A exchange de criptomoedas Binance revelou como atacantes usaram entrevistas fraudulentas de recrutamento e softwares infectados por malware para infiltrar seus sistemas internos antes de roubar aproximadamente US$ 6,34 bilhões em ativos digitais. A investigação da empresa mostra que o ataque de 29 de outubro de 2026 resultou de uma série de compromissos envolvendo vários funcionários ao longo de vários meses.
De acordo com o artigo da Binance de 3 incident report de novembro, os atacantes começaram a preparar a operação já em junho, quando um engenheiro de software baixou uma instalação Homebrew modificada enquanto procurava uma ferramenta de desenvolvimento de IA. Embora a Binance tenha detectado o software suspeito e substituído o dispositivo afetado, os atacantes já haviam obtido informações que poderiam ajudar em novas intrusões.
Um ataque separado começou em setembro, quando outro engenheiro recebeu uma oportunidade de emprego por meio de uma plataforma legítima de recrutamento. O suposto empregador era uma empresa fictícia, e o indivíduo que se apresentava como diretor de projeto fazia parte do engano.
O engenheiro participou de duas entrevistas. Durante a primeira, alguém que se passou por representante de recursos humanos realizou uma videochamada e compartilhou um perfil nas redes sociais contendo fotos e vídeos pessoais para estabelecer credibilidade.
Durante a segunda entrevista, realizada por meio de um aplicativo de mensagens, o suposto empregador instruiu o engenheiro a baixar uma tarefa de codificação de um repositório online. A tarefa continha malware previamente não identificado que contornava as proteções de segurança dos endpoints da empresa.
Investigadores da Binance descobriram que o software malicioso substituiu um componente legítimo da ferramenta de desenvolvimento no computador macOS do funcionário. Especificamente, ele substituiu o executável pyenv por uma versão modificada capaz de executar comandos recebidos de um servidor controlado pelo atacante.
Até 20 de outubro, os atacantes combinaram acesso ao computador comprometido com uma ferramenta interna de IA para acessar sistemas pertencentes a dois funcionários adicionais envolvidos na infraestrutura de carteiras de criptomoedas da Binance. Posteriormente, eles obtiveram credenciais e um token de implantação de contêiner.
Em 29 de outubro, o acesso roubado permitiu que os atacantes implantassem códigos maliciosos e comprometessem o serviço de assinatura de carteiras da Binance. Isso possibilitou transferências não autorizadas de criptomoedas entre múltiplas blockchains sem seguir os procedimentos normais de saque da exchange.
Os atacantes também exploraram o mecanismo de autorização EIP-7702 do Ethereum, o que complicou os esforços da Binance para impedir as transferências. Atividades não autorizadas continuaram mesmo após a exchange suspender os saques.
O FBI atribuiu o roubo ao TraderTraitor, um grupo de hackers patrocinado pelo Estado norte-coreano também associado ao Grupo Lazarus. A Coreia do Norte negou envolvimento, enquanto a Binance não confirmou de forma independente a identidade dos atacantes.
A Binance informou que aproximadamente US$ 2,85 bilhões em ativos roubados foram congelados ou interceptados até 3 de novembro. A empresa também afirmou que havia reabastecido cerca de 98% dos ativos de tokens afetados usando seus próprios fundos.