A Binance afirma que bloqueou 57 suspeitas de ameaças cibernéticas ligadas à Coreia do Norte em 2026 e substituiu 98% dos tokens roubados em seu hack de US$ 6,34 bilhões.
Resumo
- A Binance detectou golpes de recrutamento, ferramentas de desenvolvedor maliciosas e aplicativos falsos de videoconferência entre as suspeitas de ameaças.
- Yi He reconheceu o custo severo do ataque que contornou as defesas da exchange.
- A exchange afirma que ainda está comprando tokens menos líquidos para concluir a reposição de ativos.
- Investigadores dos EUA atribuíram o roubo de 29 de outubro à atividade TraderTraitor da Coreia do Norte.
A cofundadora e co-CEO da Binance, Yi He, detalhou as tentativas de intrusão em uma publicação no X de 3 de novembro, compartilhando as descobertas da exchange sobre a violação de segurança de 29 de outubro.
Sua conta descreveu esforços repetidos para alcançar funcionários por meio de recrutamento, downloads de software e engenharia social. As técnicas incluíam entrevistas de emprego fraudulentas, pacotes de software e extensões de navegador comprometidos, e programas maliciosos apresentados como ferramentas de desenvolvedor populares.
Aplicativos falsos de videoconferência foram outra via, juntamente com campanhas projetadas para roubar credenciais ou instalar malware que dá aos atacantes acesso remoto a um computador.
“Interceptamos muitos deles, mas o custo de falhar em impedir até mesmo um foi severo — e isso nunca deveria ter acontecido”, escreveu Yi.
Binance descreve como uma entrevista falsa chegou a um funcionário
De acordo com as descobertas iniciais da Binance, um engenheiro de software foi abordado em setembro por meio de uma plataforma legítima de busca de emprego por alguém se passando por diretor de projeto.
Um suposto representante de recursos humanos conduziu uma entrevista por vídeo e compartilhou um perfil de rede social contendo fotos e vídeos pessoais. Um segundo entrevistador, apresentado como o executivo-chefe de uma empresa fictícia, instruiu o engenheiro a baixar uma tarefa em um computador de trabalho.
A Binance afirmou que a tarefa continha código malicioso que foi executado durante a instalação e escapou da detecção pelas ferramentas de segurança de endpoint em uso.
Em 20 de outubro, o atacante usou o computador comprometido e uma ferramenta interna de IA para alcançar dois engenheiros de carteira. As credenciais obtidas durante essa intrusão subsequentemente permitiram acesso às operações de assinatura de carteira.
O relato da exchange descreve várias etapas de intrusão, embora a publicação de Yi não detalhe quantos dos 57 casos suspeitos envolveram iscas de recrutamento.
Descobertas anteriores sobre autorização de carteira rastrearam parte do roubo até a Binance 14, uma carteira quente Ethereum. A Blockaid identificou 50 autorizações EIP-7702 enviadas, uma das quais delegou com sucesso direitos de execução a um contrato malicioso.
Binance relata 98% de reposição enquanto compras de tokens continuam
Em seu relatório de 3 de novembro, a Binance afirmou que 98% dos ativos em tokens afetados haviam sido repostos e que estava comprando os ativos restantes, menos líquidos. A empresa disse ter reservado mais do que os fundos necessários para cobrir a perda.
Como o crypto.news relatou anteriormente, a Binance reabriu os saques de Bitcoin em 1º de novembro, quando Richard Teng estimou a reposição em aproximadamente 95%.
A exchange havia identificado BTC, ETH, USDT, BNB, SOL, USDC, XRP, USD1, RLUSD e ZEC como totalmente lastreados. Seu aviso de recuperação dizia que os tokens pendentes fora desse grupo levavam mais tempo para serem comprados nas quantidades necessárias.
As compras de reposição recorreram ao Fundo de Ativos Seguros para Usuários, às reservas excedentes do Fundo de Seguros de Futuros e ao tesouro corporativo da Binance, de acordo com suas divulgações anteriores de recuperação.
O acesso a saques continuou retornando por ativos e redes individuais. Em 3 de novembro, a Binance restaurou mais saques para 31 ativos adicionais na Ethereum e 20 na Solana, após a reabertura de cinco stablecoins da Ethereum.
Investigadores dos EUA identificam atividade TraderTraitor
O alerta cibernético do FBI de 31 de outubro atribuiu o roubo à Coreia do Norte e identificou a atividade como TraderTraitor.
Trabalhando com o Serviço Secreto dos EUA e a Investigação Criminal do IRS, o bureau observou os atacantes convertendo os ativos roubados principalmente em Ether. Afirmou que era esperada mais lavagem de dinheiro por meio de finanças descentralizadas e serviços de troca instantânea.
As agências instaram exchanges, empresas de análise de blockchain, serviços DeFi e operadores de infraestrutura a bloquear transações envolvendo os endereços listados ou ativos deles derivados.
A Coreia do Norte negou envolvimento em 3 de novembro. Segundo a Associated Press, Kim Yo Jong rejeitou a acusação do FBI em uma declaração divulgada pela mídia estatal.
Fundos roubados entram em transações CoinJoin
Um trabalho de rastreamento separado documentou a movimentação dos ativos roubados enquanto a Binance compra substitutos.
A Elliptic identificou aproximadamente 28 BTC, no valor de US$ 2,2 milhões, entrando em 18 transações CoinJoin entre 1º de novembro e o início de 2 de novembro. O Bitcoin veio de ativos roubados convertidos, enquanto os 18.270 BTC retirados diretamente da Binance permaneceram em 19 endereços naquela avaliação.
A investigação da empresa abrangeu aproximadamente 12.000 carteiras, 11 blockchains e mais de 40.000 transações. Os endereços ligados ao roubo ainda detinham cerca de US$ 3,24 bilhões, principalmente em Ethereum e Bitcoin.
