Os atacantes terão preparado durante meses a intrusão na infraestrutura de carteiras da Binance, recorrendo a entrevistas de recrutamento falsas, malware e ferramentas internas de inteligência artificial. O roubo, ocorrido a 29 de outubro, afetou ativos no valor de 6,34 mil milhões de dólares; a plataforma afirma ter recuperado 98% e continua a repor os restantes, sobretudo tokens com menor liquidez.
O caso volta a colocar em foco os processos de autorização de transações, a segurança dos dispositivos dos funcionários e o controlo de acesso às ferramentas internas das grandes plataformas centralizadas. A Binance diz ter reconstruído os sistemas de carteiras afetados e as ferramentas internas de IA. Especialistas independentes vão analisar a resposta ao incidente.
Binance identifica sinais de preparação desde junho
Num relatório de segurança divulgado na terça-feira, a Binance afirma que os preparativos poderão ter começado em junho. Um engenheiro que trabalhava em DevOps para a Binance Wallet pesquisou online uma ferramenta popular de programação com IA e descarregou um instalador adulterado do Homebrew.
Depois de detetar atividade suspeita, a empresa substituiu o dispositivo do engenheiro e alterou as credenciais pertinentes, por precaução. Segundo o relatório, porém, os atacantes já tinham obtido informações sobre a função do funcionário e os colegas da equipa responsável pela infraestrutura de carteiras.
Richard Teng, co-CEO da Binance, afirmou que os atacantes passaram meses a construir o seu acesso. Rejeitou a hipótese de o incidente se dever a um único ponto de falha, como o computador portátil de um funcionário, e disse que outro engenheiro também foi alvo em setembro.
Falsas entrevistas terão introduzido código malicioso
Em setembro, os atacantes fizeram-se passar por recrutadores e conduziram uma série de entrevistas de emprego com um engenheiro. Durante o processo, enviaram-lhe um teste de programação com malware concebido para contornar as proteções de segurança. De acordo com Teng, os atacantes usaram depois ferramentas internas de IA da Binance para ampliar a operação e conseguiram acesso que lhes permitiu contornar o sistema de autorização de transações das carteiras.
O relato aponta para uma intrusão que não dependeu apenas de um dispositivo comprometido: combinou contacto pessoal, instalação de software e acesso a sistemas internos. A Binance afirma ter desativado os dispositivos afetados, revogado credenciais e tokens associados aos engenheiros envolvidos e alargado as análises de segurança aos equipamentos dos funcionários.
Recuperação de 98% e restrições temporárias a levantamentos
A Binance diz ter recuperado 98% dos ativos afetados e estar a adquirir os que ainda não foram repostos, incluindo tokens com menor liquidez. Após o incidente, a plataforma restringiu temporariamente alguns levantamentos, comprometeu-se a cobrir as perdas dos clientes e utilizou reservas próprias para repor os ativos afetados.
Empresas do setor, entre elas Tether, Circle e Ripple, colaboraram com a Binance e outros intervenientes para congelar cerca de 3 mil milhões de dólares em ativos. Ainda assim, parte dos fundos roubados foi movimentada através de canais de branqueamento de capitais. A Coinbase afirmou ter bloqueado transferências para carteiras afetadas e prestado apoio direto à Binance.
Teng não atribuiu diretamente o ataque à Coreia do Norte, mas reconheceu que o FBI associou o incidente a hackers norte-coreanos e ao grupo TraderTraitor. A atribuição continua a fazer parte da investigação. A Binance afirma estar a trabalhar com as autoridades e parceiros do setor para localizar e congelar os fundos roubados.
Revisão independente vai avaliar a resposta da Binance
Teng afirmou que a Binance nomeará especialistas independentes para avaliar a forma como lidou com o incidente e que continuará a reforçar as suas defesas enquanto a investigação prossegue. A empresa diz ter reconstruído os sistemas de carteiras e as ferramentas internas de IA afetados, substituído dispositivos, revogado credenciais e tokens relevantes e alargado as análises aos equipamentos dos funcionários.
O ataque pôs à prova, ainda que por pouco tempo, a confiança nas plataformas centralizadas de criptoativos. A Binance afirma que mantém uma posição financeira sólida e que as prioridades são identificar vulnerabilidades, recuperar os ativos em falta e evitar uma repetição. A evolução da recuperação, o percurso dos fundos restantes e as conclusões da revisão independente permanecem no centro das atenções dos utilizadores e do mercado.