Escrito por: immrape
Compilado por: AididiaoJP, Foresight News
Este artigo descreve padrões estatísticos no comportamento de contas públicas. As afiliações a "campos" mencionadas no texto baseiam-se em sinais de afinidade ecológica visíveis no conteúdo público e nos padrões de interação das contas; são inferências e não constituem uma acusação de que qualquer instituição ou indivíduo tenha contratado ou dirigido outras pessoas. "Coordenação" aqui é um conceito de ciência comportamental, não uma conclusão jurídica de conluio. Este artigo não veicula conteúdo que contenha insultos ou ataques pessoais; qualquer instituição ou indivíduo nomeado ou envolvido no texto pode responder aos dados e às inferências.
Principais Descobertas
- Escala: Em aproximadamente 78 horas após o incidente, 1.083 contas da amostra publicaram 11.700 tweets hostis direcionados à Binance, totalizando aproximadamente 20,93 milhões de impressões. Destes, 79,6% não eram publicações independentes, mas respostas anexadas às publicações de outros; outros 3.354 foram verificados um a um como informações falsas e classificados em 15 tipos de boatos.
- Ritmo: O conteúdo hostil não era um desabafo emocional que decaiu naturalmente após o incidente. Ele trocou de tema em sincronia com cada uma das ações públicas da Binance: após a promessa de compensação, o tópico mudou para "insiders"; após a divulgação da escala do impacto e da investigação preliminar, mudou para "insolvência" e "operação amadora"; após o anúncio do cronograma de saques, mudou para "mobilização para corrida bancária"; após a retomada dos saques, mudou para "as saídas são exageradas" e "desviando tráfego para concorrentes".
- Coordenação: Entre as 641 contas mais ativas, 452 tinham relações de coordenação observáveis com outras contas, totalizando 1.186 links par a par. 444 contas formaram uma rede conectada, agrupadas automaticamente em 11 grupos, com diferenças claras em linguagem, tópicos e estilo de coordenação—apresentando vários "campos" relativamente independentes.
- Dormência–ativação: 964 contas (89%) quase nunca mencionavam a Binance normalmente, com média não superior a 0,2 publicações por dia, mas foram ativadas coletivamente durante o incidente, com frequência de postagem 24,6 vezes a linha de base. Destas, 116 também haviam aparecido em duas controvérsias anteriores relacionadas à Binance.
- Propósito: As informações falsas concentraram-se em três categorias: negar a autenticidade do incidente (encenado/insiders), negar a solvência (insolvente/segunda FTX) e negar a disponibilidade de saques (medo de abrir saques/colapso assim que abrirem). Todas as três apontam para o mesmo desfecho comportamental: instar os usuários a sacar suas moedas no momento em que mais precisam manter a calma.
- O outro lado: Os dados também mostram que o alcance foi impulsionado principalmente por algumas poucas contas de topo: contas com mais de 50.000 seguidores publicaram apenas 6,2% dos tweets negativos, mas responderam por 68,0% das impressões; as 134 contas com as pontuações mais altas sob as regras de troll juntas responderam por apenas 0,6% das impressões. Focar apenas em contas pequenas subestimaria esta operação, e tratar todos os críticos como trolls seria igualmente errado.
CZ e He Yi disseram várias vezes que a Binance sofreu ataques organizados à reputação. A reação habitual do setor é zombar—toda exchange que entra em apuros parece dizer isso. O ponto de partida deste artigo não é defender ninguém, mas responder a uma pergunta que os dados podem testar: depois que a Binance foi hackeada, aquelas vozes no X que a difamavam, questionavam ou até insultavam eram uma expressão natural do sentimento do varejo, ou havia alguém organizando, dividindo tarefas e dirigindo-as? A resposta da revisão é: ao lado de um incidente de segurança real, havia de fato uma operação observável de narrativa em redes sociais correndo em paralelo, com ritmo e divisão de trabalho. Seu alvo não era apenas a Binance, mas também cada usuário comum que abriu o X naqueles dias querendo saber se seus ativos estavam seguros.
I. O Incidente: O que a Binance Fez em 78 Horas
Nas primeiras horas de 30 de outubro de 2026, uma hot wallet da Binance foi atacada, envolvendo aproximadamente US$ 6,3 bilhões em ativos, o maior incidente de segurança da história da indústria cripto medido em dólares americanos. A tabela abaixo lista os principais marcos públicos de resposta nas 78 horas seguintes, todos em UTC+8, e foi verificada um a um em relação aos carimbos de data e hora incorporados nos IDs dos tweets.
Linha do tempo principal de resposta da Binance (UTC+8)
A linha do tempo em si não é complicada: confirmar, estancar o sangramento, conter, reabastecer, verificar, recuperar. A resposta de crise de qualquer instituição financeira consiste neste conjunto padrão de ações. Mas quando a discussão contemporânea sobre a Binance no X é sobreposta a essa linha do tempo, o quadro se torna completamente diferente.
Volume de ataques contra as medidas de resposta da Binance (por hora). As linhas tracejadas marcam os eventos marcantes da Binance; as barras mostram o número de tweets maliciosos por hora, com informações falsas exibidas em vermelho.
Eventos-chave do lado atacante (imagem superior; o tamanho do ponto representa impressões) e medidas de resposta da Binance (imagem inferior), apresentados segmento por segmento. A imagem superior concentra-se nas primeiras 20 horas após o incidente; a imagem inferior cobre o tempo restante.
II. Método: Como Definir "Ataque" e Como Excluir Críticas
Primeiro, deixemos claro o que este artigo não estuda. Após o incidente, um grande número de usuários expressou preocupação nas redes sociais, perguntou sobre o progresso, criticou a velocidade da resposta e descreveu suas experiências de saques travados. Isso é normal, até saudável. Quando um custodiantes de plataforma com ativos de centenas de milhões de usuários sofre um acidente, o pânico e o questionamento são totalmente razoáveis.
