Binance detalha roubo de US$ 6,3 bilhões em cripto envolvendo entrevistas falsas e ferramenta interna de IA comprometida
A Binance divulgou um relatório post-mortem explicando como o grupo hacker norte-coreano TraderTraitor executou um ataque de US$ 6,3 bilhões usando anúncios maliciosos no Google, testes de emprego falsos e o sistema interno de IA da empresa.
A exchange de criptomoedas Binance publicou um post-mortem detalhando como hackers executaram o maior roubo de criptomoedas até hoje — um ataque de vários meses que totalizou US$ 6,3 bilhões. Segundo a empresa, o ataque combinou malware em mecanismos de busca, um sofisticado esquema de engenharia social disfarçado de processo seletivo e acesso não autorizado à própria ferramenta interna de IA da Binance.
Autoridades federais, incluindo o FBI, atribuíram a invasão a uma unidade cibernética norte-coreana conhecida como "TraderTraitor".
Um plano de ataque em múltiplos estágios
De acordo com a Binance, a invasão se desenrolou ao longo de vários meses, começando em junho. O comprometimento inicial ocorreu quando um desenvolvedor baixou um instalador adulterado distribuído por meio de um anúncio malicioso no Google. Embora as equipes de segurança da Binance tenham detectado o malware inicial e substituído o dispositivo do funcionário afetado, os invasores conseguiram reunir informações críticas sobre engenheiros internos e fluxos de trabalho técnicos.
Em setembro, os agentes da ameaça iniciaram uma segunda fase visando outro engenheiro sob o pretexto de um processo de recrutamento. Passando-se por um potencial empregador, o invasor agendou várias rodadas de entrevistas, realizou chamadas e compartilhou links de redes sociais para construir confiança. Por fim, o falso empregador convenceu o engenheiro a baixar um teste técnico, que continha um malware de dia zero (zero-day).
As ferramentas de segurança não conseguiram detectar a segunda carga maliciosa (payload), que substituiu o executável padrão do pyenv por uma versão maliciosa modificada. Esse componente deu aos invasores acesso via backdoor e permitiu que estabelecessem comunicação com um servidor de comando externo enquanto ocultavam seus rastros.
Sistema interno de IA explorado
Até 20 de outubro, os invasores utilizaram a ferramenta interna de IA da Binance para obter controle sobre as carteiras pertencentes ao engenheiro comprometido em junho, bem como a um terceiro funcionário. Em 29 de outubro, os hackers fizeram login diretamente na estação de trabalho desse terceiro funcionário para desferir o ataque principal.
O roubo continuou por quase duas horas após as primeiras transferências não autorizadas serem detectadas. A Binance explicou que a demora para interromper as transações ocorreu devido à arquitetura de sua hot wallet, que utiliza Computação Multipartidária (MPC). Como o MPC distribui a autorização, não havia uma única chave privada disponível para revogar imediatamente as autorizações EIP-7702 indevidas dos invasores.
Esforços de recuperação e impacto
O CEO da Binance, Richard Teng, declarou que os usuários não arcarão com as perdas financeiras da invasão. Aproximadamente US$ 2,85 bilhões em ativos roubados foram congelados ou interceptados por equipes de segurança e parceiros.
Teng confirmou que 98% dos tokens afetados já foram repostos, com os trabalhos em andamento para cobrir os 2% restantes, permitindo a retomada geral dos saques. A Binance também destacou que suas defesas já frustraram com sucesso 57 outros casos suspeitos de ameaças cibernéticas vinculadas à Coreia do Norte no passado.
Apesar das descobertas divulgadas, restam dúvidas sobre como a ferramenta interna de IA foi projetada e de que forma concedeu aos invasores margem suficiente para comprometer os controles internos de carteiras.
