Binance sofre ataque hacker histórico de US$ 6,3 bilhões e suspende saques temporariamente
Entenda a invasão hacker que afetou bilhões em criptoativos na Binance, a suspensão de saques e as medidas de ressarcimento garantidas pela corretora.
A exchange de criptomoedas Binance revelou, nesta terça-feira (3), mais detalhes sobre o roubo de grandes proporções que afetou a companhia. Em novo comunicado, ela explicou a ação prévia dos cibercriminosos para comprometer sistemas e ganhar acessos à plataforma.
De acordo com o relatório, a invasão que movimentou aproximadamente US$ 6,34 bilhões (cerca de R$ 34 bilhões na cotação atual) em ativos virtuais foi resultado de um ataque sofisticado, em múltiplas etapas e que se aproveitou de falhas em diferentes sistemas.
Um dos elementos mais chamativos do material é a descrição do papel da engenharia social no ataque. Nas operações de preparação para o roubo, funcionários da Binance foram enganados por técnicas complexas para terem os computadores comprometidos, em ações que envolveram até falsas entrevistas de emprego.
Como os cibercriminosos acessaram a Binance
Para realizar a operação contra a Binance, os invasores combinaram as seguintes técnicas:
- pesquisa e monitoramento de funcionários;
- entrevistas de recrutamento falsas;
- downloads de software malicioso com mecanismos de ocultação avançados;
- comprometimento de ferramentas internas de IA e de endpoints;
- uso de métodos avançados de autorização de transações.
Na primeira etapa, um colaborador identificado como Engenheiro A acidentalmente fez o download de “uma instalação adulterada do Homebrew” para instalar uma ferramenta de programação. Isso não gerou uma brecha no PC, que foi trocado, mas expôs aos responsáveis pelo golpe a função e a identidade de uma equipe inteira.
Em seguida, o funcionário chamado de Engenheiro de Software B foi contatado por uma plataforma de busca de emprego por alguém se passando por um diretor de projetos, falsamente interessado na contratação desse profissional.
O Engenheiro de Software B fez ao menos duas entrevistas com uma equipe de recrutamento forjada, incluindo por videochamada e com troca de contas de rede social “a fim de construir confiança” — uma abordagem mais avançada do que várias outras técnicas parecidas.
A própria Coreia do Norte já foi acusada de “infiltrar” profissionais de TI em empresas dos Estados Unidos por meio de entrevistas de emprego com o uso de deepfakes. Porém, o caso relatado aqui é o oposto, com os criminosos no papel de recrutadores.
Perto do final da entrevista, o Engenheiro B foi instruído a baixar um arquivo contendo uma falsa tarefa, que seria usada para avaliar as habilidades do candidato. Porém, o arquivo era um repositório de código malicioso, usado para infectar o computador de trabalho da pessoa e promover “uma série de atividades não autorizadas”.
Ao menos três funcionários da Binance foram comprometidos para garantir acesso ao sistema. Foto: Matt Slocum/AP Photo/Matt Slocum
Além de se ocultar de mecanismos de segurança, o código estabeleceu conexão com um servidor externo de posse dos cibercriminosos e usou uma ferramenta interna de IA para garantir acesso a dois outros alvos: as máquinas do Engenheiro A de DevOps de Carteiras e o Engenheiro C de Software de Carteiras.
Esse último colaborador era o que tinha as permissões e credenciais mais avançadas entre o trio, o que permitiu a implementação de um script malicioso para iniciar o ataque, que envolveu o acesso não autorizado a um serviço interno de assinatura de carteiras.
O roubo bilionário
A Binance também forneceu mais detalhes do dia das transferências fraudulentas, como a linha do tempo do golpe: os envios foram todos realizados entre 17 horas e 5 minutos e 20 horas e 56 minutos (horário de Brasília) de 29 de outubro.
Nas primeiras movimentações, as carteiras quentes (ou seja, conectadas à internet de forma permanente) usadas já acenderam alertas na Binance pelos valores envolvidos, mas as permissões obtidas na fase de preparo dificultaram o bloqueio dessas e outras transações.
Como forma de reduzir os danos e evitar novas explorações de vulnerabilidade, a Binance suspendeu saques temporariamente, além de tentar congelar os tokens movimentados — até agora, aproximadamente US$ 2,85 bilhões em ativos virtuais já foram novamente interceptados.
Além disso, a empresa garante que “reservou mais de 100% dos fundos necessários para cobrir a perda” para indenizar integralmente os usuários. A exchange voltou a permitir saques três dias depois de bloquear as movimentações.
Os suspeitos do ataque são o TraderTraitor, grupo de hackers ligados ao governo da Coreia do Norte, mas a administração local rejeitou as acusações. Segundo a própria companhia, porém, 57 casos de ameaças cibernéticas “com suspeita de ligação” com o país foram impedidas só em 2026.
Como apps falsos de IA ajudam a infectar computadores? Entenda nesta matéria!
