A Binance divulgou, nesta terça-feira (3), um primeiro relatório técnico sobre o ataque de 29 de outubro, que afetou aproximadamente US$ 6,34 bilhões em ativos digitais. O documento descreve uma operação preparada ao longo de meses, com engenharia social, instalação de softwares maliciosos e exploração de ferramentas internas para ampliar o acesso à infraestrutura da exchange.
A atribuição à Coreia do Norte foi feita pelo FBI em 31 de outubro. A agência também associou a atividade ao grupo TraderTraitor e informou que os responsáveis converteram os ativos desviados principalmente em Ethereum, movimento que pode dificultar o rastreamento das transações.
Invasão combinou engenharia social e exploração da infraestrutura
Segundo a Binance, a preparação começou em junho, quando um engenheiro da área de Wallet DevOps baixou uma versão adulterada de uma instalação do Homebrew enquanto procurava uma ferramenta de programação baseada em inteligência artificial. Após identificar uma anomalia, a equipe de segurança substituiu o dispositivo e alterou credenciais relacionadas, no entanto, a investigação apontou que o acesso obtido pelo atacante também expôs outros profissionais.
Em setembro, outro engenheiro foi abordado por meio de uma plataforma legítima de busca de emprego por uma pessoa que se apresentou como diretor de projetos de uma empresa fictícia. Durante um processo seletivo falso, a vítima recebeu uma tarefa técnica e baixou um repositório malicioso. O código substituiu um componente legítimo de uma ferramenta de desenvolvimento e estabeleceu comunicação com a infraestrutura controlada pelos invasores, sem ser identificado pelas ferramentas de Segurança do dispositivo.
Em 20 de outubro, os criminosos usaram o computador comprometido e uma ferramenta interna de IA para ampliar o acesso a outros profissionais. A partir do equipamento de um engenheiro de Wallet DevOps, localizaram um token de implantação de contêineres. Em 29 de outubro, acessaram o computador de outro funcionário, utilizaram credenciais obtidas anteriormente e executaram um script malicioso.
A exploração atingiu serviços de assinatura de carteiras digitais e resultou em transações não autorizadas em diferentes redes. Entre as movimentações identificadas estão 233,46 milhões de XRP enviados por cinco carteiras quentes da Binance, cerca de 970,5 mil SOL e 44,2 milhões de OP, além de 18.270 BTC.
O relatório também detalha o uso indevido do mecanismo EIP-7702, que permite delegar determinadas permissões de execução de uma conta a um contrato inteligente. Os invasores realizaram 50 transações de assinatura para manipular o nonce da conta e criar autorizações maliciosas. Assim, mesmo com a suspensão dos saques e o desligamento dos serviços de carteiras quentes, as permissões já registradas na blockchain não foram automaticamente invalidadas.
A Binance explica que a arquitetura MPC de suas carteiras exigiu um procedimento específico para revogar essas autorizações. A última transferência não autorizada identificada, de 2.961,9 ETH, foi finalizada às 23h56 UTC de 29 de outubro. Às 00h10 UTC do dia seguinte, a exchange executou uma nova autorização para o endereço zero, com o objetivo de eliminar a delegação EIP-7702.
Binance afirma ter congelado US$ 2,85 bilhões e anuncia revisão independente
Do total de aproximadamente US$ 6,34 bilhões em ativos digitais afetados, a Binance afirma que cerca de US$ 2,85 bilhões foram congelados ou interceptados. O valor ainda está sujeito a conciliação e à volatilidade dos preços de mercado, portanto não deve ser interpretado como montante integralmente recuperado.
A companhia declarou que absorverá as perdas, sem repassá-las aos usuários, e que mantém reservas superiores a 100% dos fundos necessários. Segundo a atualização, até 31 de outubro, 98% dos ativos em tokens afetados já haviam sido recompostos. A empresa informou que segue adquirindo os ativos restantes, que apresentam menor liquidez.
Como resposta ao incidente, a Binance afirma ter reconstruído os sistemas de carteiras afetados e a ferramenta interna de IA, substituído dispositivos, revogado credenciais e tokens de acesso e reforçado os controles de risco e os mecanismos de detecção de atividades anômalas. A companhia também ampliou as verificações de segurança e os recursos de monitoramento.
Entre as próximas medidas estão uma revisão independente de cibersegurança, investimentos adicionais em detecção de ameaças relacionadas à inteligência artificial e aprimoramento da proteção de endpoints. A exchange diz ainda que trabalha com autoridades, empresas de inteligência em blockchain e parceiros do setor para rastrear e congelar ativos relacionados ao ataque.
A investigação continua em andamento, e a Binance ressalta que as conclusões apresentadas são preliminares. O caso evidencia como ataques direcionados a profissionais, combinados à exploração de ferramentas corporativas e permissões já registradas em blockchain, podem comprometer infraestruturas financeiras mesmo quando mecanismos tradicionais de contenção são acionados.
