A Binance afirma ter identificado e travado 57 ameaças cibernéticas suspeitas ligadas à Coreia do Norte em 2026. Ainda assim, uma falsa entrevista de emprego levou um engenheiro a instalar malware e permitiu que atacantes alcançassem a infraestrutura de assinatura de transações da exchange. A empresa descreveu a intrusão num relatório de segurança publicado a 3 de novembro. A 31 de outubro, o FBI atribuiu à operação TraderTraitor, da Coreia do Norte, o roubo de cerca de 6,34 mil milhões de dólares em criptoativos ocorrido a 29 de outubro. O caso evidencia como os processos de recrutamento e os ambientes de desenvolvimento podem servir de porta de entrada para plataformas de criptoativos, mesmo quando outras ameaças são detetadas e bloqueadas.
Do instalador adulterado à infraestrutura de carteiras
A Binance disse que a primeira atividade relacionada que identificou ocorreu em junho. Um engenheiro responsável pela infraestrutura de carteiras descarregou um instalador adulterado do Homebrew enquanto configurava uma popular ferramenta de programação com inteligência artificial. Depois de a equipa de segurança detetar atividade invulgar, a empresa substituiu o equipamento do funcionário e alterou as credenciais relevantes. Nessa altura, porém, os atacantes já tinham acedido a informações sobre as funções do engenheiro e os seus colegas.
Em setembro, os atacantes contactaram outro engenheiro de software através de uma plataforma legítima de recrutamento, fazendo-se passar pelo responsável de projetos de uma empresa fictícia. Uma pessoa que se apresentou como representante de recursos humanos conduziu depois uma entrevista por videochamada e partilhou contas de redes sociais com fotografias e vídeos pessoais para parecer credível. Numa segunda entrevista, outra pessoa afirmou ser o CEO da empresa.
Já perto do fim do processo de seleção, o engenheiro foi instruído a descarregar um teste de programação para o computador de trabalho. O repositório parecia um projeto de desenvolvimento normal, mas o malware era executado durante a instalação, substituía componentes de ferramentas legítimas e ligava-se a um servidor controlado pelos atacantes. Segundo a Binance, o malware, até então desconhecido, escapou ao software de segurança dos equipamentos e ocultou sinais da intrusão.
A 20 de outubro, os atacantes usaram o computador comprometido e uma ferramenta interna de IA para obter maior controlo sobre os dispositivos de dois engenheiros, incluindo o do funcionário visado em junho. Em seguida, conseguiram um token de implementação de contentores. Nove dias depois, recorreram a credenciais roubadas para instalar um contentor malicioso e aceder à infraestrutura de assinatura de transações da Binance.
A empresa afirmou que os atacantes contornaram os procedimentos habituais de levantamento para iniciar transferências não autorizadas de ativos em várias redes blockchain. A Binance não especificou quantas das 57 ameaças bloqueadas envolveram falsas entrevistas de emprego, nem se outros casos estavam diretamente ligados aos responsáveis pelo ataque de outubro.
Binance descreve as medidas tomadas após a intrusão
He Yi, co-CEO da Binance, disse que as equipas de segurança da empresa identificaram e travaram 57 ameaças cibernéticas suspeitas ligadas à Coreia do Norte em 2026. Entre os métodos mencionados estão falsas entrevistas de emprego, malware disfarçado de ferramentas de desenvolvimento amplamente utilizadas, pacotes de software e extensões de navegador adulterados, aplicações falsas de videoconferência e ataques de engenharia social destinados a roubar credenciais ou instalar malware de acesso remoto. He Yi reconheceu que, apesar de muitos ataques terem sido bloqueados, não ter travado um deles teve consequências graves e afirmou que tal não deveria ter acontecido.
Depois do incidente, a Binance substituiu os equipamentos dos funcionários afetados, revogou credenciais expostas e reconstruiu a infraestrutura de carteiras afetada. A empresa também disse que vai reforçar as proteções dos ambientes de desenvolvimento e ampliar a monitorização comportamental baseada em inteligência artificial. O relatório não explica de que forma estas medidas vão responder especificamente à etapa de recrutamento usada neste ataque.
A falsa entrevista segue táticas já associadas à Coreia do Norte
A abordagem é semelhante a táticas acompanhadas há vários anos por investigadores de cibersegurança e autoridades norte-americanas. Em setembro de 2024, o FBI alertou que hackers norte-coreanos recorriam a ofertas de emprego personalizadas, identidades falsas cuidadosamente construídas e contactos prolongados para se infiltrarem em empresas de criptoativos. Mesmo profissionais com fortes competências técnicas podem ser alvo de burlas concebidas em função do seu percurso profissional.
Em junho de 2026, investigadores da Kudelski Security documentaram uma operação denominada “Contagious Interview”, na qual atacantes se faziam passar por recrutadores no LinkedIn, WhatsApp e Discord antes de convencerem programadores a executar código malicioso. Em setembro, investigadores da Atlassian identificaram falsas provas técnicas alojadas em plataformas de desenvolvimento estabelecidas, com instruções maliciosas ocultas em projetos aparentemente legítimos.
Estes casos mostram como os atacantes recorrem a processos de recrutamento e ferramentas de desenvolvimento para ganhar a confiança dos alvos antes de alargarem o acesso aos sistemas das empresas. O relato da Binance indica também que a infeção do dispositivo em junho não impediu os atacantes de explorarem mais tarde as ligações entre funcionários e ferramentas internas para ampliar o acesso. A empresa não divulgou a distribuição das 57 ameaças bloqueadas nem identificou quais as salvaguardas que falharam neste caso. Confirmou que a intrusão chegou à infraestrutura de assinatura de transações e resultou em transferências não autorizadas em várias redes blockchain.