Falsa oferta de emprego e download suspeito levaram ao roubo de US$ 6,3 bilhões da Binance

Um download de software adulterado e uma falsa entrevista de emprego foram os primeiros passos de uma operação que resultou no roubo de aproximadamente US$ 6,34 bilhões em criptomoedas da Binance, em 29 de outubro de 2026.

Os detalhes foram apresentados pela corretora em um relatório preliminar divulgado em 3 de novembro. Segundo a investigação, os criminosos passaram meses preparando o ataque, comprometendo computadores de funcionários e obtendo credenciais para acessar sistemas responsáveis pelas carteiras digitais da empresa.

A Binance afirma que o incidente não foi resultado de uma invasão isolada, mas de uma campanha coordenada que combinou engenharia social, softwares maliciosos e exploração de ferramentas internas.

Tudo começou com um download suspeito

O primeiro incidente ocorreu em junho, quando um engenheiro da equipe de infraestrutura de carteiras digitais baixou uma versão adulterada do instalador do Homebrew, popular gerenciador de pacotes para macOS. O funcionário procurava instalar uma ferramenta de programação baseada em inteligência artificial e encontrou o instalador por meio de um mecanismo de busca.

A equipe de segurança identificou a atividade suspeita, substituiu o computador e renovou as credenciais relacionadas. Entretanto, os invasores já haviam conseguido informações sobre as funções do engenheiro e seus colegas. Esse tipo de armadilha não é incomum.

Em maio, o SANS Technology Institute documentou anúncios maliciosos que imitavam páginas do Homebrew e distribuíam malware para macOS, embora não tenha estabelecido ligação direta entre aquela campanha e o ataque à Binance.

Hackers criaram uma empresa falsa para enganar funcionário

Em setembro, os criminosos abordaram outro engenheiro por meio de uma plataforma legítima de recrutamento. O funcionário participou de duas entrevistas: a primeira com um suposto representante de recursos humanos e a segunda com alguém que se apresentava como CEO. Ambos representavam uma empresa fictícia.

Durante o processo seletivo, ele recebeu um teste técnico que exigia baixar um repositório de código em seu computador profissional. Na realidade, o projeto escondia um malware que substituiu um componente legítimo da ferramenta de desenvolvimento pyenv, permitindo a execução de comandos maliciosos. Segundo a Binance, o programa utilizava técnicas avançadas para evitar sua detecção e não foi identificado pelas ferramentas de proteção instaladas no dispositivo.

Ferramenta de IA também foi utilizada na invasão

Em 20 de outubro, os invasores aproveitaram o computador comprometido e uma ferramenta interna de inteligência artificial para obter controle sobre outras duas máquinas utilizadas por engenheiros da Binance. Durante essa movimentação, descobriram um token com permissões para implantar contêineres, ambientes utilizados na execução de aplicações.

Nove dias depois, utilizaram credenciais roubadas para executar um script malicioso e acessar o serviço responsável pela autorização de transações das carteiras digitais. Os criminosos também exploraram o mecanismo EIP-7702 do Ethereum, que permite delegar determinadas permissões de execução a contratos inteligentes.

Isso possibilitou a continuidade de transferências não autorizadas mesmo depois que a Binance suspendeu os saques. A empresa precisou realizar operações adicionais para revogar essas permissões.

Binance promete cobrir prejuízos; FBI aponta Coreia do Norte

Até 3 de novembro, a Binance informou ter congelado ou interceptado aproximadamente US$ 2,85 bilhões dos ativos envolvidos. A corretora também afirmou ter reposto 98% dos ativos em tokens afetados até 31 de outubro, utilizando recursos próprios, e prometeu que seus clientes não arcariam com as perdas.

O FBI atribuiu o ataque ao grupo norte-coreano TraderTraitor, embora autoridades da Coreia do Norte neguem o envolvimento. A Binance anunciou a reconstrução dos sistemas comprometidos, o reforço das medidas de segurança e uma auditoria independente. A investigação permanece em andamento.

O caso evidencia como ataques de engenharia social podem comprometer até mesmo infraestruturas financeiras altamente protegidas, especialmente quando credenciais de funcionários permitem acesso a operações críticas.

Fonte: PC Gamer