A Binance publicou em 3 de novembro seu primeiro relatório detalhado sobre o roubo de cerca de US$ 6,34 bilhões de suas carteiras quentes em 29 de outubro, o maior roubo de criptomoedas já registrado. Segundo a exchange, não foi um único clique nem um vazamento de chave privada: foi uma campanha de vários meses que combinou um instalador adulterado, uma entrevista falsa de emprego e o uso indevido de uma ferramenta interna de inteligência artificial.
Do instalador adulterado à entrevista falsa
Tudo começou em junho, quando um engenheiro de DevOps procurou uma ferramenta de IA para programar e instalou uma versão adulterada do gerenciador de pacotes Homebrew. A equipe de segurança detectou o problema, trocou o laptop e girou as credenciais envolvidas — mas os invasores voltaram em setembro por outro caminho.
Em setembro, os invasores aplicaram a entrevista falsa: uma pessoa se passando por diretora de projetos abordou um engenheiro de software em uma plataforma legítima de empregos. Depois de uma entrevista por vídeo com uma suposta representante de RH e de uma segunda rodada com alguém que dizia ser o CEO de uma empresa que não existe, o engenheiro baixou um “teste” de programação no computador de trabalho. A instalação substituiu a ferramenta de desenvolvedor pyenv por uma cópia maliciosa que se comunicava com um servidor dos invasores.
A ferramenta interna de IA e o saque
Em 20 de outubro, os invasores usaram uma ferramenta interna de IA da Binance para assumir o controle de outros dois computadores de engenheiros. No dia 29, a partir do computador de um terceiro engenheiro e com credenciais roubadas, eles implantaram um contêiner e executaram um script que alcançou o serviço interno de assinatura de saques. Com cerca de 50 transações de assinatura, manipularam nonces e usaram o mecanismo EIP-7702 do Ethereum para delegar direitos de execução a um contrato controlado por eles — sem precisar da chave privada, já que a carteira usava computação multipartidária (MPC).
Em 31 de outubro, o FBI atribuiu o roubo ao grupo TraderTraitor, ligado à Coreia do Norte — uma atribuição que Pyongyang negou. A Binance afirmou que cerca de US$ 2,85 bilhões foram congelados ou interceptados com ajuda de autoridades e parceiros e que 98% dos ativos afetados já haviam sido repostos até 31 de outubro, sem prejuízo para os clientes. A empresa também disse ter bloqueado outras 57 tentativas suspeitas de hackers norte-coreanos neste ano.
O que o relatório ainda não explica
O relatório ainda é preliminar: a Binance não divulgou a família do malware nem hashes, domínios ou endereços IP das etapas nos computadores, e o post-mortem técnico completo continua pendente, com revisão por empresas independentes. Por isso, os detalhes do caminho de ataque devem ser lidos como a versão da própria Binance, corroborada em parte por análises independentes de empresas como TRM Labs e Reversing Labs.
Atualização: esta matéria atualiza a cobertura anterior do Geekiki sobre o caso — Binance diz que fundos estão seguros após ataque de US$ 6,3 bi, Binance diz ter reposto 90% dos ativos e mantém saques para 1º de novembro e Binance reabre saques em fases a partir da rede Bitcoin após roubo de US$ 6,3 bilhões — com as informações novas do relatório de 3 de novembro.
Crédito da imagem: logotipo da Binance (BNB), via Wikimedia Commons, a partir de material oficial da Binance.
Fontes: FinanceFeeds, Reversing Labs, ten10, CoinDesk. A Binance também divulgou o relatório em sua conta no X em 3 de novembro.
Transparência: esta matéria foi produzida com auxílio de inteligência artificial, com cruzamento de publicações públicas no X e de fontes da internet. Consulte sempre as fontes originais citadas.
Muse
