Roubo de 6,3 mil milhões na Binance começou com falsa entrevista de emprego
Os atacantes comprometeram o computador de um engenheiro e usaram uma ferramenta interna de IA para chegar a outras máquinas. A Binance diz ter reposto cerca de 98% dos tokens afetados com fundos próprios.
O que se passou
A Binance revelou a 3 de novembro como os atacantes prepararam o roubo de criptomoedas ocorrido a 29 de outubro. Segundo a plataforma, foram retirados aproximadamente 6,3 mil milhões de dólares, depois de uma falsa sequência de recrutamento ter permitido comprometer o computador de trabalho de um engenheiro.
O primeiro contacto chegou através de uma plataforma legítima de emprego, por alguém que se apresentou como diretor de projeto. Uma suposta representante de recursos humanos fez depois uma entrevista por vídeo e partilhou fotografias pessoais para criar confiança.
Numa segunda entrevista, um alegado presidente executivo pediu ao engenheiro que descarregasse um exercício de programação. O ficheiro continha software malicioso que, segundo a Binance, escapou aos mecanismos de proteção do computador.
A plataforma afirmou que os atacantes usaram depois a máquina comprometida e uma ferramenta interna de inteligência artificial para chegar aos computadores de outros engenheiros responsáveis pelas carteiras de criptomoedas. Richard Teng afirmou que o FBI atribuiu o ataque à Coreia do Norte, que negou envolvimento.
A Binance disse ter reposto aproximadamente 98% dos tokens afetados com fundos da empresa. Indicou ainda que tinham sido congelados cerca de 2,85 mil milhões de dólares em ativos.
O que isto significa
A explicação da Binance coloca o acesso aos computadores dos trabalhadores no centro do ataque. O contacto inicial não exigiu uma falha numa carteira de criptomoedas. A falsa oportunidade de emprego levou o engenheiro a instalar o software que abriu caminho à intrusão.
A utilização de uma ferramenta interna de IA acrescenta uma dimensão ao incidente, mas não demonstra, por si só, que essa ferramenta tenha sido a vulnerabilidade inicial. Na sequência apresentada pela Binance, o computador já estava comprometido quando os atacantes a usaram para alcançar outras máquinas.
Se acompanhas a plataforma, importa distinguir a reposição dos tokens da recuperação do dinheiro roubado. A Binance afirma ter usado fundos próprios para repor quase todos os tokens afetados. Isso representa uma utilização dos recursos da empresa, não a devolução desses mesmos fundos pelos atacantes.
Também o congelamento de ativos não equivale à sua recuperação definitiva. Os valores comunicados mostram duas respostas diferentes ao roubo, a reposição com dinheiro da Binance e o bloqueio de ativos, sem estabelecer quanto do montante roubado regressou efetivamente à plataforma.
Porque deves querer saber
A reposição dos tokens mobiliza fundos da Binance
A reposição de cerca de 98% dos tokens afetados foi feita, segundo a Binance, com recursos próprios. Para avaliares o impacto na empresa, essa distinção é essencial. A plataforma suportou a reposição sem depender apenas da recuperação dos ativos roubados.
Os cerca de 2,85 mil milhões de dólares congelados são um dado separado. Não devem ser somados à reposição como se ambos representassem dinheiro já recuperado, porque a Binance descreveu operações de natureza diferente.
Uma falsa contratação abriu caminho às carteiras
A sequência relatada mostra como um processo aparentemente profissional pode servir de porta de entrada para uma infraestrutura financeira. A plataforma de emprego legítima, a entrevista por vídeo e a partilha de fotografias ajudaram a construir a confiança que antecedeu a instalação do ficheiro malicioso.
O alcance do ataque foi além do primeiro computador. Segundo a Binance, os intrusos chegaram a máquinas de outros engenheiros através desse acesso e de uma ferramenta interna de IA. A segurança das carteiras depende também dos acessos e das ferramentas disponíveis aos trabalhadores que as mantêm.