A análise exclui deliberadamente quatro tipos de conteúdo: pânico e preocupação normais com os fundos na fase inicial do incidente; perguntas de acompanhamento razoáveis, como quando a prova de reservas será publicada e por que os saques de determinado token ainda não foram abertos, sem conclusões maliciosas; reportagens factuais e dados on-chain; e insatisfação genuína de usuários reais.
Os dados deste artigo foram coletados pelo autor nos três dias após o incidente. Com o auxílio de ferramentas de IA, foi realizada uma varredura em lote das contas que participaram de discussões relacionadas à Binance no X durante o incidente. Desde que pelo menos uma das seguintes condições verificáveis fosse atendida, a conta era incluída na amostra: publicar repetidamente informações falsas falsificáveis; insultar, ameaçar ou atacar pessoalmente indivíduos; publicar de forma concentrada e repetida conteúdo hostil homogêneo sob múltiplas postagens não relacionadas; e demonstrar coordenação estável com outras contas da amostra. Para cada conta da amostra, foram mantidos o fundamento da inclusão e o link original, resultando em uma amostra final de 1.083 contas.
Com base nisso, foram coletadas todas as postagens originais e respostas relacionadas à Binance publicadas por essas contas durante o incidente (das 05:00 de 30 de outubro às 20:00 de 2 de novembro). Após excluir retuítes puros, foram obtidos 11.700 tweets de 1.083 contas, totalizando 20,93 milhões de impressões. Destes, 3.354 foram julgados um a um como falsos e classificados em 15 tipos de rumores.
Em relação à coordenação, seis sinais observáveis foram calculados para cada par de contas: se apareciam na seção de comentários da mesma postagem; se se @mencionavam ou respondiam entre si; se se seguiam mutuamente; se havia seguimento unilateral; se interagiam com a mesma terceira conta em uma janela curta; e se publicavam conteúdo quase idêntico. Um único sinal pode ser coincidência, mas quando múltiplos sinais se acumulam repetidamente para o mesmo par de contas, a coincidência se torna difícil de explicar. A seção de rede de coordenação concentra-se nas 641 contas mais ativas durante o incidente, com janela de observação das 20:00 de 30 de outubro às 20:00 de 2 de novembro.
Deve-se notar: este artigo só pode observar comportamento público e não pode, nem tenta, determinar a identidade real ou as fontes de financiamento de qualquer conta.
III. Ritmo: Os Ataques Seguem as Respostas, Não as Emoções
Se o ruído negativo nas redes sociais fosse meramente usuários desabafando, deveria ser uma curva relativamente simples: um pico acentuado após o incidente, seguido de um declínio lento à medida que as informações se tornam mais claras. Mas os dados mostram que os temas do conteúdo hostil continuavam mudando, e cada mudança seguia de perto uma ação pública da Binance — às vezes até se antecipando a ela.
Número de postagens por hora por contas hostis no primeiro dia (linha sólida) e a proporção de desinformação (linha tracejada)
As Primeiras Horas: O Pânico Domina, as Teorias da Conspiração Estão Dispersas
Após o incidente nas primeiras horas de 30 de outubro, a discussão na plataforma explodiu, com o tom principal sendo pânico e curiosidade: o dinheiro ainda está lá, quem fez isso e qual a magnitude. Entre as contas da amostra, alegações de "armação própria" e "insider" apareceram dentro de uma hora após a notícia ser divulgada, mas a maioria eram perguntas dispersas e hesitantes, com uma formulação típica sendo "Será que isso pode ser um insider?" Nesta fase, a desinformação representou cerca de 30% da produção da amostra, com o restante sendo majoritariamente expressão emocional e informações repassadas.
Houve apenas alguns nós identificáveis no período inicial: às 05:06, uma conta repassou que "a Tether congelou 971 milhões, a Binance ainda não emitiu um comunicado"—o ponto de ataque não era o valor, mas o silêncio; às 05:13, uma postagem dizendo "Não dá para sacar, acabou" recebeu 181 comentários, o maior entre as postagens negativas. Isso era mais um alarme em um vácuo de informação do que uma narrativa sistemática.
Após a Promessa de Compensação: As Teorias da Conspiração Entram em Cena
Às 08:13, a Binance anunciou que assumiria todas as perdas. Pelo bom senso, isso deveria ter feito os usuários ansiosos respirarem aliviados. Mas nos dados, a narrativa de "armação própria / insider / cúmplice" entrou em sua fase mais densa justamente após esse nó, atingindo 9,3 postagens por hora na fase subsequente de "estimativa de perdas e investigação preliminar", o maior índice para essa narrativa em todo o seu ciclo.
O ponto de virada foi por volta das 10h daquele dia. Às 10:11, uma conta em chinês publicou que "a Binance enviou 50 autorizações 7702 no dia 14, uma entrou em vigor, muito provavelmente com cooperação de insider", o que recebeu 342.000 impressões, tornando-se a postagem mais amplamente disseminada e mais enganosa desta fase, 14 minutos antes da divulgação do caminho do ataque pela Binance às 10:25. A lógica dessa narrativa merece ser desmontada separadamente: se a Binance está disposta a compensar, então o dinheiro era originalmente dela; se o hacker não levou BNB, então foi um insider; se o congelamento veio tão rápido, então houve preparação antecipada. Todo fato que deveria ter provado uma resposta eficaz foi reinterpretado como evidência de um crime. Esta é uma narrativa infalsificável—qualquer refutação pode ser encaixada no quadro de "reação exagerada".
Após a Divulgação da Escala do Impacto e da Investigação Preliminar: "Prestes a Colapsar" e "Operação Amadora"
Às 10:25, a Binance divulgou uma escala de impacto de cerca de 6,3 bilhões de USD e a investigação preliminar. Depois disso, narrativas de "fugiu", "colapso", "insolvência" e "o próximo FTX" se expandiram rapidamente, atingindo uma média de 6,9 postagens por hora na fase subsequente de "início da recapitalização" (das 11:00 de 30 de outubro às 14:30 de 31 de outubro). Essa narrativa totalizou 465 postagens, de 219 contas, com cerca de 3,17 milhões de impressões, tornando-se a narrativa única com maior exposição neste evento.
