A atual campanha Pixels na Binance Square/CreatorPad (15M $PIXEL recompensas) é muito recente - apenas cerca de uma semana. A Binance não relatou nenhuma violação em nível de exchange, drenagens de carteiras quentes ou violações de plataforma nesse período.7445c6
Contexto sobre a Segurança Crypto mais Ampla
Incidentes específicos da Binance: No início de 2026, houve exposições de credenciais de usuários (por exemplo, ~420k contas da Binance em um vazamento de dados de janeiro causado por malware infostealer, não uma violação direta do servidor da Binance) e outro incidente de scraping em março. Estes não foram hacks de plataforma que afetaram fundos, mas credenciais expostas de dispositivos de usuários ou fontes de terceiros. A Binance enfatizou a segurança do lado do usuário (2FA, etc.) e nenhum fundo de usuário foi perdido nesses casos. Nenhum relatório semelhante após 14 de abril.c59607
Ecossistema DeFi/cripto: 2026 viu um aumento nas explorações em geral (51+ incidentes principais até meados de abril, ~$165M+ roubados no ano até agora, segundo a PeckShield; abril sozinho teve 13+ incidentes e $600M+ em perdas, incluindo grandes como Drift Protocol ~$285M e @Kelp DAO). Muitos envolvem pontes cross-chain, flash loans ou grupos ligados à Coreia do Norte. Alguns rastreiam ou envolvem pools da Binance Smart Chain (BSC), mas essas são explorações de protocolo, não hacks da exchange Binance.
Projeto/jogo Pixels: Nenhum hack ou exploração em nível de projeto importante relatado ligado à campanha da Binance. Existem avisos típicos para usuários sobre golpes/phishing na comunidade @Pixels (ex: links falsos, drenagens de carteira), e “hacks/trapaças” não relacionados em jogos de fãs como Pixel Worlds, mas nada sistêmico afetando os principais Pixels ou a integração com a Binance.
Hacks de Cripto em Março de 2026
A PeckShield e outros analistas on-chain relataram 20 hacks/explorações importantes em março de 2026, com perdas totais de aproximadamente $52 milhões (um aumento de 96% em relação aos ~$26,5 milhões de fevereiro). A maioria dos incidentes foi menor ou não detalhada individualmente em relatórios públicos, mas os maiores e mais notáveis (que representaram a maior parte das perdas) estão abaixo.
Exploração do USR stablecoin da Resolv Labs – ~$25 milhões (março, data exata não especificada nos resumos)
Os atacantes exploraram uma vulnerabilidade no Serviço de Gerenciamento de Chaves da AWS da Resolv Labs (KMS), que lhes permitiu contornar as verificações de colateral na função completeSwap(). Eles depositaram uma pequena quantia (~$100K–$200K) e mintaram aproximadamente 80 milhões de tokens USR não garantidos. Isso causou a desvinculação do stablecoin USR (queda de preço de ~74–80%), acionando dívidas ruins sistêmicas e ondas de insolvência em protocolos DeFi interconectados como Morpho Blue, Euler e Fluid. O atacante extraiu ~$25 milhões em valor (principalmente trocando os tokens inflacionados por outros ativos) antes que os fundos fossem dispersos. Nenhum fundo foi drenado diretamente das reservas no sentido clássico—isso foi uma falha na lógica de mintagem que minou todo o mecanismo de respaldo.
Sillytuna (ataque físico + on-chain) – ~$24 milhões (final de março)
O usuário “Sillytuna” (um grande holder de aEthUSDC na Aave) foi vítima de um ataque offline/físico envolvendo sequestro e ameaças violentas. Os atacantes forçaram o acesso às credenciais ou dispositivos da vítima, e então roubaram aproximadamente $24 milhões em aEthUSDC. Os fundos foram rapidamente lavados e dispersos através de Bitcoin, Monero e múltiplas redes Layer-2 para obscurecer o rastro. Isso destacou o retorno de táticas de engenharia social/física “do mundo real” junto com explorações on-chain.
Baleia Kraken (engenharia social em usuário privado) – ~$18,2 milhões (31 de março)
Um usuário de alto valor da Kraken, detendo ~8.662 ETH, foi alvo de engenharia social (phishing/decepção para obter credenciais). O atacante transferiu os fundos; aproximadamente $1,7 milhão foi transferido via THORChain (um passo comum de ofuscação) e depositado no HitBTC, enquanto a maior parte (~5.347,9 ETH) foi diretamente para a mesma exchange. Perda total: ~$18 milhões. Isso não foi uma violação de nível de plataforma da Kraken em si, mas uma compromissada direcionada a um usuário.
Protocolo Venus – $2,18 milhões (março)
Um ataque híbrido on-chain/off-chain criou $2,18 milhões em dívida ruim. Detalhes técnicos específicos não foram publicamente detalhados além da combinação on/off-chain, mas isso contribuiu para o total do mês e destacou os crescentes riscos de vetores cruzados.
Os restantes ~16 incidentes em março foram de menor escala e não nomeados individualmente em relatórios agregados; eles compuseram o saldo do total de $52M. Temas comuns incluíram phishing, falhas em smart contracts e roubo de credenciais.
Incidente relacionado ao Binance (28–29 de março de 2026) – Nenhum fundo perdido, mas vazamento de dados de ~1,5 milhão de contas.
