A Binance, maior corretora de criptomoedas do mundo, publicou nesta terça-feira (3) seu primeiro relatório sobre o ataque hacker que a fez perder US$ 6,3 bilhões na última quinta-feira (29).
A investigação aponta que o ataque foi uma campanha sofisticada, composta por várias etapas. No entanto, destaca que tudo começou com falsas entrevistas de emprego.
Essa vertente de engenharia social não é nova. Em 2022, a Ronin, responsável pela Axie Infinity, perdeu US$ 625 milhões com o mesmo golpe.
Binance dá detalhes sobre o maior roubo da história do setor de criptomoedas
Iniciando seu texto, a Binance relembra que a empresa arcará com o impacto financeiro dos fundos roubados e que já reservaram os montantes necessários para cobrir o prejuízo. Indo além, também citam um relatório do FBI afirmando que hackers da Coreia do Norte estão por trás do ataque.
As novidades apresentadas no relatório ficam para a explicação sobre como os hackers tiveram acesso aos fundos.
Montando uma linha do tempo, a corretora explica que o ataque se desenrolou rapidamente em várias redes. As primeiras transações de XRP aconteceram entre as 17h05 e 17h09 pelo horário de Brasília, seguidas por outras de Solana e Optimism.
Neste momento, a Binance afirma ter recebido um alerta interno sobre transferências de grande volume.
Apesar disso, o hacker conseguiu transferir 18.270 bitcoins, avaliados em US$ 1,4 bilhão na cotação atual.
Os sistemas de suspensão dos saques também não foram 100% eficazes. Como exemplo, o texto aponta para a exploração de um mecanismo de autorização no Ethereum, que driblou esses mecanismo de contenção da corretora.
“O invasor então utilizou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor a chave privada. Neste caso, o invasor utilizou esse mecanismo para conceder a um contrato inteligente sob seu controle direitos parciais de execução sobre uma carteira quente da Binance.”
Rumores iniciais citavam esse mecanismo do Ethereum como a raiz do ataque. No entanto, como pode ser visto acima, ele é apenas uma peça desse quebra-cabeça.
Finalizando o trecho, a corretora aponta que precisou realizar transações adicionais para revogar essas autorizações registradas na Blockchain.
Conforme o processo era complexo, isso acabou demorando para acontecer. O destaque fica para o horário da última transação de Ethereum, às 20h56 pelo horário de Brasília, exatamente 3 horas e 51 minutos após a primeira.
Ataque começou com falsa vaga de emprego
Embora os hackers foram rápidos para limpar as carteiras quentes da Binance, a corretora explica que eles levaram meses até chegar ao dia do ataque.
“Nossa investigação atual indica que esta foi uma campanha sofisticada, composta por várias etapas. Não se tratou de uma invasão isolada ou de um simples caso de phishing. Os invasores combinaram diversas técnicas, incluindo engenharia social por meio de falsas entrevistas de emprego, downloads de softwares maliciosos, comprometimento de ferramentas internas de inteligência artificial, invasão de dispositivos e um método avançado de autorização de transações.”
Sem citar nomes, a corretora explica que um engenheiro da equipe de DevOps (responsável pela infraestrutura de carteiras) baixou um aplicativo adulterado do Homebrew, uma ferramenta que permite instalar e atualizar outros programas.
Embora a Binance tenha detectado a anomalia, substituindo o dispositivo e renovando todas as credenciais relacionadas deste funcionário, o texto aponta que o invasor obteve acesso tanto a informações sobre a função deste engenheiro quanto de seus colegas de equipe.
Três meses depois, em setembro, um suposto diretor de projetos entrou em contato com um segundo engenheiro da Binance em uma plataforma de emprego, onde organizou falsas entrevistas entre ele e um representante de RH e, posteriormente, com o CEO de uma empresa fictícia.
“Na primeira etapa, o suposto representante de RH realizou uma entrevista por vídeo ao vivo com o Engenheiro de Software B. O entrevistador compartilhou com ele uma conta em uma rede social, incluindo fotos e vídeos pessoais publicados na plataforma, com o objetivo de construir confiança. Essa abordagem foi mais sofisticada e enganosa do que as técnicas de engenharia social observadas anteriormente. A segunda entrevista foi realizada em um aplicativo popular de mensagens e redes sociais. Perto do final da entrevista, o Engenheiro B recebeu a instrução de baixar um arquivo de “teste” contendo um repositório de código malicioso em seu computador de trabalho. O repositório continha códigos maliciosos que eram executados durante o processo de instalação, dando início a uma série de atividades não autorizadas.”
A corretora afirma ter detectado e impedido 57 casos suspeitos de ameaças ligadas à Coreia do Norte somente em 2026, mas que esse não pode ser evitado.
O malware baixado pelo engenheiro não foi detectado por ferramentas de proteção e, devido a técnicas sofisticadas de ofuscação e evasão, isso dificultou uma detecção posterior.
Um mês depois, no dia 20 de outubro, o hacker utilizou uma ferramenta interna de IA para invadir os computadores do primeiro engenheiro, responsável pelas carteiras, e de um terceiro engenheiro da Binance.
“Pouco depois, o invasor descobriu que o Engenheiro A possuía em seu computador um token de permissão para implantação de contêineres (ambientes isolados de software).”
Nove dias depois, no dia 29 de outubro, o hacker invadiu o computador do terceiro engenheiro, utilizou as credenciais do primeiro engenheiro, implantou um contêiner, adicionou um script malicioso para iniciar o ataque e executou o roubo.
Corretora afirma já ter tomado diversas medidas de segurança
O relatório publicado pela Binance é de extrema importância para toda a indústria de criptomoedas. Afinal, outras empresas podem aprender com este erro e fortalecer os seus sistemas.
No caso da Binance, a corretora afirma ter tomado diversas medidas para melhorar a sua segurança.
Isso inclui a reconstrução do sistema de carteiras, da ferramenta interna de IA, a substituição dos dispositivos afetados, a desativação de credenciais relacioandas aos engenheiros afetados, dentre outras.
Além disso, a empresa também estará contratando especialistas de segurança independentes para realizar auditorias, amplicará seus investimentos em segurança e prevenção com IA e criará um fundo de pesquisa em segurança e iniciativas do setor de IA.
Quanto aos números, a Binance afirma que o ataque ficou na casa dos US$ 6,34 bilhões. No entanto, até o momento, eles já conseguiram congelar ou interceptar US$ 2,85 bilhões, diminuindo seu prejuízo para 3,49 bilhões.
