uma exchange convencional.

Essa função oferece interoperabilidade legítima. Também apresenta aos investigadores uma etapa adicional na qual ativos roubados podem mudar de forma. Um ativo de entrada e um ativo de saída podem continuar conectados por evidências de transação, mesmo quando pertencem a redes diferentes.

O precedente da Bybit torna mais difícil tratar o episódio mais recente como um caso extremo inesperado. O Journal informou que quase US$ 1 bilhão desse roubo passou pela THORChain. Sua estimativa de taxas, atribuída à Chainalysis, descreve o benefício econômico associado a essas transações.

Esse histórico levanta uma questão de responsabilização sem responder a todas as questões jurídicas ou técnicas. Um sistema pode processar atividade prejudicial sem que todos os participantes compartilhem o objetivo do atacante. Ainda assim, o uso repetido dá a operadores e desenvolvedores razões mais fortes para explicar seus controles com precisão.

A cronologia também importa. As primeiras transações da Binance, a publicação de alertas, interrupções temporárias e atividades posteriores pertencem a momentos distintos. Um número acumulado de transações, isoladamente, não pode estabelecer quem sabia o quê quando um swap específico ocorreu.

Para os leitores, a distinção útil é entre o roubo em si e a movimentação posterior de seus recursos. O envolvimento da THORChain nas conversões não estabelece responsabilidade pelo comprometimento original. Mas torna a resposta da rede parte da história de recuperação.

As taxas reportadas tornam essa questão mais aguda porque o processamento contínuo tem consequências econômicas. Contudo, a receita associada a transações criminosas deve permanecer claramente atribuída e delimitada pela metodologia da fonte. Ela nunca deve se tornar uma forma abreviada de uma alegação não sustentada sobre todas as pessoas que operam a rede.

O pedido do FBI vai além da exchange

O FBI atribuiu o roubo à Binance à atividade norte-coreana que chama de TraderTraitor. Seu aviso público situa o ataque por volta de 29 de outubro de 2026 e descreve mais de US$ 6 bilhões roubados. A atribuição permanece uma avaliação do bureau; a Coreia do Norte negou envolvimento.

O pedido de bloqueio de transações do bureau inclui explicitamente operadores de THORNode, os participantes que executam o software de rede da THORChain. Ele também se dirige a serviços de exchange, provedores de infraestrutura e empresas de análise de blockchain. O pedido abrange transações que envolvam endereços listados e fundos derivados deles.

Os investigadores estão pressionando a infraestrutura que movimenta os recursos, além da exchange que originalmente os perdeu.

Essa redação cria um problema operacional mais difícil do que verificar se a carteira de um cliente aparece em uma lista. Um endereço é um identificador usado para receber ou enviar ativos. Os fundos podem ir além de um endereço inicialmente identificado, mantendo uma conexão com o roubo.

Determinar essa conexão exige análise. Uma transferência direta de um endereço identificado de atacante apresenta uma questão probatória diferente daquela de ativos que passam por vários intermediários. Uma resposta confiável precisa distinguir essas situações, em vez de tratar toda associação como igualmente conclusiva.

A pressão sobre a Binance se concentra na recuperação, na confiança dos clientes e na explicação do comprometimento original. A pressão sobre os participantes da THORChain diz respeito ao processamento contínuo e aos controles disponíveis para interrompê-lo. Essas responsabilidades se sobrepõem, mas não são intercambiáveis.

Para operadores de infraestrutura, o pedido também desafia uma premissa conhecida sobre sistemas distribuídos. Não ter um departamento convencional de contas não impede que investigadores peçam a participantes identificáveis que ajam. Se um participante específico tem capacidade técnica ou dever legal de cumprir exige uma avaliação separada.

O aviso público não estabelece, por si só, que todos os destinatários violaram uma lei. Tampouco resolve questões de jurisdição, intenção, controle ou classificação de cada serviço. Essas questões exigem evidências sobre atores e condutas específicos.

O obstáculo prático é que os investigadores buscam um resultado em vários sistemas com diferentes capacidades de intervenção. Uma exchange centralizada controla suas próprias contas de clientes. Uma rede distribuída de swaps coordena atividades entre operadores que seguem regras de software compartilhadas.

