Uma empresa que vende a peso de ouro para polícias, serviços de inteligência e exchanges as ferramentas para pegar criminosos de cripto não conseguiu proteger o próprio quintal. A Chainalysis admitiu oficialmente: um atacante externo obteve acesso não autorizado aos seus sistemas e ferramentas internas e, em seguida, extraiu dados dos usuários da plataforma. A confissão saiu em 30 de outubro, exatamente no mesmo dia em que a mesma Chainalysis, com ares de oráculo onisciente, apontou o culpado pelo maior roubo da história das criptomoedas: segundo a versão dela, cerca de US$ 6,4 bilhões foram levados das carteiras da Binance pelo grupo norte-coreano TraderTraitor.
Quando você começa a ler os detalhes divulgados pela própria empresa, a precisão de detetive evapora. Diz-se apenas que a invasão foi notada “neste mês”. O atacante levou IDs de usuário, nomes completos, endereços de e-mail de trabalho e cargos dentro das organizações, inclusive dos clientes que agora recebem as cartas nada animadoras da Chainalysis. Segundo a empresa, algumas vítimas já tinham sido avisadas antes, de forma reservada. Quantos registros vazaram no total e quais contas foram saqueadas, os maiores analistas do planeta ainda não contaram: a cada cliente prometem um detalhamento individual “assim que a análise for concluída”. Os buracos por onde o invasor entrou estão sendo tapados com o carro andando.
Enquanto isso, o relatório público tem um vazio enorme no lugar de todas as perguntas principais: em que dia exatamente a invasão foi descoberta, por quantas semanas o atacante fez o que quis dentro da rede, por qual vulnerabilidade ele entrou e de quais “ferramentas internas” chegou a se servir. Nenhum número, nenhuma data, nenhum fato técnico sequer.
A Chainalysis chama, em tom tranquilizador, as informações roubadas de “não sensíveis”. Soa simpático, se você esquecer quem compra o software dela: os principais clientes da empresa são órgãos de segurança pública, agências tributárias e de inteligência, exchanges de cripto e bancos. Nomes completos, e-mails funcionais e cargos de investigadores de crimes cripto na ativa não são uma “miudeza não sensível”, e sim uma agenda de ouro pronta para phishing direcionado e chantagem. A própria Chainalysis sabe muito bem disso: no mesmo texto, pede encarecidamente aos clientes que não confiem em e-mails inesperados de redefinição de senha, em notificações push para confirmar login nem em golpistas que ligam em nome de funcionários da empresa.
A culpa é da IA, e a Binance não tem nada a ver com isso
A explicação oficial para o fiasco é um capítulo à parte. Começa com o clássico “aconteceu com todo mundo”: a Chainalysis teria sido atingida “como muitas outras plataformas de tecnologia nas últimas semanas”, ou seja, hoje em dia todo mundo é hackeado, não sejam tão duros. Depois entra a artilharia pesada do marketing: a culpa é de um “aumento, em todo o setor, de ataques cibernéticos impulsionados por IA” e de umas tais “técnicas agênticas ofensivas”. Que agente, quem o lançou, como uma inteligência artificial passou pelo perímetro de uma empresa especializada em segurança — nem meia palavra. Em compensação, prometem tratar o rombo com o mesmo pozinho da moda: para a revisão, chamaram consultores externos e “sofisticados modelos de linguagem de grande porte”. A IA invadiu, então que a IA fique de guarda.
Duas vezes, em seu texto curtinho, a empresa ressalta nervosamente que esta invasão não tem nenhuma relação com o roubo de bilhões da Binance. Acreditamos de bom grado. A ironia está em outro lugar. Quando limparam a exchange alheia, bastaram oito horas para os especialistas da Chainalysis emitirem um diagnóstico preciso, com direito a país definido: as saídas de fundos começaram em 29 de outubro, às 16h20 no horário de Nova York, e já à 0h30 o mundo foi apresentado à Coreia do Norte. Ontem analisamos em detalhe como é conveniente jogar qualquer rombo bilionário na conta das maquinações de Pyongyang. Mas bastou alguém entrar nos próprios servidores da Chainalysis para a lendária visão dos detetives se desligar na hora: o invasor não tem bandeira, nem grupo, nem rastros, a não ser a palavra nebulosa “agêntico”.
Mais engraçado ainda é o malabarismo com as palavras em torno das senhas. No topo do comunicado, a empresa relata com entusiasmo que não encontrou nenhum indício de acesso a “credenciais de autenticação”. Mas, alguns parágrafos depois, na carta aos clientes, a formulação emagrece discretamente: lá se diz apenas que o atacante não chegou às senhas “em texto puro”. Ou seja, os hashes das senhas, é de se supor, podem muito bem ter ido parar em lugar desconhecido — sem falar na pergunta de por que uma empresa de cibersegurança, em 2026, ainda menciona “senhas em texto puro” como uma categoria à parte. E o conselho final aos clientes, “ativar a autenticação de dois fatores caso sua organização ainda não tenha feito isso”, entrega sem querer um segredo de polichinelo: numa plataforma fechada para forças de segurança e investigadores financeiros, até hoje dava para trabalhar tranquilamente sem o segundo fator.
Como a segurança de verdade é substituída por uma vitrine de certificados e slogans bonitos, já mostramos na nossa análise da Vanta. A vitrine da Chainalysis segue todos os cânones do gênero: “especialistas de classe mundial”, “abordagem de toda a empresa”, “reforço da postura de segurança”. Só falta a resposta às perguntas simples: quantos registros foram levados, quantos dias o intruso ficou lá dentro e por qual porta entrou. No fim das contas, a cena é digna de quadro: uma empresa que, seguindo a blockchain, acha em oito horas um rastro norte-coreano no bolso alheio só consegue dizer sobre a invasão da própria cozinha que a culpa é de uma IA sem rosto, que a Binance com certeza não tem nada a ver com isso e que vazaram apenas nomes, e-mails e cargos de pessoas cujo trabalho é pegar hackers.