Criminosos comprometeram computadores de engenheiros e usaram ferramenta interna de IA; corretora promete assumir as perdas dos clientes
Uma oportunidade de emprego aparentemente legítima ajudou hackers a abrir caminho até as carteiras digitais da Binance. Após meses de preparação, os criminosos retiraram cerca de US$ 6,34 bilhões em criptomoedas da plataforma em 29 de outubro. Na terça-feira (3), a corretora divulgou sua investigação inicial, segundo a qual softwares adulterados, entrevistas falsas e uma ferramenta interna de inteligência artificial permitiram alcançar o sistema de autorização de transações.
Enquanto apura a invasão, a empresa tenta recompor os ativos e rastrear os recursos desviados. Em entrevista à CNBC, o co-CEO Richard Teng afirmou que 98% dos ativos afetados já haviam sido repostos. A companhia ainda comprava criptomoedas com menor liquidez e prometeu assumir integralmente o impacto financeiro, sem transferir as perdas aos usuários.
Essa reposição, porém, não equivale à recuperação do dinheiro roubado. Separadamente, a Binance informou que aproximadamente US$ 2,85 bilhões em ativos haviam sido congelados ou interceptados. O valor permanece sujeito à conciliação dos registros e às oscilações de mercado.
O FBI atribuiu o ataque à atividade cibernética norte-coreana que identifica como TraderTraitor. O governo da Coreia do Norte rejeitou a acusação. Já a investigação apresentada pela corretora continua em andamento e passará por revisão independente.
Uma contratação fictícia abriu outra porta
A preparação começou em junho, quando um engenheiro procurou uma ferramenta de programação com IA e baixou um instalador adulterado. A equipe de segurança detectou a atividade suspeita, substituiu o equipamento e trocou credenciais. Entretanto, os criminosos já haviam identificado a função do funcionário e colegas ligados à infraestrutura das carteiras.
Em setembro, outro engenheiro recebeu uma abordagem por uma plataforma legítima de recrutamento. Conforme o The Guardian, o processo incluiu uma entrevista por vídeo com uma falsa representante de recursos humanos. Depois, o profissional conversou com alguém que se apresentava como executivo de uma empresa fictícia.
Durante a segunda etapa, o engenheiro recebeu a orientação de baixar uma tarefa de programação no computador de trabalho. O material continha código malicioso, que executou ações não autorizadas durante a instalação e criou acesso para os invasores.
Em 20 de outubro, os atacantes usaram esse computador e uma ferramenta interna de IA para comprometer os ambientes de outros dois engenheiros. No dia 29, combinaram o acesso a um desses equipamentos com credenciais roubadas para executar o ataque às carteiras.
Suspender saques não interrompeu todas as transferências
Segundo a Reuters, os criminosos retiraram 233,46 milhões de unidades de XRP de cinco carteiras conectadas à internet em quatro minutos. Na sequência, movimentaram outras criptomoedas, incluindo bitcoin.
Um alerta sobre transferências elevadas levou a Binance a investigar e iniciar a contenção. A empresa suspendeu saques, buscou congelar ativos e removeu permissões indevidas. Contudo, autorizações já registradas na blockchain permitiam movimentações fora do fluxo normal de retiradas da plataforma.
Por isso, a equipe precisou desenvolver um procedimento específico para revogá-las. A última transferência não autorizada terminou de ser processada quase quatro horas após o início do roubo.
Após o episódio, a Binance informou ter reconstruído os sistemas afetados, substituído equipamentos e invalidado credenciais. Também anunciou uma avaliação externa para validar as conclusões e orientar novas medidas de segurança.
