Binance diz que hackers prepararam roubo bilionário por meses
A corretora afirma que criminosos ligados à Coreia do Norte infiltraram laptops, usaram entrevistas de emprego falsas e comprometeram ferramentas internas antes de sacar US$ 6,34 bilhões em criptomoedas.
Por Denise Sampaio · Repórter de Segurança
O que aconteceu
A Binance, maior corretora de criptomoedas do mundo em volume de negociação, revelou que o roubo de US$ 6,34 bilhões sofrido em 29 de outubro não foi um ataque relâmpago: segundo a empresa, os criminosos passaram meses se preparando. Richard Teng, co-CEO da Binance, descreveu o episódio como "uma campanha construída ao longo de muitos meses", e não um erro isolado ou uma falha pontual de segurança.
A preparação começou em junho, quando um engenheiro de infraestrutura baixou uma versão adulterada do Homebrew, gerenciador de pacotes usado no macOS, enquanto procurava uma ferramenta de programação com inteligência artificial. A equipe de segurança da Binance chegou a detectar a ameaça na época, mas os invasores já haviam coletado dados sobre o cargo da vítima e sobre colegas de trabalho.
Em setembro, outro funcionário foi abordado com uma proposta de emprego falsa. Os criminosos criaram perfis convincentes em redes sociais, conduziram entrevistas por vídeo e enviaram um teste de programação que escondia um malware, capaz de comprometer um componente legítimo das ferramentas de desenvolvimento da empresa.
Com esse acesso, os invasores chegaram, em 20 de outubro, a uma ferramenta interna de inteligência artificial da Binance, o que permitiu ampliar o alcance até dois funcionários ligados diretamente às carteiras digitais da corretora. Dali, exploraram o EIP-7702, recurso do Ethereum que permite delegar temporariamente operações de uma carteira sem expor a chave privada, para transformar uma das carteiras quentes da Binance em um contrato controlado pelos próprios atacantes. O FBI atribuiu o ataque ao grupo TraderTraitor, ligado à Coreia do Norte.
Quem é afetado
A Binance afirma ter conseguido congelar US$ 2,85 bilhões dos valores desviados e já repôs 98% dos ativos atingidos com recursos próprios, cobrindo integralmente as perdas de usuários. Ainda assim, o episódio expõe funcionários de empresas de tecnologia e cripto como alvo direto de engenharia social via vagas de emprego falsas, um vetor que vem se repetindo em ataques atribuídos a grupos norte-coreanos.
O que fazer agora
Profissionais de TI e desenvolvimento devem redobrar a desconfiança com propostas de emprego não solicitadas, especialmente as que envolvem testes de código para baixar ou executar localmente. Verificar a procedência de gerenciadores de pacotes e ferramentas antes da instalação, evitar versões obtidas fora dos canais oficiais e reportar abordagens suspeitas de recrutadores ao time de segurança da própria empresa são medidas básicas que poderiam ter interrompido a cadeia de ataques antes do estágio final.