Vale notar a relação entre essa narrativa e a suspensão dos saques. Suspender os saques antes que um incidente de segurança seja totalmente investigado é prática padrão para evitar a propagação de perdas; restaurar precipitadamente os saques antes que o caminho do ataque seja completamente bloqueado poderia convidar um segundo ataque. Mas na narrativa do ataque, a suspensão dos saques foi uniformemente interpretada como "sem dinheiro" ou "medo de abrir", e foi usada como alavanca para exigir que a Binance "abrisse os saques imediatamente".
A investigação preliminar mencionou que "o laptop de um engenheiro DevOps pode ter sido comprometido". Apenas três minutos depois, às 10:28, surgiram refutações: "Um laptop consegue drenar 6,3 bilhões?" A narrativa de "tecnologia fraca" e "operação amadora" atingiu 4,2 postagens por hora nesta fase, duas a quatro vezes a de outras fases. Alguns conteúdos de alta exposição reprocessaram as conclusões da investigação—transformando "pode envolver" em conclusão definitiva, ou extrapolando alegações não verificadas como "mais de uma carteira foi comprometida" e "BTC também foi perdido", com postagens individuais ultrapassando 100.000 impressões.
Na noite de 1º de novembro, um boato começou a circular nas comunidades de língua chinesa e inglesa: um engenheiro de operações da Binance teria tido um envolvimento amoroso com uma espiã norte-coreana e deixado seu laptop de lado no dia do incidente. O autor pesquisou no X por postagens relacionadas desde 30 de outubro: a versão mais antiga rastreável apareceu às 21h22 de 1º de novembro, publicada por uma conta de agregação de notícias em inglês com cerca de 7.000 seguidores, na forma de um flash de notícias em letras maiúsculas, alegando que a informação vinha do detetive on-chain ZachXBT. A postagem recebeu cerca de 634.000 visualizações, 4.458 curtidas, 258 repostagens e 367 respostas. Cerca de 1,5 hora depois, um KOL de língua inglesa com cerca de 700.000 seguidores a repostou sob o título "O hack da Binance pode envolver um insider", com cerca de 63.000 visualizações. A versão em chinês apareceu por volta das 21h49, seguida por um grande número de versões traduzidas com redação quase idêntica, a maioria começando com "Nova alegação não confirmada afirma..."
Por volta de 1h da manhã de 2 de novembro, He Yi respondeu publicamente: "Essa história é mais dramática, mas não é verdadeira, e ZachXBT também não disse isso." O flash de notícias em inglês que repostou a negação recebeu cerca de 69.000 visualizações. Mas, após a negação, a disseminação na comunidade chinesa não parou. Na manhã de 2 de novembro, uma conta chinesa com cerca de 96.000 seguidores continuou postando, começando com "O maior roubo financeiro da história, o elo mais absurdo pode não ser o código, mas um romance", com cerca de 12.000 visualizações e 42 respostas; outra conta com cerca de 90.000 seguidores postou sob o título "O drama de espionagem de uma espiã norte-coreana 'seduzindo' um engenheiro da Binance", com cerca de 7.600 visualizações; uma conta central no Cluster 1 da rede coordenada também postou às 08h43 alegando "Corre o boato de que um engenheiro de DevOps se apaixonou por uma espiã norte-coreana", com cerca de 3.000 visualizações, apenas acrescentando a negação de He Yi ao final. Alguns usuários chineses também notaram a anomalia, postando que "Ultimamente fico vendo postagens idênticas... todas conteúdo de preenchimento gerado por IA, repetidamente postadas com alterações."
Para ser justo: a conta de origem deste boato não está dentro da amostra. De acordo com os critérios da amostra, o conteúdo relacionado foi de cerca de 68 postagens com cerca de 230.000 impressões, e as contas da amostra participaram de forma limitada. Ele está listado aqui porque reforçou a narrativa de "tecnologia fraca" — a primeira deu à segunda uma casca de história mais disseminável.
Depois que o cronograma foi anunciado: o período de espera foi reescrito como "atraso"
Às 23h23 de 30 de outubro, He Yi divulgou um vídeo dando um cronograma de recuperação de 42 horas; às 12h48 de 1º de novembro, a Binance anunciou o horário de restauração de saques da primeira fase. Em um ambiente de informação normal, esse era o momento em que os usuários mais deveriam ter respirado aliviados. O lado atacante empurrou duas linhas ao mesmo tempo.
Uma linha reescreveu a espera como atraso e retratou a garantia como fraude. Uma das principais fontes da narrativa inglesa de "encenação própria" postou às 12h26 de 31 de outubro que "a Binance falsificou um hack de bilhões de dólares para se esquivar das responsabilidades com os clientes", recebendo 279.000 impressões; a narrativa de "insider" também ganhou uma nova leitura: anunciar o horário de saque era meramente uma "tática de atraso" para "facilitar a transferência de ativos". A outra linha clamava por "correr assim que a porta abrir": já às 22h38 de 30 de outubro, uma conta que teve 36 interações de resposta com outra conta atacante em três dias postou em letras maiúsculas: "No momento em que a Binance restaurar os saques, transfira imediatamente seus fundos para fora" — quase 40 horas antes de os saques realmente serem retomados; às 20h22 de 31 de outubro, outra conta escreveu: "Suponha que a Binance abra os saques... ela fechará novamente em breve, desencadeando um ciclo vicioso e uma corrida bancária, e entrará em colapso diretamente!" Não declarava fatos, mas preparava trilhos emocionais com antecedência para que os leitores deslizassem automaticamente para eles quando os saques abrissem.
Quando os saques foram retomados: a mobilização para corrida bancária atingiu o pico
O conteúdo de mobilização — "saia agora", "saque no primeiro minuto em que puder", "corrida bancária" — disparou para 11,2 postagens por hora no estágio de "restauração faseada" (das 14h00 às 16h12 de 1º de novembro), mais de quatro vezes a média dos quatro estágios anteriores, e também a maior intensidade de um único estágio entre todas as narrativas neste evento. Duas narrativas cooperaram aqui: uma criou a urgência de "deve sair imediatamente", e a outra explicou "por que as declarações oficiais não são confiáveis".
