Hack da Binance 2026: O Que Aconteceu e Como se Proteger

A 29 de outubro de 2026, o mundo acordou com o maior roubo de criptomoedas alguma vez registado. Segundo a Binance e a empresa de análise de blockchain TRM Labs, cerca de 6,3 mil milhões de dólares saíram das carteiras da Binance em dez blockchains, a maior parte em cerca de 20 minutos. O hack da Binance é aproximadamente quatro vezes maior do que o ataque à Bybit em fevereiro de 2025, que detinha o recorde até esta semana.

O detalhe mais importante não é o valor. É a forma como tudo começou: um único portátil de um funcionário comprometido. Isso faz do hack da Binance uma lição para todas as empresas, não apenas para as plataformas de criptomoedas. E não foi um caso isolado. Na mesma quinzena, atacantes começaram a explorar uma vulnerabilidade crítica do PHP conhecida como PHP2Shell, e várias empresas revelaram fugas de dados que afetam milhões de pessoas.

Neste artigo explicamos o que aconteceu no ataque à Binance, o que a vulnerabilidade PHP significa para qualquer empresa com um website, e as boas práticas de cibersegurança que o protegem do mesmo tipo de ataque. A informação está atualizada a 30 de outubro de 2026; a investigação continua em curso.

Hack da Binance: os factos principais

• O quê: cerca de 6,3 mil milhões de dólares em criptomoedas roubados das carteiras da Binance, o maior hack de criptomoedas da história.
• Quando: 29 de outubro de 2026, com a maior parte dos fundos movimentada em cerca de 20 minutos.
• Como: um portátil de um funcionário comprometido deu ao atacante acesso a um serviço interno capaz de submeter levantamentos.
• Quem: os analistas da TRM Labs atribuem o ataque ao TraderTraitor, um grupo ligado ao Estado norte-coreano. Ainda não há atribuição oficial.
• Clientes: a Binance suspendeu depósitos e levantamentos e afirma que vai cobrir todas as perdas. A Tether e a Circle congelaram parte dos fundos roubados.

O que aconteceu no hack da Binance?

A Binance afirma que a intrusão começou no portátil de um funcionário. A partir desse equipamento, o atacante chegou a um contentor de serviço interno e conseguiu submeter transações de levantamento não autorizadas. Ou seja, ninguém "partiu a blockchain". O atacante entrou através de um dispositivo de confiança e usou os próprios sistemas da empresa para movimentar o dinheiro.

A Binance suspendeu depósitos e levantamentos durante a investigação e garantiu que vai cobrir as perdas dos clientes. Os emissores de stablecoins Tether e Circle congelaram fundos ligados ao ataque. Os valores congelados variam entre fontes, de cerca de 2,5 a mais de 4 mil milhões de dólares, e deverão mudar à medida que a recuperação avança. A Bitcoin caiu cerca de 5% nas horas seguintes à notícia.

Quem está por trás do ataque à Binance?

A TRM Labs atribui o hack da Binance ao TraderTraitor, um grupo de hackers norte-coreano associado à atividade do Lazarus Group, e a Chainalysis terá chegado a uma conclusão semelhante. Nenhum governo o confirmou oficialmente, por isso deve ser tratado como uma avaliação sólida de analistas e não como um facto provado.

O método segue um padrão bem conhecido. Estes grupos raramente atacam a tecnologia de frente. Atacam pessoas: falsas ofertas de emprego enviadas a programadores, ficheiros armadilhados e equipamentos de trabalho que podem ser comprometidos em silêncio. O ser humano e o equipamento falham primeiro.

A verdadeira lição: um portátil foi a porta de entrada

A maior lição de cibersegurança do hack da Binance é simples. Um único portátil desprotegido ou comprometido pode abrir a porta a toda uma organização. Isto é verdade para uma plataforma global e é igualmente verdade para uma empresa de 20 pessoas no Algarve.

Cada portátil, computador e telemóvel com acesso aos dados da empresa precisa de proteção endpoint moderna com deteção e resposta, e não apenas de um antivírus básico. Tem de ser gerido de forma centralizada, atualizado automaticamente e isolado em minutos quando algo parece errado. É exatamente isso que instalamos e gerimos para os nossos clientes com o ESET PROTECT.