Essa diferença afeta o tempo de resposta e as soluções disponíveis. Uma exchange pode analisar uma relação com um cliente dentro de sua própria organização. Uma alteração de protocolo pode exigir acordo, implementação, testes e adoção entre participantes independentes.

Ainda assim, descrever a coordenação como difícil não resolve se alguma medida mais restrita é viável. Investigadores podem razoavelmente perguntar quais controles existem, com que rapidez operam e o que afetam. Operadores podem razoavelmente exigir clareza sobre a ação solicitada e suas consequências.

A disputa sobre a lavagem na Binance via THORChain, portanto, vai além de um pedido de cooperação. Ela testa se cooperação significa compartilhar evidências, restringir acesso, pausar negociações, alterar software ou alguma combinação dessas ações. Essas medidas têm custos diferentes e devem ser avaliadas separadamente.

Uma paralisação de rede é diferente de um bloqueio de endereço

A defesa técnica mais forte da THORChain diz respeito ao alcance de seus controles existentes. Em uma discussão de outubro, colaboradores afirmaram que o protocolo não dispõe de um mecanismo para rejeitar seletivamente carteiras ou transações individuais. Sua posição sobre censura de transações também defendeu o acesso sem aprovação baseada em identidade.

Essa posição combina uma alegação arquitetural com uma preferência de política. A alegação arquitetural diz respeito ao que o software implantado atualmente suporta. A preferência de política diz respeito a se os operadores deveriam introduzir restrições baseadas em identidade. Evidências que sustentam a primeira não resolvem automaticamente a segunda.

Uma interrupção ampla pode interromper fundos roubados enquanto impõe a mesma interrupção a usuários legítimos.

Os controles de paralisação de rede da THORChain documentam várias formas de suspender operações. Os operadores podem interromper negociações que envolvam uma blockchain, suspender a assinatura de saídas ou paralisar atividades mais amplas. Esses controles afetam categorias de operações, em vez de funcionarem como um filtro seletivo de endereços de atacantes.

Assinatura significa autorizar criptograficamente uma transação de saída. Suspender essa etapa pode deixar transferências aguardando em vez de serem concluídas normalmente. Uma paralisação de negociação afeta se os swaps avançam, enquanto uma paralisação mais ampla da cadeia também altera como o sistema observa a rede conectada.

Essas distinções tornam “ele pode interromper transferências” uma descrição incompleta. A pergunta seguinte é quais transferências param e o que acontece com todos os demais. Não se pode presumir que um controle que suspende uma rota inteira forneça intervenção precisa contra um único criminoso.

Considere um usuário legítimo trocando ativos enquanto um atacante utiliza a mesma rota. Uma pausa em toda a rota afeta ambas as transações. Essa consequência não torna a intervenção inerentemente errada, mas cria um custo que uma restrição seletiva evitaria.

A simplificação oposta também é incompleta. Dizer que o protocolo não pode colocar um endereço em uma lista de bloqueio não significa que ele careça de toda forma de controle operacional. Os mecanismos de paralisação existentes demonstram capacidade de interromper atividades em condições definidas.

A verdadeira discordância diz respeito a quando esses mecanismos deveriam ser aplicados. Proteger a rede de um mau funcionamento interno tem relação direta com a manutenção de sua operação. Interromper ativos roubados em outro lugar introduz questões de evidência externa, autoridade, escopo e duração.

Colaboradores da THORChain argumentam que julgamentos morais baseados em transações criariam poder discricionário em um sistema projetado em torno de regras consistentes. Essa preocupação merece tratamento substantivo. Um mecanismo de intervenção pode afetar usuários além do caso original, especialmente se seus critérios permanecerem obscuros.

Críticos podem aceitar essas preocupações de design enquanto questionam a alocação resultante de danos. Se controles amplos forem a única opção disponível, as vítimas arcam com as consequências de deixar a atividade seguir sem interrupção. Usuários legítimos arcam com as consequências quando os operadores pausam a rota.