Rotação de narrativas: número de tweets hostis por hora em cada estágio. Cada linha representa um tipo de narrativa; quanto mais escura a cor, mais próxima essa narrativa está de seu pico naquele estágio, e diferentes narrativas atingem o pico em estágios diferentes.
Após a retomada dos saques: exagerando as saídas, desviando tráfego para concorrentes
Após a retomada dos saques, o foco do conteúdo hostil mudou para os dados de saída. Às 02:02 de 2 de novembro, CZ divulgou que as saídas líquidas nas 12 horas após a restauração dos saques foram de 2,1%. Apenas seis minutos depois, às 02:08, uma conta de alta frequência em inglês publicou que "a Binance está registrando hoje sua maior saída líquida da história, -4,25 bilhões de USD", e em seguida publicou uma versão em chinês: "Nas últimas 12 horas... a saída líquida atingiu um recorde de 4,36 bilhões de USD", acompanhada da analogia "a FTX levou menos de 48 horas para ir do normal ao colapso", e às 07:19 acrescentou que "já superou a saída líquida antes do colapso da FTX", com uma única publicação recebendo 193.000 impressões; às 12:23 daquele dia, o número foi atualizado para "6,1 bilhões de USD", junto com a alegação de que "531 de 552 tokens ainda não podem ser sacados".
Os dois conjuntos de dados não necessariamente conflitam numericamente; uma saída absoluta de vários bilhões de USD e uma participação de 2,1% podem estar falando da mesma coisa. A diferença está no enquadramento: o primeiro remove o denominador, enxerta a analogia com a FTX e embala um pico comum de saques como a véspera de um colapso.
No mesmo estágio, aumentou o conteúdo que desviava tráfego para concorrentes: ao discutir o hack, os usuários eram aconselhados a "primeiro transferir para tal e tal exchange para evitar o risco", ou lhes diziam que "entre todas as exchanges, apenas tal e tal nunca foi hackeada". Esse conteúdo não era grande em quantidade (31 publicações), mas publicações individuais tinham alta eficiência de disseminação, totalizando quase 200.000 impressões. Um exemplo típico: em 1º de novembro às 14:37, 17 minutos após a retomada dos saques de BTC, um KOL chinês publicou "Um amigo A9 disse que nunca mais colocará moedas na Binance, mesmo que a taxa anualizada esteja acima de 6%... A Coreia do Norte abriu a caixa de Pandora da Binance", que recebeu 108.000 impressões; a mensagem central era "sem respaldo soberano, é mais seguro colocar os fundos em outro lugar". Formulações semelhantes também apareceram na comunidade em inglês, como "Se a Binance cair, a Hyperliquid se tornará a exchange líder do setor?"
Rumores de compensação: criando uma sensação de "tratamento diferenciado"
Na noite de 1º de novembro, começou a aparecer um lote de alegações falsas sobre "compensação de 150 USD por saque", com a frase-modelo "Saques suspensos, compensação gratuita de 150 USD, confira a central de recompensas". Das 35 publicações relacionadas, 27 se concentraram nas seis horas entre 19:00 de 1º de novembro e 01:00 de 2 de novembro, com 9 na única hora das 20:00; cinco contas publicaram o texto idêntico, uma das quais tinha apenas dois seguidores. Às 21:11, a Binance respondeu sob a publicação original: "Esta é uma informação falsa; a captura de tela foi alterada digitalmente."
Um anúncio falso de "compensação de 150 USD por saque": cinco contas publicaram conteúdo idêntico em seis horas, incluindo links de phishing que direcionavam os usuários a uma "central de recompensas".
Quanto a alegações como "recompensas em dinheiro por não sacar" ou "exclusivo para usuários de regiões específicas", estas apareceram apenas esporadicamente na amostra e ainda não haviam atingido uma escala mensurável, portanto este artigo não tira conclusões quantitativas sobre elas. No entanto, a estrutura de tais alegações é consistente com as narrativas acima: elas não atacam diretamente a plataforma, mas criam uma sensação de que os usuários estão "sendo tratados de forma diferente", ao mesmo tempo que incentivam ainda mais os saques. A Binance declarou claramente que nunca ofereceu recompensas a usuários de qualquer região com a condição de não sacar.
Várias correntes subterrâneas percorrendo tudo
- Politização: alegações como "o guarda-chuva protetor da Binance é Trump" e "eles pagaram dinheiro de proteção" totalizaram 377 postagens, atingindo o pico durante a fase de recuperação.
- Reacender velhas feridas: vincular este incidente à grave volatilidade do mercado em 2025, alegando que o hack foi para "lavar contas antigas" — 280 postagens, 690.000 impressões, mais concentradas nas duas primeiras fases após o incidente.
- Manipulação de mercado: "touro artificial", "o mercado caiu porque a Binance despejou", "eles reescreveram o K-line" — 253 postagens de 148 contas. Em 1º de novembro às 13h32, uma conta já perguntava: "Se a Binance sobreviver a esta corrida, ela vai promover proativamente um touro artificial?"
- Narrativas predefinidas: antes de a Binance tomar qualquer atitude, contas alegaram preventivamente que ela "com certeza lançará produtos de alto rendimento em seguida" e "com certeza vai bombar e listar moedas", e rotularam antecipadamente essas ações como "prova de insolvência". Em 2 de novembro às 20h25, a Binance lançou um programa de recompensas ao usuário com rendimento anualizado de até 10% — um movimento padrão do setor pós-crise — que caiu exatamente dentro da estrutura interpretativa predefinida. Quer a Binance agisse ou não, sua posição já era desfavorável.
IV. Classificação de rumores: quais alegações se espalharam mais longe
As 3.354 postagens julgadas falsas foram agrupadas em 15 categorias por alegação central. Ordenadas por impressões acumuladas, os principais tipos são os seguintes.