Isso não foi um hack direto dos servidores da Binance ou qualquer perda de fundos dos usuários. A empresa de cibersegurança VECERT relatou que um ator de ameaça (“PexRat”) estava vendendo um banco de dados de ~1,5 milhão de registros de usuários da Binance na dark web. Os dados incluíam e-mails, senhas, nomes completos, números de telefone, status KYC, status 2FA, IPs de último login, informações do dispositivo e mais. Isso resultou de uma operação de credential-stuffing/scraping que contornou o CAPTCHA e as proteções de login por meio de solicitações automatizadas—não uma violação de servidor. (Isso seguiu um incidente separado de infostealer em janeiro de 2026 envolvendo ~420K contas.) A Binance enfatizou que nenhum fundo da plataforma estava em risco e incentivou os usuários a ativar 2FA e monitorar contas. O incidente aumentou os riscos de phishing/SIM-swap, mas não foi um “ataque hack” drenando cripto.
Hacks de Cripto em Abril de 2026 (até 21 de abril)
Abril foi muito mais severo. Analistas relataram 13+ incidentes principais na primeira metade do mês, com perdas DeFi excedendo $600 milhões em aproximadamente dez protocolos em um período de duas semanas—o pior período de segurança em memória recente. Apenas alguns foram totalmente detalhados publicamente; aqui estão os proeminentes:
Drift Protocol (DEX perp Solana) – ~$285 milhões (1 de abril)
A maior exploração única de 2026 até o momento. Os atacantes (atribuídos com média confiança ao Lazarus Group / UNC4736 vinculado à Coreia do Norte) realizaram uma campanha de engenharia social de seis meses, começando no outono de 2025. Eles criaram um falso “Token CarbonVote” (CVT), semearam liquidez, negociaram de forma wash para manipular oráculos e enganaram signatários de governança/multisig a pré-assinar transações maliciosas usando o recurso de nonce durável da Solana. Em 1 de abril (começando ~16:05 UTC), eles submeteram duas transações com quatro slots de diferença, transferiram o controle administrativo, aceitaram o token falso como colateral e drenaram ~$285 milhões em ativos reais (USDC, SOL, ETH, BTC) em menos de 15 minutos. Os fundos foram trocados, transferidos para Ethereum e lavados. O protocolo pausou operações; nenhuma recuperação significativa relatada. Este foi um ataque de governança/acesso privilegiado, não um clássico bug de smart contract.
Kelp DAO (protocolo de restaking líquido) – ~$292–293 milhões (18/19 de abril)
Atualmente a maior exploração DeFi de 2026. O atacante forjou uma mensagem cross-chain através da ponte Kelp, alimentada pelo LayerZero, enganando-a para liberar 116.500 rsETH (~18% da oferta circulante do token, valendo ~$292–293M). A exploração envolveu financiar uma carteira através do Tornado Cash ~10 horas antes para criar uma instrução “legítima” falsa. Os fundos foram imediatamente trocados por ETH e divididos entre Ethereum (~$178M) e Arbitrum (~$72M). O rsETH roubado foi depositado em plataformas de empréstimo (Aave V3, Compound V3, Euler, etc.), criando mais de $236M em dívida ruim e acionando pausas de emergência/pause em múltiplas chains e protocolos (Aave, SparkLend, Fluid, Upshift). A Kelp pausou os contratos de rsETH em toda a rede enquanto investigava.
Grinex (exchange de cripto) – ~$13,74 milhões (15 de abril)
Uma exchange ligada à Rússia, baseada no Quirguistão, teve $13,74M em USDT drenados de 54 carteiras. Os fundos foram rapidamente convertidos via SunSwap. A Grinex afirmou que foi um ataque direcionado por “agências de inteligência ocidentais” e interrompeu operações, mas analistas da Chainalysis sugeriram que poderia ser um “false flag” scam de saída.
Hyperbridge – ~$237K (13 de abril)
Exploração no contrato Token Gateway permitiu que atacantes forjassem provas cross-chain e obtivessem direitos administrativos sobre o contrato do token DOT (Polkadot) na Ethereum. Um relatório relacionado mencionou a mintagem não autorizada de ~1 bilhão de tokens DOT (liquidez baixa limitou a perda real realizada). Pequeno em relação a outros, mas parte da onda de abril.
Os restantes incidentes de abril (trazendo o total DeFi para $600M+ em ~duas semanas) envolveram problemas adicionais de pontes cross-chain, explorações de protocolos de empréstimo e ataques de governança em protocolos não nomeados. Quebras individuais completas para cada evento menor ainda não estão públicas, mas o padrão mostra engenharia social sofisticada, forjamento de pontes e manipulação de oráculos/colaterais.
Principais Conclusões (até 21 de abril de 2026)
Março foi dominado por falhas de mintagem de stablecoin, engenharia social/física e ataques direcionados a usuários.
Abril escalou dramaticamente com explorações de governança e pontes cross-chain, empurrando as perdas acumuladas de 2026 bem acima de $165M (pré-abril) e para centenas de milhões a mais.
Nenhum grande drenagem de fundos em nível de exchange da Binance ou hacks de plataforma ocorreu em março-abril. O vazamento de dados de março foi relacionado apenas a credenciais. A Binance tem um forte histórico com o SAFU (Secure Asset Fund for Users) cobrindo incidentes passados (como o hack de BTC de 2019), e nenhum evento desse tipo foi necessário recentemente. Sempre use práticas de segurança robustas, especialmente durante campanhas: ative 2FA, evite links suspeitos e negocie apenas em plataformas oficiais.
Muitos ataques estão ligados a atores estatais (ex: DPRK) ou ameaças persistentes avançadas usando preparação de meses.
Esses números vêm da PeckShield, Chainalysis, anúncios de projetos e analistas on-chain. A segurança cripto permanece altamente dinâmica—sempre verifique fontes oficiais e use carteiras de hardware/2FA.