Esta é a principal troca envolvida no artigo. Precisão, velocidade, disponibilidade e resistência ao controle discricionário não se alinham automaticamente. Avaliar a resposta exige nomear qual objetivo tem prioridade e identificar os custos resultantes.

Uma mudança de software proposta exigiria escrutínio igualmente concreto. Os revisores precisariam entender quem fornece as informações de endereço, como os erros são corrigidos e se os participantes podem contornar a restrição. Anunciar uma intenção de intervir estabeleceria menos do que uma capacidade implantada e examinada de forma independente.

As Conversões Podem Reduzir as Opções de Congelamento Sem Apagar as Evidências

A escolha dos atacantes pelos ativos de destino ajuda a explicar por que o momento das trocas importa. Stablecoins são tokens concebidos para acompanhar um ativo de referência, frequentemente o dólar americano. Alguns emissores de stablecoins mantêm controles que podem restringir tokens associados a determinados endereços.

Bitcoin e ether não possuem um mecanismo equivalente de congelamento de endereços operado pelo emissor. A migração para esses ativos altera os pontos de intervenção disponíveis. Ela não elimina automaticamente o histórico de transações nem garante que o atacante possa gastar livremente os recursos.

A cobertura da CoinDesk de 4 de novembro descreveu lavagem entre blockchains envolvendo a THORChain após a retomada das negociações. A reportagem relatou uma interrupção anterior, em 31 de outubro, causada por uma reorganização de bloco do Ethereum e uma falha de reembolso. Uma reorganização de bloco substitui parte do histórico de transações recentemente aceito por uma blockchain.

Uma interrupção operacional pode atrasar a lavagem sem se tornar uma política deliberada de bloqueio de ativos roubados.

Essa interrupção é relevante porque mostra por que a causa de uma pausa importa. Um mecanismo de segurança que responde a um problema contábil difere de uma decisão de rejeitar recursos de origem criminosa. Observar o mesmo efeito imediato não estabelece a mesma política, autoridade ou resultado pretendido.

A comparação com Tether e Circle também é instrutiva. Esses emissores de stablecoins ocupam uma posição diferente da THORChain porque administram seus próprios tokens. A capacidade de restringir esses tokens não se traduz em controle sobre todas as criptomoedas recebidas em troca.

Para os investigadores, isso cria urgência em torno da conversão. Uma intervenção disponível antes de uma troca pode deixar de estar disponível depois. Outras oportunidades podem permanecer, sobretudo quando os ativos posteriormente encontram um serviço capaz de identificar um cliente ou restringir uma conta.

A visibilidade pública continua valiosa durante todo esse processo. Uma transferência registrada pode sustentar uma investigação mesmo quando a rede não pode revertê-la. A capacidade de reconstruir eventos e a capacidade de recuperar propriedade são capacidades distintas.

A evolução da análise de fundos da Binance da Elliptic ilustra essa distinção. Sua atualização de 9 de novembro descreveu movimentações extensas, enquanto avaliava que uma quantidade insignificante provavelmente havia sido convertida em dinheiro. Essa avaliação é uma estimativa analítica, e não um inventário completo de todos os beneficiários finais.

Converter em dinheiro significa transformar criptomoeda em moeda convencional ou, de outra forma, realizar recursos utilizáveis por outro canal. Chegar a uma nova carteira não comprova que essa etapa ocorreu. Tampouco converter uma criptomoeda em outra.

Essa distinção evita uma conclusão fácil, mas enganosa: uma troca concluída não significa necessariamente que os investigadores perderam permanentemente o rastro. Ela pode reduzir as opções imediatas de congelamento, preservando evidências que sustentam posterior identificação, interrupção ou recuperação.

Por outro lado, um rastro visível não garante recuperação. Os investigadores ainda precisam de um ponto prático de intervenção, atribuição utilizável e cooperação, quando aplicável. A transparência fornece evidências; ela não confere posse dos ativos.

Para desenvolvedores que integram trocas a aplicações, essa diferença tem implicações diretas para o produto. Uma tela de histórico de transações pode mostrar o que ocorreu sem oferecer um mecanismo de reversão. Os usuários precisam de explicações precisas sobre esse limite antes que um incidente os obrigue a descobri-lo.