Impressões acumuladas, contagem de postagens e contagem de contas para vários tipos de informações falsas
]
Principais tipos de rumores
Vários detalhes merecem atenção. Primeiro, a categoria "prova técnica falsa" não era grande em quantidade, mas postagens individuais se espalharam mais longe — média de cerca de 6.800 impressões por postagem, quase quatro vezes a da categoria "encenação própria". Esse tipo de conteúdo geralmente aparecia como postagens longas, citando terminologia real (autorização 7702, multisig, numeração de carteira quente) e tirando conclusões errôneas sob a casca do detalhe técnico; por exemplo, "BTC usa ECDSA, Solana usa Ed25519, um laptop não consegue assinar dez chains em 20 minutos". Para leitores sem formação técnica, é mais persuasivo do que acusações puramente emocionais.
Segundo, "informações falsas se passando pela Binance" tinham apenas 5 postagens, mas receberam quase 300.000 impressões. Esse tipo de conteúdo forjava planos de compensação oficiais ou anúncios de listagem de moedas, frequentemente acompanhados de links de phishing, e pode ser o mais diretamente prejudicial aos usuários entre todos os tipos.
Terceiro, essas narrativas se contradizem. O mesmo lote de contas dizia tanto que "a Binance encenou isso ela mesma" (ou seja, o dinheiro não foi realmente perdido) quanto que "a Binance está insolvente" (ou seja, o dinheiro foi realmente perdido e não pode ser compensado); diziam tanto que "a Binance não ousa abrir saques" quanto, uma vez abertos os saques, que "abrir saques é para transferir ativos". Em uma discussão factual, essas alegações não podem todas se sustentar ao mesmo tempo; em uma narrativa voltada a criar incerteza, elas não precisam ser autoconsistentes — cada uma só precisa cumprir sua própria tarefa em um momento diferente.
V. Coordenação: uma rede, vários campos
Se esses conteúdos viessem de indivíduos não relacionados, as relações entre as contas deveriam ser esparsas e aleatórias. Os dados mostram outra estrutura. Entre as 641 contas mais ativas, 452 tinham uma relação de coordenação com pelo menos uma outra conta, totalizando 1.186 links de coordenação par a par. Divididos por tipo de sinal: 651 @ mútuos ou respostas; 466 aparecendo simultaneamente na mesma seção de comentários; 267 interagindo com a mesma terceira conta em uma janela curta; 224 seguidas unidirecionais; 143 seguidas mútuas; 67 conteúdos quase idênticos. Desses links, 608 carregavam dois ou mais sinais ao mesmo tempo.
As 444 contas formaram uma rede conectada — partindo de qualquer conta, era possível alcançar as outras 443 ao longo das relações de coordenação.
A rede de coordenação das contas atacantes (maior componente conectado). Quanto maior o ponto, mais links de coordenação a conta possui; os marcadores de cor representam diferentes escopos de coordenação.
Os pares de contas mais estreitos ilustram melhor o que significa "coordenação": o par de maior peso @mencionou ou respondeu um ao outro 36 vezes em três dias; outro par apareceu junto em cinco seções de comentários idênticas, interagiu cinco vezes e publicou conteúdo quase idêntico oito vezes; e outras duas contas tiveram dois registros de "conteúdo 100% idêntico". Os nós centrais da rede são igualmente reveladores: a conta mais conectada estava ligada a 63 contas, publicou 29 tweets hostis e recebeu 741.000 impressões; outra conta publicou apenas 7 vezes em três dias, mas recebeu 742.000 impressões e estava ligada a 41 contas. Em contrapartida, duas "contas de spam" publicaram mais de 120 vezes cada, receberam menos de mil impressões cada, mas eram os pontos de conexão mais densos nas seções de comentários. As primeiras definiam o tom, as últimas forneciam o volume — essa divisão de trabalho é, por si só, um vestígio de organização.
Detalhes da rede: o nó central mais conectado (centro) e suas 63 contas associadas. As linhas vermelhas indicam conexões coordenadas com o nó central; as linhas cinzas indicam conexões entre as contas associadas.
Executar detecção de comunidades não supervisionada nesta rede (o algoritmo observa apenas a estrutura relacional e não faz referência a nenhum rótulo manual) produz 11 clusters. Os cinco principais diferem acentuadamente em tamanho, idioma e estilo de coordenação.
Os cinco principais clusters coordenados
O Cluster 3 merece atenção especial. 66 contas publicaram 1.135 posts em três dias, uma média de 17 por pessoa, mas o total de impressões foi de apenas cerca de 170.000 — menos de 2.600 por pessoa. Essas contas quase nunca publicam de forma independente; em vez disso, aparecem em lotes nas seções de comentários dos mesmos posts, mais frequentemente sob posts de executivos da Binance e contas centrais. O trabalho delas não é fazer mais pessoas verem um determinado ponto de vista, mas fazer com que aqueles que veem o post sintam que "todo mundo pensa assim".
Detalhes da rede: Cluster 3 (o cluster de threads de comentários). As conexões entre os membros se manifestam principalmente como "aparecer juntos na mesma thread de comentários".
Duas táticas nas seções de comentários
A primeira é o "enxame para criar impulso". Quando uma conta publica conteúdo hostil, o mesmo lote de contas inunda a seção de comentários em uma janela curta, ecoando, complementando e amplificando as acusações. Para um usuário comum que abre o post casualmente, o que ele vê não é o ponto de vista de uma pessoa, mas uma tela cheia de vozes unânimes. Em vários posts hostis de alta impressão revisados na amostra, as contas da amostra representaram de 25% a 47% dos comentários, e esses comentários representaram de 22% a 44% das impressões do post; sob um post de uma conta pequena, 11 dos 12 comentaristas pertenciam à amostra.
