A Binance afirma que uma falsa entrevista de emprego e o download de um software malicioso ajudaram os atacantes a obter acesso aos seus sistemas antes de US$ 6,34 bilhões serem retirados das carteiras da corretora. Em uma atualização de segurança divulgada na terça-feira, a empresa disse que o roubo ocorreu em 29 de outubro e que os atacantes movimentaram os fundos em cerca de 20 minutos.

De acordo com a investigação inicial da Binance, os atacantes usaram o acesso aos computadores de engenheiros para percorrer a rede da empresa e explorar uma ferramenta interna de IA. Por fim, acessaram um serviço de assinatura de carteiras, que lhes permitiu iniciar transações fora do processo normal de saques da Binance.

A empresa rastreou atividades suspeitas até junho, quando um engenheiro identificado por ela como Engenheiro A baixou da internet uma instalação adulterada do Homebrew. A Binance disse que detectou e resolveu esse incidente, mas que informações sobre o funcionário foram posteriormente expostas aos atacantes.

No início de setembro, outro engenheiro, o Engenheiro B, foi abordado por meio de uma plataforma de busca de emprego e convidado para uma entrevista por vídeo por alguém que se passou por recrutador. Durante uma entrevista posterior, realizada por chat on-line, pediram ao engenheiro que baixasse para um computador de trabalho uma tarefa que continha um repositório de código malicioso, afirmou a Binance. O malware foi projetado para se disfarçar de ferramenta legítima de desenvolvimento e se comunicar com um servidor controlado pelos atacantes.

A Binance afirma que, perto do fim de outubro, os atacantes usaram o acesso ao computador do Engenheiro B para assumir o controle de carteiras associadas ao Engenheiro A e a outro engenheiro de software. No dia do roubo, também usaram credenciais de login roubadas para acessar o computador de um funcionário antes de atacar o serviço de assinatura de carteiras.

A corretora disse que reservou fundos para cobrir as perdas e reconstruiu ou substituiu os sistemas internos afetados pelo ataque. Pediu desculpas pela interrupção e pela incerteza, ressaltando que o incidente envolveu mais do que uma única invasão ou uma tentativa simples de phishing.

Quase metade das criptomoedas roubadas foi congelada por partes do setor, sempre que isso foi possível, afirmou a Binance. Os fundos restantes estão sendo movimentados por meio de um complexo processo de lavagem. Tom Robinson, da Elliptic, disse que, nos primeiros três dias e meio, a atividade envolveu cerca de 12 mil carteiras em 11 blockchains, com mais de 40 mil transações.

A Binance não identificou diretamente os atacantes, mas observou que o FBI atribuiu o ataque à Coreia do Norte em 31 de outubro. Várias empresas de rastreamento também o associaram a Hackers norte-coreanos, incluindo o grupo TraderTraitor. Rafe Pilling, da empresa de segurança Sophos, disse que a abordagem relatada era compatível com as táticas do grupo, que envolvem comprometer engenheiros e entender como os sistemas da vítima processam transações.

A Binance afirmou que sua equipe de segurança detectou e impediu 57 casos suspeitos de ciberataques ligados à Coreia do Norte durante 2026. A investigação sobre o roubo continua em andamento.

Fontes: WIRED.