O mesmo princípio se aplica às comunicações de emergência. Uma aplicação deve distinguir processamento atrasado, negociações indisponíveis, suspeita de exposição ilícita e transferências concluídas. Reunir essas condições sob uma mensagem genérica de indisponibilidade obscurece informações que os usuários precisam para avaliar sua situação.

As Taxas Intensificam o Escrutínio, Mas Não Resolvem a Responsabilidade

As taxas reportadas pela Bybit explicam por que essa controvérsia vai além de um argumento técnico sobre capacidades de software. O uso criminoso pode gerar receita em uma infraestrutura que também atende clientes legítimos. Isso cria uma questão de incentivos mesmo quando o processamento de transações segue regras padronizadas.

A receita de taxas é uma evidência relevante sobre incentivos, mas não estabelece de forma independente intenção ou responsabilidade legal.

A estimativa do Journal, baseada na Chainalysis, pertence a um evento histórico e escopo contábil específicos. Ela não deve ser casualmente combinada com retratos anteriores da atividade em toda a rede. Volume total, ativos roubados identificados, taxas e recursos recebidos por participantes específicos medem coisas diferentes.

Um atacante pode movimentar o mesmo valor econômico por múltiplas transações. Somar cada transferência sem considerar a repetição pode superestimar os ativos subjacentes envolvidos. Da mesma forma, a receita registrada durante um período movimentado não pode ser automaticamente atribuída integralmente à atividade criminosa.

Uma avaliação cuidadosa pergunta o que a estimativa inclui. Ela mede cobranças do protocolo, remuneração de operadores de infraestrutura, receita de interface ou várias categorias? Essas distinções afetam tanto a análise econômica quanto a identificação dos beneficiários.

Elas também afetam as comparações ao longo do tempo. Uma janela curta de observação pode produzir um total diferente de uma investigação retrospectiva posterior. As diferenças não provam necessariamente que uma das estimativas seja falsa, mas exigem explicação antes de se tirarem conclusões sobre crescimento ou lucratividade.

A questão cética para a THORChain diz respeito à amplitude de sua alegação de impossibilidade. Uma declaração sobre a ausência de controles seletivos pode ser tecnicamente mais limitada do que a impressão pública de que a intervenção é inteiramente impossível. Os mecanismos existentes de pausa ampla tornam essa distinção central.

A questão cética para os críticos diz respeito ao remédio proposto. Pedir intervenção é mais fácil do que especificar um controle eficaz e proporcional. Uma proposta crível precisa abordar usuários inocentes, atribuição incorreta, atrasos operacionais e a possibilidade de os recursos migrarem para outro lugar.

Nenhuma das perguntas anula a outra. Um remédio oneroso não apaga o dano do processamento contínuo. Um dano grave não estabelece que todo remédio proposto funcionaria como pretendido.

A questão mais ampla é se a resposta do sistema corresponde às expectativas criadas em torno dele. Os usuários podem valorizar o acesso aberto e, ao mesmo tempo, desejar uma explicação clara sobre a autoridade em emergências. Participantes da infraestrutura podem defender discrição limitada enquanto reconhecem as consequências desse projeto.

Para compradores empresariais, isso se torna uma questão de dependência. Um serviço construído sobre trocas de terceiros herda exposição operacional e reputacional da rota subjacente. Uma decisão de integração deve levar em conta como a rota se comporta tanto durante falhas internas quanto em investigações criminais externas.

Os desenvolvedores enfrentam um problema relacionado de documentação. Declarações como “descentralizado” ou “noncustodial” não descrevem plenamente o comportamento em emergências. Noncustodial geralmente significa que os usuários evitam confiar ativos a um custodiante convencional de contas, mas os detalhes de implementação ainda determinam as dependências operacionais.

Uma documentação útil especifica os limites de controle. Ela identifica quem pode pausar operações, quais atividades são pausadas, como ocorre a retomada e o que os usuários podem esperar durante a interrupção. Esses detalhes tornam as promessas arquiteturais avaliáveis.