O segundo é o "cerco e limpeza do campo". Quando um usuário publica em defesa da Binance, ou apenas declara informações oficiais de forma objetiva, o mesmo lote de contas entra na seção de comentários e ataca o autor com rótulos como "puxa-saco", "cachorro da Binance", "quanto você recebeu", e "shill pago", sem abordar o conteúdo. Durante o incidente, 133 contas da amostra publicaram 234 dessas postagens, 79% das quais eram respostas sob postagens de outras pessoas. A lógica se assemelha ao mecanismo de isolamento do bullying escolar: em vez de atacar o alvo diretamente, faz com que todos que se aproximam do alvo paguem um preço. Um usuário comum publica uma única linha, "Acredito que a Binance pode lidar com isso", e recebe dezenas de ataques pessoais em troca — na próxima vez, ele provavelmente escolherá o silêncio. Este é o efeito inibidor: o que ele suprime não é um ponto de vista, mas a disposição de se expressar.
Ataques a indivíduos
Durante o incidente, 421 postagens foram principalmente ataques pessoais ao fundador e cofundador da Binance, provenientes de 103 contas. Uma parte considerável visava a gravidez de He Yi, usando linguagem extremamente insultuosa, com postagens individuais ultrapassando 100.000 impressões, algumas escalando para maldições contra a criança ainda não nascida. Este artigo não reproduz esses conteúdos. Deve-se dizer que tais conteúdos não têm nada a ver com o incidente de segurança; sua existência mostra apenas uma coisa — para alguns participantes, o propósito nunca foi discutir o incidente, mas atacar pessoas.
Campos
Com base em sinais de afinidade ecossistêmica visíveis no conteúdo público das contas (por exemplo, promoção concentrada de longo prazo de uma determinada plataforma, interação de alta frequência com funcionários dessa plataforma, direcionamento contínuo de tráfego para concorrentes enquanto ataca a Binance), rótulos de campo foram atribuídos a algumas contas. Deve-se enfatizar mais uma vez: esses rótulos descrevem tendências no conteúdo público, não uma determinação de qualquer relação de emprego.
Contas e visualizações por rótulo de campo (1.083 contas)
Dois fatos estruturais merecem atenção. Primeiro, as maiores impressões per capita não pertencem ao maior grupo: 69 contas que mostram características de afinidade ecossistêmica de uma determinada plataforma de derivativos tiveram uma média de cerca de 39.000 impressões cada; 19 contas suspeitas de estarem relacionadas a defensores de direitos tiveram uma média de cerca de 38.000; 107 contas que mostram características de afinidade ecossistêmica de uma determinada exchange tiveram uma média de cerca de 25.000; enquanto 874 contas sem rótulo tiveram uma média de cerca de 17.000. Segundo, "sem rótulo" não é igual a "indivíduo isolado". Elas não têm rótulo porque nenhuma promoção clara de plataforma ou interação direta com funcionários de plataforma foi observada em seu conteúdo público, e por cautela foram mantidas como "independentes"; mas na rede de coordenação, muitas estão no mesmo cluster que contas rotuladas, compartilhando seções de comentários, alvos de interação e ritmos narrativos semelhantes. A inferência do autor é que algumas delas podem ser contratadas por terceiros e se dedicar a ataques de reputação como profissão, mas atualmente não há evidência direta.
Entre as 452 contas da rede de coordenação, o mesmo padrão permite um olhar mais atento: 63 são rotuladas como afins à OKX (incluindo 33 suspeitas de OKX), majoritariamente em chinês, publicando 343 tweets hostis e 917.000 impressões; 23 são rotuladas como afins à HyperLiquid, representando apenas 5,1% do total, mas absorvendo 14,3% das impressões, com a maior conectividade média entre todos os campos; 13 são suspeitas de serem defensoras de direitos, cuja retórica é principalmente ataques pessoais e queixas antigas; 4 contas apresentam características de um grupo político chinês no exterior (o "Novo Estado Federal da China" de Guo Wengui), interpretando o incidente como uma conspiração política. Entre as 346 contas independentes, 189 (54,6%) estão diretamente conectadas a pelo menos uma conta de campo; há 240 links entre contas independentes e contas afins à OKX, muito mais do que os 42 links dentro do campo OKX. Os dados apontam para isto: vários grupos de contas com diferentes características de afinidade ecossistêmica participaram densamente de ataques contra a Binance dentro da mesma janela, com colaboração cruzada entre eles; mas os dados não podem provar que a OKX, a HyperLiquid ou qualquer instituição sabia, organizou ou financiou essas atividades. A indústria anteriormente suspeitava que contas relacionadas à Bitget estivessem envolvidas; nenhuma conta de campo correspondente foi encontrada nestes dados.
Gráfico à esquerda: número de links coordenados contabilizados por tipo de sinal (um link pode carregar múltiplos sinais); gráfico à direita: número de links entre campos (a diagonal representa links intra-campo).
O que cada campo quer é claramente diferente: alguns focam em "insolvência" e mobilização para corrida bancária enquanto promovem plataformas alternativas; alguns focam em "desenterrar velhas feridas", usando eventos para reaquecer controvérsias anteriores; alguns se centram em narrativas politizadas. Curiosamente, uma conta rotulada como afiliada à OKX criticou publicamente uma conta de notícias de uma plataforma de derivativos em 31 de outubro por "aproveitar a oportunidade para roubar usuários... alimentando-se de sangue e carne humanos"—esses campos podem não ter um centro de comando unificado, mas durante essas 78 horas, suas ações se sobrepuseram fortemente no tempo e se reforçaram mutuamente em efeito.
VI. Dormência e Ativação: Contas Que Só Despertam Quando Atacam a Binance
Para testar se essas contas eram apenas "coincidentemente especialmente ativas nesses poucos dias", após concluir a amostragem o autor rastreou todas as publicações públicas anteriores de todas as 1.083 contas e comparou várias janelas temporais: duas janelas ordinárias de dez dias sem grandes controvérsias da Binance (junho e agosto de 2026), e duas janelas anteriores de controvérsias relacionadas à Binance (a controvérsia "Cathie Wood" de janeiro a fevereiro de 2026 e as alegações relacionadas ao Irã em março de 2026).