PHP2Shell: a vulnerabilidade PHP que todos os donos de websites devem corrigir

Enquanto as manchetes se focavam no hack da Binance, uma segunda notícia afetava muitas mais empresas. A 21 de outubro de 2026, o projeto PHP lançou correções de emergência para duas falhas críticas de execução remota de código, agora conhecidas como PHP2Shell. Os detalhes foram divulgados dois dias antes do previsto, o que obrigou a um lançamento apressado.

O que são as CVE-2026-109618 e CVE-2026-109619?

São duas vulnerabilidades no próprio PHP, ambas classificadas com 9,2 em 10 de gravidade pelo projeto PHP. Ambas podem permitir a um atacante executar o seu próprio código num servidor sem iniciar sessão. A 26 de outubro, a agência norte-americana de cibersegurança (CISA) adicionou-as ao seu catálogo de Vulnerabilidades Exploradas Conhecidas, o que significa que estão a ser usadas ativamente por atacantes. Investigadores da watchTowr e da Cloudflare também reportaram tentativas de exploração.

Porque é que a vulnerabilidade PHP importa para a sua empresa

O PHP alimenta uma enorme parte da web: WordPress, WooCommerce, muitas lojas online e inúmeras aplicações empresariais à medida. Se o seu website corre numa versão de PHP sem a correção, um atacante pode roubar dados de clientes, desfigurar o site, distribuir malware aos seus visitantes ou usar o servidor como ponto de entrada para o resto da rede.

Como corrigir o PHP2Shell

• Atualize o PHP para 8.5.12, 8.4.27, 8.3.36 ou 8.2.35 (ou superior). Atualizar é a única correção completa.
• Pergunte hoje ao seu fornecedor de alojamento ou agência web que versão de PHP o seu site utiliza.
• Continue a acompanhar os avisos oficiais do PHP: uma falha relacionada, a CVE-2026-115560, foi publicada a 23 de outubro e não é corrigida por essas atualizações.
• Verifique os registos do servidor em busca de atividade suspeita desde meados de outubro, quando surgiram os primeiros sinais de exploração.

Outros ciberataques e fugas de dados em outubro de 2026

O hack da Binance e o PHP2Shell são as manchetes, mas outubro de 2026 foi um dos meses mais intensos em ciberataques deste ano:

• Sony So-net (Japão): uma fuga de dados que afeta cerca de 2,5 milhões de registos de clientes do fornecedor de internet.
• Railway: a plataforma cloud avisou que chaves de API e segredos guardados em variáveis de ambiente foram comprometidos e pediu a todos que os revogassem.
• ConnectWise: uma intrusão terá exposto credenciais usadas para aceder a organizações que fazem cópias de segurança dos seus dados Microsoft 365.
• PingCAP: a empresa de bases de dados revelou que um grupo de extorsão teve acesso aos seus sistemas durante um mês.

O ponto em comum não é tecnologia exótica. São credenciais roubadas, software desatualizado, segredos expostos e atacantes que ficam semanas dentro das redes antes de alguém dar por isso.

8 boas práticas de cibersegurança depois do hack da Binance

Não precisa de ser uma plataforma de criptomoedas para ser um alvo. A maioria dos ataques é oportunista: análises automáticas à procura de um servidor PHP desatualizado, de uma palavra-passe reutilizada ou de um portátil sem proteção. Estas são as boas práticas de cibersegurança que recomendamos a todas as empresas.

1. Atualize depressa, a começar pelos sistemas expostos à internet

Atualize PHP, WordPress, plugins, firewalls e VPN assim que forem lançadas correções críticas. Vulnerabilidades como o PHP2Shell são exploradas em dias, não em meses.

2. Proteja todos os equipamentos

Use uma plataforma de proteção endpoint profissional, gerida centralmente e com deteção e resposta, em todos os equipamentos com acesso aos dados da empresa. O hack da Binance começou num único portátil. O ESET PROTECT é a plataforma que usamos com os nossos clientes.

3. Ative a autenticação multifator em tudo

E-mail, Microsoft 365, banco, painéis de alojamento, acesso remoto e áreas de administração. Prefira aplicações de autenticação ou chaves físicas em vez de códigos por SMS. As nossas soluções de segurança de e-mail empresarial incluem autenticação multifator e proteção contra phishing.

4. Aplique o privilégio mínimo e a regra dos quatro olhos

Cada colaborador deve ter acesso apenas ao que a sua função exige, e ninguém deve conseguir movimentar dinheiro, exportar dados ou alterar sistemas de produção sozinho. Uma auditoria informática mostra rapidamente quem tem acesso a quê.

