A Binance, maior corretora de criptomoedas do mundo, divulgou nesta terça-feira (3) um relatório com o passo a passo da invasão que resultou no roubo de cerca de US$ 6,3 bilhões (aproximadamente R$ 34 bilhões) em ativos virtuais. Segundo a empresa, os criminosos usaram engenharia social, incluindo uma falsa entrevista de emprego, e ferramentas de inteligência artificial para comprometer computadores de funcionários e chegar aos sistemas das carteiras digitais. O ataque ocorreu em 29 de outubro.

Como o ataque foi preparado

De acordo com o relatório, a operação começou em junho. Um engenheiro da equipe de carteiras baixou uma instalação adulterada de uma ferramenta de programação, a Homebrew. A Binance identificou o problema, trocou o computador e alterou as credenciais, mas as funções desse profissional e de outros integrantes da equipe já tinham ficado expostas aos invasores.

Em setembro, veio a segunda etapa. Um engenheiro de software que buscava nova oportunidade foi contatado por uma plataforma de emprego por alguém que se passava por diretor de projetos. Ele participou de ao menos duas entrevistas com uma equipe de recrutamento forjada, uma delas por videochamada, com troca de contas de rede social para ganhar confiança. Segundo o Olhar Digital, houve ainda uma reunião com o suposto CEO de uma empresa fictícia.

No fim do processo, o candidato foi orientado a baixar um arquivo com uma tarefa para avaliar suas habilidades. Era um repositório de código malicioso, que infectou o computador de trabalho, escapou dos mecanismos de segurança e se conectou a um servidor controlado pelos criminosos.

Do computador infectado ao roubo

Em 20 de outubro, os invasores combinaram o equipamento infectado com uma ferramenta interna de inteligência artificial da Binance para assumir o controle das máquinas de dois desenvolvedores de carteiras: um engenheiro de DevOps de carteiras e um engenheiro de software de carteiras. O segundo tinha as permissões e credenciais mais avançadas do grupo.

Nove dias depois, em 29 de outubro, o invasor usou o computador de um dos desenvolvedores e credenciais roubadas do outro para executar um script malicioso e acessar um serviço interno de assinatura de carteiras. Os envios foram realizados entre 17h05 e 20h56 (horário de Brasília). As carteiras quentes, conectadas permanentemente à internet, geraram alertas já nas primeiras movimentações, mas as permissões obtidas na fase de preparação dificultaram o bloqueio das transações.

Ressarcimento e investigação

A Binance suspendeu temporariamente os saques e tentou congelar os tokens movimentados. Segundo a empresa, cerca de US$ 2,85 bilhões já foram interceptados. Os saques voltaram a ser permitidos três dias depois do bloqueio. A corretora afirma ter reservado mais de 100% dos fundos necessários para cobrir a perda e está reembolsando todos os clientes que perderam recursos.

O ataque foi atribuído ao TraderTraitor, grupo de hackers ligado ao governo da Coreia do Norte. O FBI atribuiu a ação ao grupo, e o governo norte-coreano rejeita a acusação. A Binance afirma ainda que impediu, só em 2026, 57 casos de ameaças cibernéticas com suspeita de ligação com o país.

Em nota, a empresa pediu desculpas: “Isso não deveria ter acontecido, e pedimos desculpas pela preocupação, pela interrupção e pela incerteza que causou aos nossos usuários, parceiros e ao setor como um todo”. A Binance anunciou que pretende ampliar os investimentos em ferramentas de detecção baseadas em inteligência artificial, com a criação de um fundo de pesquisa em segurança e o desenvolvimento de projetos específicos com empresas líderes do setor de IA.

Com informações de TecMundo, Olhar Digital.