Quase silenciosas em tempos normais. Em janelas ordinárias, essas contas juntas publicaram apenas cerca de 131 itens relacionados à Binance por dia; entre elas, 964 (89%) tiveram média não superior a 0,2 itens por dia—a maioria das contas não mencionaria a Binance nem uma vez por semana.
Ativação coletiva durante o evento. Durante o evento, essas mesmas contas publicaram em média 3.228 itens relacionados à Binance por dia, 24,6 vezes o nível normal. Pela medida de rede coordenada, entre 452 contas, 200 (44,2%) publicaram apenas um ou dois tweets hostis ao longo de três dias, mas ainda assim tinham relações coordenadas verificáveis com outras contas—"baixa frequência, alta conectividade".
Elas também haviam se ativado durante controvérsias anteriores. Durante a controvérsia "Cathie Wood" do início de 2026, essas mesmas contas publicaram em média 480 itens relacionados à Binance por dia, 3,7 vezes o nível normal; 382 contas publicaram durante aquela janela. Dentro dessa janela de dez dias, 72 publicações tiveram cinco ou mais contas da amostra aparecendo simultaneamente em suas seções de comentários, enquanto janelas ordinárias de igual duração tiveram apenas quatro.
Algumas contas recorrem entre eventos. 116 contas publicaram conteúdo relacionado à Binance tanto na rodada "Cathie Wood" quanto na rodada do Irã.
Para ser justo: na janela das alegações relacionadas ao Irã em março, a intensidade geral de publicações dessas contas (113 itens por dia em média) foi comparável à linha de base normal, sem ativação geral óbvia; no entanto, 133 contas publicaram naquela janela, e as aparições simultâneas em seções de comentários aumentaram um pouco. Isso mostra que "ativação sincronizada entre eventos" não é uma característica universal de toda a amostra, mas está concentrada em um subconjunto.
Um exemplo típico: uma conta em inglês não publicou conteúdo relacionado à Binance em nenhuma das janelas ordinárias; durante a controvérsia "Cathie Wood" teve média de cerca de 6 itens por dia, com o tema "tal moeda ainda não foi listada na Binance"; durante este evento teve média de mais de 17 itens por dia. Ela não discute o mercado, não discute o setor, e só aparece quando a Binance se torna um tema.
VII. Pelo Que Se Luta: Uma Operação de Engenharia Social
O núcleo da engenharia social não é a tecnologia, mas a exploração de fraquezas psicológicas para alcançar controle. Juntando os dados acima, o contorno desta operação narrativa emerge.
Ela não cria eventos; ela parasita eventos. O incidente de segurança é real, as preocupações dos usuários são reais, e algumas críticas também são reais. O que a operação narrativa faz é enxertar conclusões sobre emoções reais: enxertar "suspensão de saques" sobre "sem dinheiro", enxertar "arcar com perdas" sobre "encenação própria", enxertar "pico de saques" sobre "colapso da FTX".
Ele troca de tópicos conforme as respostas, às vezes se antecipando. Cada vez que a Binance anuncia novos progressos e a velha narrativa perde força, uma nova narrativa assume dentro da mesma janela: a teoria do insider surgiu 14 minutos antes de o caminho do ataque ser divulgado; a questão do "um laptop" surgiu 3 minutos após a divulgação; "saída líquida recorde" surgiu 6 minutos após o anúncio de "saída líquida de 2,1%"; narrativas de concorrentes surgiram 17 minutos após a retomada dos saques; a mobilização de "correr assim que a porta abrir" surgiu quase 40 horas antes de os saques realmente serem retomados.
Ele se mistura entre usuários reais. 79,6% do conteúdo consiste em respostas em vez de posts originais, muitos sob posts de usuários reais. Os espectadores acham difícil distinguir quais comentários são preocupações de usuários reais e quais são vozes organizadas. Essa confusão é, em si, um dos objetivos: faz qualquer resposta parecer "supressão de usuários".
Ele tem uma clara divisão de trabalho. Contas com menos de 300 seguidores publicaram 44,1% dos tweets negativos, mas geraram apenas 5,1% das impressões; contas com mais de 50.000 seguidores representaram apenas 6,2% do volume de postagens, mas ficaram com 68,0% das impressões. As contas de topo definem o tom, enquanto as contas pequenas fornecem volume nas seções de comentários, montam cercos e armam ganchos de phishing.
Participação de posts negativos e participação de impressões (por faixa de seguidores do autor): contas pequenas trazem "quantidade", contas grandes trazem "alcance".
Ele suprime em vez de debater. Ataques pessoais a apoiadores e insultos contra fundadores não são discussão factual, mas tentativas de mudar quem ousa falar. E tudo isso, em última análise, aponta para um único resultado comportamental: fazer o maior número possível de usuários mover seus ativos para fora no menor tempo possível. Isso é precisamente a coisa mais perigosa tanto para a plataforma quanto para os próprios usuários durante um incidente de segurança. Se uma corrida bancária realmente se formasse, o dano não se limitaria a uma empresa; atingiria cada usuário comum que vende a preços baixos em pânico ou perde a janela devido à congestão.
Desta vez, a corrida bancária não aconteceu. Doze horas após a retomada dos saques, 98% dos usuários escolheram ficar. Isso é, antes de tudo, um crédito ao julgamento dos usuários — no momento de maior ruído informacional, a maioria das pessoas escolheu esperar por informações oficiais, verificar dados on-chain e fazer seus próprios julgamentos.
VIII. Limitações, Contraevidências e Questões a Serem Verificadas
Primeiro, coordenação não equivale a contratação. Aparecer simultaneamente em seções de comentários ou responder uns aos outros também pode ser usuários genuínos com visões semelhantes se reunindo naturalmente; comportamento de contas altamente correlacionado não significa diretamente pagamento ou direção. Segundo, rótulos de campo não equivalem a direção corporativa. Os rótulos de afiliado à OKX, afiliado à HyperLiquid e suspeito de defensor de direitos neste artigo são classificações baseadas em comportamento público; não há evidência direta de que qualquer instituição tenha participado oficialmente, planejado ou financiado o ataque. Terceiro, este artigo se baseia apenas em dados públicos e não pode cobrir conteúdo de contas excluídas ou protegidas; a recuperação de janelas históricas é limitada pelo escopo de palavras-chave e pode subestimar o volume real de postagens. Quarto, a janela de observação da rede coordenada começa às 20:00 de 30 de outubro; faltam dados de relacionamento das aproximadamente primeiras 15 horas após o incidente, então a coordenação no primeiro dia pode estar subestimada.
