Binance rastreia roubo de US$ 6,34 bilhões até um esquema de recrutamento falso de cinco meses

Uma invasão de cinco meses levou ao esvaziamento das carteiras da Binance

Segundo a Binance, o roubo, avaliado pela empresa em US$ 6,34 bilhões, começou meses antes da movimentação dos ativos. No primeiro relato público sobre o ataque de 29 de outubro, a corretora descreveu uma campanha que combinou o download de um software comprometido com um processo de contratação encenado, malware e o uso indevido de uma ferramenta interna de IA. O relato tira o foco de um único momento de comprometimento das carteiras e o direciona para uma sequência de etapas que expôs pessoas, dispositivos e credenciais da equipe de engenharia de carteiras.

O primeiro ponto de acesso descrito pela Binance remonta a junho, quando um engenheiro de DevOps de carteiras pesquisou uma ferramenta popular de programação com IA e baixou um instalador adulterado do Homebrew. A Binance detectou uma anomalia, substituiu o dispositivo e trocou as credenciais. Mas o incidente também revelou as responsabilidades do engenheiro e os nomes de colegas que trabalhavam na infraestrutura de carteiras. A resposta da empresa tratou da máquina afetada e dos detalhes de acesso; já o relato posterior mostra como essa exposição pode ter orientado novas tentativas de ataque.

Em setembro, um segundo engenheiro foi abordado por meio de uma plataforma legítima de empregos por alguém que se fazia passar por diretor de projetos. A Binance afirma que o contato foi seguido por entrevistas em vídeo com pessoas que diziam representar o RH e a liderança da empresa; uma conta pessoal em rede social foi compartilhada para criar confiança. O suposto CEO então atribuiu um repositório de código para instalação no computador de trabalho do engenheiro. O processo encenado deu ao software malicioso um pretexto plausível para chegar a um dispositivo de trabalho.

Um processo de recrutamento tornou-se uma via de acesso

Segundo a Binance, o repositório substituiu um componente legítimo do pyenv por uma versão maliciosa e abriu uma conexão com um servidor controlado pelo invasor. O malware foi descrito como uma ameaça de dia zero e não foi detectado pelas ferramentas de proteção de endpoints na época. Esse detalhe aponta para uma fragilidade prática em depender apenas dos alertas convencionais dos dispositivos: uma tarefa de programação aparentemente relacionada ao trabalho poderia entregar código que as proteções existentes não reconheciam como malicioso. A Binance não divulgou todos os detalhes técnicos da invasão.

Em 20 de outubro, os invasores usaram o computador comprometido e uma ferramenta interna de IA para chegar a mais dois engenheiros de carteiras, um dos quais tinha um token de implantação de contêineres. A Binance afirma que, em 29 de outubro, os invasores acessaram o computador de um terceiro engenheiro, implantaram um contêiner usando credenciais roubadas e começaram a desviar ativos. A sequência ilustra como o acesso obtido por meio de um funcionário pode se ampliar com o uso de ferramentas e privilégios internos, embora o relato da empresa não especifique todas as interações entre os sistemas visados.

A Binance afirma ter bloqueado neste ano outras 57 tentativas suspeitas ligadas à Coreia do Norte que usavam iscas semelhantes, mas a corretora não atribuiu por conta própria a autoria desse roubo. O FBI atribuiu o ataque à Coreia do Norte; Pyongyang rejeitou a acusação, e Kim Yo Jong a chamou de provocação política na mídia estatal. Essas alegações divergentes mantêm a responsabilidade em disputa no registro público. O relatório da Binance descreve o método e a cronologia, sem resolver a questão da autoria.

A assinatura delegada prolongou a resposta

As transferências começaram rapidamente em 29 de outubro. Entre 20h05 e 20h09 UTC, cinco carteiras quentes enviaram 233,46 milhões de XRP para um endereço do invasor, seguidos por cerca de 970.500 SOL e 44,2 milhões de OP de carteiras na Solana e na Optimism. Em seguida, uma carteira quente da Binance enviou 18.270 BTC. A escala e a velocidade dessas movimentações mostram por que a resposta exigiu mais do que identificar credenciais comprometidas: a corretora também precisou interromper os canais que poderiam autorizar transferências on-chain.

A Binance afirma que os atacantes usaram um serviço de assinatura comprometido para invocar o EIP-7702 do Ethereum, que permite a uma conta delegar direitos de execução a um contrato inteligente sem expor sua chave. Um contrato controlado pelo atacante obteve controle parcial de uma carteira quente da Binance. Suspender os saques não encerrou essa via, pois os atacantes haviam enviado 50 transações de assinatura que estabeleceram delegações na blockchain, operando fora da infraestrutura de saques. O episódio expôs uma lacuna entre os controles de saque conhecidos e a execução delegada.

A carteira usava computação multipartidária, por isso, segundo a Binance, não havia uma única chave que pudesse ser simplesmente revogada para cancelar as delegações. A equipe teve de desenvolver um procedimento durante o incidente. A última transferência não autorizada, de 2.961,9 ETH, foi concluída às 23h56 UTC; a Binance removeu a delegação às 00h10 UTC de 30 de outubro. A empresa reconheceu que o desafio prolongou a contenção e afirmou que está revisando a cobertura das políticas de assinatura e os controles das carteiras quentes. O relatório não detalha o novo procedimento.

Recuperação, mudanças de segurança e questões em aberto

A Binance informou ter congelado ou interceptado cerca de US$ 2,85 bilhões dos ativos roubados e reposto 98% dos tokens afetados com recursos próprios, enquanto o saldo restante está sendo comprado no mercado aberto. Esses números descrevem a resposta da corretora para recuperar os ativos e restituir os clientes, não uma prestação de contas pública completa sobre o destino final de cada ativo. A empresa também afirmou que os saques foram retomados gradualmente, com dezenas de outros ativos em nove redes liberados na terça-feira, após restrições anteriores.

Os fluxos de clientes ofereceram outra medida das consequências imediatas. A Binance afirmou que os usuários sacaram US$ 10,97 bilhões durante as 46 horas após a reabertura dos saques no domingo, enquanto as saídas líquidas foram de US$ 5,28 bilhões. Às 03:00 UTC, os depósitos por hora superaram os saques, o que o co-CEO Richard Teng descreveu como uma estabilização. Os números indicam que os saques continuaram substanciais mesmo quando o saldo por hora ficou positivo; eles não permitem determinar como os usuários se comportarão por um período mais longo nem se a confiança foi totalmente recuperada.

A Binance afirma que reconstruiu seu sistema de carteiras e sua ferramenta interna de IA em novos ambientes, substituiu os dispositivos afetados, revogou as credenciais dos engenheiros e ampliou a detecção de anomalias comportamentais. A empresa está encomendando uma análise independente, aumentando os gastos com a segurança de endpoints e ambientes de desenvolvimento e planejando um fundo de pesquisa em segurança de IA com empresas externas. Em Washington, o presidente da CFTC, Michael Selig, usou a violação para defender uma via federal de registro para exchanges offshore. As conclusões da análise e divulgações técnicas mais completas da Binance ainda estão pendentes; alguns detalhes permanecerão privados.

Fonte: BitcoinMagazine