5. Guarde os segredos corretamente e renove-os

Chaves de API, palavras-passe e tokens nunca devem estar em documentos partilhados ou ficheiros simples. Depois de qualquer aviso de intrusão de um fornecedor, como no caso da Railway, renove as credenciais de imediato.

6. Forme as suas pessoas

E-mails de phishing, falsas ofertas de emprego e anexos maliciosos continuam a ser a principal porta de entrada. Formações curtas e regulares de sensibilização para a segurança são um dos controlos mais baratos e eficazes que pode ter.

7. Mantenha cópias de segurança testadas e offline

Mantenha pelo menos uma cópia offline ou imutável e teste realmente a sua reposição. As cópias de segurança são a última linha de defesa contra o ransomware. Fale connosco sobre backups ao planear as suas soluções cloud.

8. Tenha um plano de resposta a incidentes

Mesmo um plano de uma página ajuda: quem decide, quem contacta clientes e autoridades, e que parceiro investiga. A nossa equipa de consultoria de TI pode ajudá-lo a escrevê-lo e testá-lo.

Como se manter atualizado sobre novos ataques e vulnerabilidades

Estar informado faz parte de estar protegido. Siga fontes oficiais, não rumores nas redes sociais:

• O catálogo CISA Known Exploited Vulnerabilities, a melhor lista das falhas que os atacantes estão realmente a usar.
• O Centro Nacional de Cibersegurança (CNCS), a referência oficial em Portugal.
• Os avisos de segurança do software que utiliza, como PHP, WordPress e Microsoft.
• As notificações de segurança dos seus fornecedores, para saber diretamente de intrusões como as da Railway ou da ConnectWise.

Se tem criptomoedas, siga apenas a página de estado e os comunicados oficiais da sua plataforma. Nos dias a seguir a um grande ataque como o hack da Binance, os burlões enviam e-mails falsos de "reembolso" e "verificação de conta" para aproveitar a confusão. Nunca introduza as suas credenciais através de um link recebido por e-mail ou mensagem.

Hack da Binance: perguntas frequentes

Quanto foi roubado no hack da Binance?

A Binance estima cerca de 6,3 mil milhões de dólares e a TRM Labs cerca de 6,36 mil milhões, o que faz deste o maior hack de criptomoedas da história. Uma parte significativa foi entretanto congelada pelos emissores de stablecoins, e os valores ainda podem mudar.

O meu dinheiro está seguro na Binance?

A Binance afirmou que vai cobrir todas as perdas dos clientes, e os primeiros comentários de analistas indicam que a intrusão não cria um risco relevante de solvência. Use apenas os canais oficiais da Binance e ignore mensagens não solicitadas a oferecer reembolsos ou recuperação de fundos.

O que é o PHP2Shell?

PHP2Shell é o nome dado a duas vulnerabilidades críticas do PHP, a CVE-2026-109618 e a CVE-2026-109619, que permitem execução remota de código e estão a ser exploradas ativamente. A correção é atualizar o PHP para 8.5.12, 8.4.27, 8.3.36, 8.2.35 ou superior.

Um ataque destes pode acontecer a uma pequena empresa?

Sim. O hack da Binance começou num único portátil comprometido, e o PHP2Shell afeta websites empresariais comuns. As pequenas e médias empresas são alvos frequentes precisamente porque muitas vezes não têm proteção endpoint, rotinas de atualização nem formação em segurança.

Como a Strong Answer protege a sua empresa

O hack da Binance prova que até organizações com enormes orçamentos de segurança podem ser atacadas através de um único ponto fraco. A boa notícia: a maioria dos ataques contra pequenas e médias empresas é travada quando os fundamentos estão bem feitos. É isso que a nossa equipa de cibersegurança faz por empresas em Portugal e no Algarve:

• Avaliação de segurança: encontramos os seus pontos fracos antes dos atacantes.
• Testes de intrusão externos aos seus websites e sistemas expostos à internet.
• Formação de sensibilização para a segurança para que a sua equipa reconheça phishing e engenharia social.
• Proteção endpoint gerida com o ESET PROTECT em todos os equipamentos.
• Manutenção de websites e atualizações de PHP pela nossa equipa web.
• Suporte informático contínuo da nossa equipa de suporte técnico quando algo parece errado.