Os próprios dados também fornecem fatos desfavoráveis à narrativa do "exército de water armies". As 134 contas suspeitas de water army com as pontuações mais altas sob regras verificáveis representam 9% da amostra, e seus posts hostis juntos receberam apenas cerca de 18.000 impressões — 0,6%; conteúdo identificado como modelos puros de "postagem em massa de water army" recebeu apenas 5.419 impressões. Entre os três tipos de rumor com mais impressões, contas suspeitas de water army representaram apenas 8,5% a 27,8%. Grandes narrativas são impulsionadas principalmente por um pequeno número de contas de topo; water armies fazem mais preenchimento e phishing. Além disso, suspeitos de defensores de direitos têm queixas genuínas, e sua participação não é necessariamente um produto organizacional; muitos usuários falam com base em perdas reais e preocupações reais, e sua crítica deve ser estritamente distinguida do comportamento coordenado discutido neste artigo.
Principais argumentos e força das evidências
As instituições nomeadas ou envolvidas neste artigo (incluindo OKX, HyperLiquid e Bitget) e as contas individuais relacionadas têm todas o direito de responder e esclarecer os dados e as inferências deste artigo; após o recebimento de respostas ou evidências contrárias, este artigo será atualizado em conformidade.
IX. Conclusão: Quando Você Vê "Saia Agora"
Voltando à pergunta do início: a Binance sofreu um ataque reputacional organizado? Usando os tweets públicos dessas 78 horas como amostra, a resposta dos dados é: existe uma rede de ataque considerável, altamente interconectada internamente, que muda de marcha em ritmo com as respostas da Binance; dentro dela há vários grupos com diferentes características de afinidade ecossistêmica e diferentes alvos, que podem não receber ordens do mesmo centro de comando, mas agem separadamente dentro da mesma janela e se coordenam entre si nas seções de comentários. O "alcance" dessa rede vem principalmente de um pequeno número de contas de topo; sua "densidade" vem de um grande número de contas pequenas que normalmente são silenciosas, têm poucos seguidores, mas são altamente conectadas.
Os dados também recomendam contenção. A coordenação é um fato mensurável; a contratação e a instigação são conclusões que exigem mais evidências. A crítica em si não é um ataque, e a maioria dos questionadores são usuários reais. O que realmente merece vigilância é o tipo de voz que muda de marcha exatamente no pico do pânico, aparece em clusters exatamente onde os apoiadores se reúnem, e tem sua conclusão escrita exatamente antes de o outro lado sequer falar.
Para as exchanges, a lição deste incidente é: na comunicação de crise, apenas compromissos e números verificáveis conseguem penetrar o ruído — garantias, valores, prazos, prova de reservas. A Binance declarou que continuará divulgando informações de forma verificável, publicará um post-mortem técnico completo após a conclusão da investigação, continuará reportando anúncios falsos de compensação, anúncios falsos de listagem e links de phishing publicados sob falsa identidade, e preservará evidências e encaminhará conteúdos que envolvam ameaças pessoais para avaliação jurídica.
Para cada usuário comum, talvez haja apenas um conselho: durante uma crise, olhe os anúncios da plataforma e os dados on-chain. Quando você vir uma tela cheia de vozes unânimes na seção de comentários, dê mais uma olhada no que essas contas costumam falar; quando você vir números espantosos, pergunte qual é o denominador; quando você vir "saia agora, é tarde demais", pergunte quem mais quer que você tome essa decisão neste exato momento.
Apêndice: Metodologia
Escopo de observação: 30 de outubro de 2026, 05:00, a 2 de novembro, 20:00 (UTC+8); as janelas de comparação histórica (amostragem retrospectiva de postagens públicas anteriores das contas) foram de 27 de janeiro a 5 de fevereiro, de 10 a 14 de março, de 1 a 10 de junho e de 10 a 19 de agosto de 2026. Todos os horários foram verificados de forma cruzada com os timestamps incorporados nos IDs dos tweets.
Amostra: coletada pelo autor dentro de três dias após o incidente, usando IA para escanear contas que participaram de discussões no X; 1.083 contas que atendiam aos critérios foram incluídas na amostra, com aproximadamente 11.700 postagens coletadas no total. Retweets puros foram excluídos, mantendo postagens originais, respostas e citações. A seção de rede de coordenação concentrou-se nas 641 contas mais ativas (janela de observação de 30 de outubro, 20:00, a 2 de novembro, 20:00).
Julgamento de desinformação: a alegação central de cada item foi julgada com base em anúncios oficiais, dados on-chain e informações autorizadas de terceiros, e classificada em uma de 15 categorias; declarações de opinião que não podem ser confirmadas nem refutadas não foram contadas como desinformação.
Classificação de narrativas: com base em palavras-chave e regras semânticas, um conteúdo pode pertencer a múltiplas narrativas simultaneamente; a intensidade de cada fase foi convertida em postagens por hora de acordo com a duração de cada fase.
Coordenação: soma ponderada de seis tipos de sinais entre duas contas; os clusters foram identificados usando o algoritmo de modularidade de Louvain, sem usar quaisquer rótulos manuais de campo.
Pontuação de suspeita de exército de água: pontuada de acordo com regras como menos de 50 seguidores, número de seguindo mais de três vezes o número de seguidores, menos de 500 seguidores mas mais de 2.000 postagens, registro recente, apenas publicar respostas e publicar repetidamente texto idêntico; uma pontuação total de 4 ou mais foi julgada como suspeita.