O caso de lavagem da Binance pela THORChain expõe o custo de deixar esses limites vagos. As vítimas ouvem uma recusa, os desenvolvedores descrevem uma capacidade inexistente e os operadores enfrentam pressão sobre controles com efeitos mais amplos. Explicações precisas não eliminarão o desacordo, mas tornam o desacordo passível de resposta.

Observe os Controles, as Evidências de Recuperação e a Aplicação Formal da Lei

Os próximos meses devem ser julgados por desenvolvimentos observáveis, e não por declarações de que a descentralização ou a aplicação da lei prevaleceu. Três sinais são os mais importantes: mudanças nos controles, evidências sobre ativos recuperáveis e ações formais que identifiquem participantes responsáveis.

A evidência decisiva dirá respeito ao que os participantes mudam e ao que os investigadores recuperam.

Primeiro, observe propostas concretas da THORChain ou mudanças implantadas que tratem de recursos ilícitos identificados. Uma discussão, por si só, estabeleceria menos do que uma implementação adotada. A evidência mais forte explicaria o escopo do controle e mostraria como os operadores o utilizam.

Uma restrição seletiva estreitaria o atual debate sobre capacidades indisponíveis. A dependência contínua de pausas amplas preservaria o equilíbrio entre intervenção e disponibilidade do serviço. Qualquer resultado deve ser avaliado com base na implantação real, e não em descrições promocionais.

As questões relevantes incluem quem autoriza restrições e como os casos contestados são revisados. Uma lista de endereços é apenas uma entrada. Sua origem, processo de atualização e mecanismo de correção determinam se o controle resultante pode funcionar de forma previsível.

Segundo, observe avaliações atualizadas de rastreamento e recuperação. Os analistas devem distinguir ativos ainda associados aos atacantes, ativos restringidos por emissores, conversões concluídas e recursos que se acredita terem alcançado canais de conversão em dinheiro. Essas categorias respondem a perguntas diferentes sobre o progresso da investigação.

Um saldo rastreado maior não significaria automaticamente que a recuperação melhorou. Um saldo visível menor não estabeleceria automaticamente uma conversão em dinheiro bem-sucedida. A metodologia e a incerteza importam tanto quanto o total da manchete.

Evidências de que recursos substanciais continuam identificáveis sustentariam o valor contínuo da análise pública de transações. Uma recuperação verificada forneceria evidência mais forte de intervenção prática. Evidências de conversão em dinheiro concluída aumentariam o escrutínio sobre os pontos em que uma ação anterior era possível.

Terceiro, observe desenvolvimentos formais de aplicação da lei que nomeiem atores e condutas específicos. Apelos públicos comunicam prioridades, mas petições judiciais ou ações oficiais podem estabelecer alegações mais precisas. Qualquer desenvolvimento desse tipo deve ser avaliado por suas alegações reais e evidências de apoio.

Uma futura ação voltada a um provedor de interface levantaria questões diferentes de uma focada em operadores de rede. Alegações envolvendo controle, coordenação ou conhecimento exigiriam sua própria base probatória. Os leitores devem resistir a tratar todas as funções de infraestrutura como equivalentes.

Esses sinais também ajudarão a avaliar a durabilidade da posição da THORChain. Uma documentação de controle mais clara fortaleceria a explicação técnica. Uma lacuna inexplicada entre as capacidades documentadas e as alegações públicas enfraqueceria a confiança nessa explicação.

Para leitores que acompanham a lavagem de dinheiro via THORChain e Binance, mantenha a investigação organizada em torno da distinção entre movimentação, controle e recuperação. Compare conclusões datadas, em vez de combinar diferentes momentos em um único total indiferenciado. Questione se uma intervenção reportada afeta uma carteira, uma rota de negociação, uma interface ou toda a rede. Para desenvolvedores e compradores de serviços, analise o comportamento de emergência de cada dependência de swap antes do próximo incidente. Identifique quem pode agir, o que essa ação interrompe e como os usuários recebem atualizações precisas. Em seguida, acompanhe os três sinais concretos: controles implementados, valores recuperáveis e medidas formais de fiscalização. Quais participantes conseguem demonstrar que suas responsabilidades declaradas correspondem aos controles que realmente operam?