A Binance afirma que o roubo de US$ 6,34 bilhões em ativos, em 29 de outubro, ocorreu após uma operação de cinco meses que começou com o download de um software adulterado e, mais tarde, usou falsas entrevistas de emprego para atingir funcionários. A corretora detalhou o ataque em seu primeiro relatório público sobre o incidente, divulgado na terça-feira junto com uma apresentação do co-CEO Richard Teng e do diretor de segurança Jimmy Su.

Segundo o relatório, o acesso inicial ocorreu em junho, quando um engenheiro de DevOps de carteiras baixou um instalador modificado de uma popular ferramenta de programação com IA. A Binance detectou uma anomalia, substituiu o dispositivo e alterou as credenciais, mas afirmou que o incidente revelou o cargo do engenheiro e os nomes de colegas da equipe de carteiras.

Em setembro, outra pessoa da equipe de engenharia foi abordada por meio de uma plataforma legítima de empregos por alguém que se fez passar por diretor de projetos. Após entrevistas por vídeo com pessoas que alegavam representar os recursos humanos e a liderança da empresa, o engenheiro recebeu uma tarefa de programação para instalar em um computador de trabalho. A Binance afirma que o repositório continha uma substituição maliciosa de um componente legítimo de software e criava uma conexão com um servidor controlado pelos invasores. As ferramentas de segurança de endpoints da empresa não detectaram o malware na época.

Mais tarde, os invasores usaram a máquina comprometida e uma ferramenta interna de IA para alcançar outros dois engenheiros de carteiras. Em 29 de outubro, eles acessaram o computador de outro engenheiro, implantaram um contêiner usando credenciais roubadas e começaram a transferir ativos. A Binance afirma que a operação também envolveu malware projetado para escapar da detecção de endpoints.

O relatório diz que cinco carteiras quentes enviaram 233,46 milhões de XRP para um endereço dos invasores entre 20:05 e 20:09 UTC. Em seguida, foram feitas transferências de cerca de 970.500 SOL e 44,2 milhões de OP, além de 18.270 BTC de uma carteira quente da Binance.

Os invasores também usaram o EIP-7702 da Ethereum para conceder a um contrato inteligente sob seu controle autoridade parcial sobre uma carteira quente da Binance. A Binance afirma que suspender saques não bloqueou essa rota, pois os invasores haviam enviado 50 transações de assinatura que criaram delegações na blockchain, fora de sua infraestrutura de saques. A última transferência não autorizada, de 2.961,9 ETH, foi concluída às 23:56 UTC. A Binance removeu a delegação às 00:10 UTC de 30 de outubro.

A Binance afirmou ter congelado ou interceptado cerca de US$ 2,85 bilhões dos ativos roubados e reposto 98% dos tokens afetados com recursos próprios, enquanto o restante está sendo comprado no mercado aberto. A empresa disse que reconstruiu o sistema de carteiras e a ferramenta interna de IA em novos ambientes, substituiu os dispositivos afetados, revogou credenciais e ampliou a detecção de anomalias comportamentais. Também está encomendando uma análise independente e aumentando os investimentos em segurança de endpoints e ambientes de desenvolvimento.

Segundo o relatório da Binance, o FBI atribuiu o ataque à Coreia do Norte, embora a própria Binance não faça essa atribuição. A Coreia do Norte rejeitou a alegação na segunda-feira. A Binance afirmou ter bloqueado neste ano outras 57 tentativas suspeitas ligadas à Coreia do Norte que usavam abordagens semelhantes.

Fontes: Bitcoin Magazine.