A Binance afirmou nesta terça-feira (3) que hackers invadiram seus sistemas a partir de uma falsa entrevista de emprego e de uma ferramenta interna de inteligência artificial, em um roubo de US$ 6,3 bilhões em criptoativos. As informações constam do relato da corretora, reproduzido pela Exame e pela Convergência Digital.
Segundo a Exame, um engenheiro da empresa foi abordado em uma plataforma legítima de emprego por alguém que dizia ser diretor de projetos. Ele participou de duas entrevistas. Ao fim da segunda, recebeu um link para baixar uma tarefa que supostamente avaliaria se estava apto à vaga. O arquivo trazia código malicioso e deu aos invasores acesso ao notebook.
A Binance descreveu o malware como sofisticado. De acordo com a corretora, ele usava técnicas de ofuscação e de evasão e trocava um componente de uma ferramenta de desenvolvimento legítima por uma versão maliciosa, o que permitia executar comandos e falar com um servidor controlado pelo atacante.
Da entrevista falsa ao controle das carteiras
Com o notebook comprometido, os hackers passaram, em 20 de outubro, a usar uma ferramenta de IA interna da Binance para assumir o controle dos computadores de um engenheiro de DevOps e de um engenheiro de software de carteira, segundo a Exame. Com as credenciais roubadas do engenheiro de DevOps, o invasor acionou um script malicioso e começou a retirar fundos de hot wallets, as carteiras da corretora conectadas à internet.
As duas fontes divergem na cronologia. A Convergência Digital, que cita relatório da empresa, diz que a ofensiva começou em junho, quando um funcionário da equipe de carteiras baixou uma ferramenta de IA adulterada. A Binance teria trocado o equipamento e as credenciais, mas o invasor ainda obteve dados sobre as funções da equipe. Em setembro, um segundo engenheiro, em busca de novo emprego, teria baixado um repositório malicioso depois de uma reunião virtual com o CEO de uma empresa fictícia. A Convergência Digital informa que a sequência terminou no roubo de 29 de outubro.
Coreia do Norte nega autoria
O FBI e empresas de análise de blockchain atribuem o ataque ao TraderTraitor, grupo ligado ao governo da Coreia do Norte. A TRM Labs fez a mesma atribuição, e a Exame relata que integrantes do grupo foram vistos convertendo os ativos roubados em ether. Em comunicado de 31 de outubro, o FBI afirmou que a Coreia do Norte foi responsável pelo furto de mais de US$ 6 bilhões em ativos virtuais da Binance em torno de 29 de outubro, e pediu a exchanges, serviços DeFi e empresas de análise que bloqueiem transações com os endereços usados pelo grupo.
Kim Yo-jong, irmã do líder Kim Jong-Un, negou a acusação e disse que os Estados Unidos tentam criar a imagem de um Estado cibercriminoso.
Quem paga a conta e o que a Binance promete mudar
A Convergência Digital informa que a Binance está ressarcindo todos os clientes que perderam recursos. No relatório, a corretora pediu desculpas a usuários, parceiros e ao setor pelo transtorno e pela incerteza causados. A empresa não detalhou, nos textos lidos, de onde sai o dinheiro para cobrir o valor.
Entre as medidas listadas estão a reconstrução do sistema de carteira e da ferramenta de IA afetados, a troca dos dispositivos, a desativação de credenciais e tokens dos engenheiros envolvidos e novas varreduras em todos os aparelhos de funcionários. A Binance também disse que vai contratar especialistas independentes em segurança, ampliar o uso de IA na detecção de comportamentos anômalos e criar, com empresas de IA e firmas de segurança, um fundo de pesquisa sobre segurança de IA em blockchain.
A explicação não encerrou a discussão. Segundo a Exame, usuários do X questionaram como um engenheiro com acesso indireto a bilhões de dólares podia fazer uma entrevista em máquina ligada aos sistemas da empresa e baixar programa de fora. Um deles chamou de chocante permitir instalação de software de sites aleatórios em aparelhos corporativos.
Para empresas que mantêm ativos digitais ou ferramentas de IA conectadas a sistemas críticos, o relato da Binance aponta o ponto de entrada: o computador de um funcionário e as permissões da IA interna, não o cofre.
