A Binance descreveu o roubo de US$ 6,43 bilhões em ativos como resultado de uma campanha em várias etapas que envolveu engenharia social, software malicioso e ferramentas internas comprometidas. A empresa afirmou que os atacantes visaram dois engenheiros e, por fim, acessaram um serviço interno de assinatura de carteiras para iniciar transações fora do processo normal de saques.
A primeira etapa começou em junho de 2026, quando um engenheiro da equipe de DevOps de Carteiras da Binance baixou um instalador adulterado do Homebrew enquanto procurava uma ferramenta popular de IA. A Binance afirmou que detectou o incidente e substituiu as credenciais relacionadas, mas informações sobre a função do engenheiro e seus colegas da equipe de infraestrutura de carteiras haviam sido expostas.
Em setembro, os atacantes abordaram um segundo engenheiro por meio de uma plataforma de busca de emprego, fingindo ser um diretor de projetos. O engenheiro foi convidado para duas entrevistas: uma com uma suposta representante de RH e outra com alguém que alegava ser o CEO de uma empresa que, segundo a Binance, não existia. Ao fim da segunda entrevista, pediram ao engenheiro que baixasse, em um computador de trabalho, uma tarefa contendo um repositório de código malicioso.
O código do repositório era executado durante a configuração. A Binance afirmou que o malware usava técnicas de ofuscação e evasão, inclusive substituindo um componente legítimo de uma ferramenta de desenvolvimento por uma versão contaminada para executar comandos e se conectar a um servidor controlado pelos atacantes. Os atacantes também removeram evidências forenses relacionadas à invasão.
Em 20 de outubro, os atacantes usaram o computador comprometido e abusaram de uma ferramenta interna de IA para obter controle sobre o primeiro engenheiro e outro engenheiro de software de carteiras. A Binance afirmou que eles encontraram, no computador do primeiro engenheiro, um token de permissão para implantação de contêineres. Em 29 de outubro, eles acessaram o computador do terceiro engenheiro com credenciais roubadas, implantaram um contêiner e executaram um script malicioso.
A Binance afirmou que reconstruiu o sistema de carteiras afetado em um novo ambiente e reconstituiu sua ferramenta interna de IA e os controles de acesso. A empresa também substituiu os dispositivos afetados, revogou as credenciais e os tokens relacionados, verificou os dispositivos dos funcionários, reforçou os controles de risco do serviço de carteiras e ampliou a detecção de anomalias comportamentais baseada em IA. A empresa disse que está trabalhando com autoridades policiais, empresas de inteligência de blockchain e parceiros do setor para rastrear e congelar os ativos afetados.
A Binance acrescentou que fechou os pontos de entrada identificados e reconstruiu ou substituiu os sistemas envolvidos no ataque. A empresa também afirmou ter frustrado 57 casos suspeitos de ameaças cibernéticas ligadas à Coreia do Norte desde o início do ano e descreveu falsas entrevistas de emprego, ferramentas maliciosas para desenvolvedores e engenharia social para roubo de credenciais como técnicas usadas em ataques contra o setor de criptomoedas.
Fontes: The Hacker News.