Binance: entrevista falsa e IA comprometida levaram a ataque de US$ 6,3 bi

Software Comprometido e Engenharia Social

Em um relatório publicado na terça-feira, a Binance descreveu uma campanha que durou meses, tendo começado já em junho e culminado no roubo de 29 de outubro. A corretora afirmou que os invasores exploraram o acesso a um serviço interno de assinatura de carteiras, contornando os procedimentos normais de saque para transferir bilhões de dólares por várias blockchains.

A investigação identificou várias etapas do ataque, incluindo uma tentativa anterior em junho, quando um engenheiro de carteiras baixou uma versão comprometida do instalador do software Homebrew ao tentar instalar uma ferramenta de codificação de IA. A Binance informou que sua equipe de segurança detectou a ameaça, substituiu o dispositivo do funcionário e alterou as credenciais associadas, mas o incidente expôs informações sobre o pessoal responsável pela infraestrutura de carteiras.

Uma violação de segurança mais grave ocorreu em setembro, quando outro engenheiro da Binance foi abordado por meio de uma plataforma de emprego legítima por alguém que se passava por um recrutador. O funcionário participou de duas entrevistas, incluindo uma videochamada com um suposto representante de recursos humanos e outra com alguém que alegava liderar uma empresa fictícia.

Durante a segunda entrevista, o funcionário recebeu instruções para baixar uma tarefa de programação contendo software malicioso em um computador de trabalho.

O malware substituiu um componente legítimo da ferramenta de desenvolvimento, permitindo que os invasores executassem comandos e se comunicassem com um servidor externo. A Binance informou que o malware, até então desconhecido, contornou seu software de segurança enquanto tentava ocultar evidências do comprometimento.

Em 20 de outubro, os invasores utilizaram o dispositivo comprometido e uma ferramenta interna de IA para obter acesso a mais dois engenheiros. Posteriormente, obtiveram credenciais que lhes permitiram implantar software na infraestrutura de carteiras da Binance.

Em 29 de outubro, os invasores utilizaram essas credenciais para acessar operações de assinatura de carteiras e iniciar transferências não autorizadas envolvendo 18.270 BTC, 233,46 milhões de XRP, aproximadamente 970.500 SOL e 44,2 milhões de OP, entre outros ativos.

Os hackers também exploraram o mecanismo de autorização EIP-7702 da Ethereum, que permite que contratos inteligentes executem transações em nome de uma conta. Ao estabelecer autorizações maliciosas, eles conseguiram transferir ativos de uma carteira ativa da Binance mesmo depois que a corretora suspendeu os saques normais.

A Binance informou que os invasores enviaram 50 transações de assinatura para manipular a sequência de transações da conta e estabelecer essas permissões. O uso da tecnologia de computação multipartidária pela corretora complicou os esforços para revogar as autorizações, exigindo um procedimento especializado para recuperar o controle.

A última transferência não autorizada, envolvendo aproximadamente 2.962 ETH, foi finalizada pouco antes da meia-noite (UTC) do dia 29 de outubro. A Binance revogou a delegação maliciosa logo em seguida.

Binance se recupera de ataque recorde

Essas descobertas complementam a cobertura anterior do Bitcoin.com News sobre os comentários do co-CEO da Binance, Richard Teng, que afirmou que a operação envolveu múltiplos pontos de violação e técnicas de destruição de evidências, em vez de um único funcionário comprometido.

A corretora também citou a atribuição do ataque à Coreia do Norte feita pelo FBI. Conforme noticiado anteriormente pelo Bitcoin.com News, as empresas de inteligência de blockchain TRM Labs e Chainalysis, separadamente, associaram o roubo a operações de hacking norte-coreanas. Desde então, a liderança norte-coreana negou essas acusações, chamando a declaração do FBI de “provocação política”.

A Binance informou que aproximadamente US$ 2,85 bilhões em ativos roubados haviam sido congelados ou interceptados até o momento de sua última atualização. A empresa se comprometeu a arcar sozinha com o impacto financeiro e informou que 98% dos ativos em tokens afetados haviam sido repostos até 31 de outubro, com as compras continuando para criptomoedas menos líquidas.

A corretora informou que, desde então, reconstruiu os sistemas de carteiras afetados, substituiu dispositivos de funcionários comprometidos, revogou credenciais expostas e ampliou seu monitoramento de segurança baseado em IA. Também está encomendando uma análise independente de cibersegurança e estudando a criação de um fundo de pesquisa em segurança focado em ameaças envolvendo inteligência artificial.

A recuperação ocorre enquanto os investigadores continuam rastreando os fundos roubados. O Bitcoin.com News informou na segunda-feira que a empresa de análise de blockchain Elliptic rastreou os ativos roubados por meio de aproximadamente 12.000 carteiras em 11 blockchains em menos de quatro dias.

A Binance enfatizou que sua investigação continua em andamento e que algumas conclusões técnicas passarão por verificação independente antes que a empresa divulgue informações adicionais.