A exchange de criptomoedas Binance revelou, nesta terça-feira (3), mais detalhes sobre o roubo de grandes proporções que afetou a companhia. Em novo comunicado, ela explicou a ação prévia dos cibercriminosos para comprometer sistemas e ganhar acessos à plataforma.De acordo com o relatório, a invasão que movimentou aproximadamente US$ 6,34 bilhões (cerca de R$ 34 bilhões na cotação atual) em ativos virtuais foi resultado de um ataque sofisticado, em múltiplas etapas e que se aproveitou de falhas em diferentes sistemas.Um dos elementos mais chamativos do material é a descrição do papel da engenharia social no ataque. Nas operações de preparação para o roubo, funcionários da Binance foram enganados por técnicas complexas para terem os computadores comprometidos, em ações que envolveram até falsas entrevistas de emprego.Como os cibercriminosos acessaram a BinancePara realizar a operação contra a Binance, os invasores combinaram as seguintes técnicas:pesquisa e monitoramento de funcionários;entrevistas de recrutamento falsas;downloads de software malicioso com mecanismos de ocultação avançados;comprometimento de ferramentas internas de IA e de endpoints;uso de métodos avançados de autorização de transações.Na primeira etapa, um colaborador identificado como Engenheiro A acidentalmente fez o download de “uma instalação adulterada do Homebrew” para instalar uma ferramenta de programação. Isso não gerou uma brecha no PC, que foi trocado, mas expôs aos responsáveis pelo golpe a função e a identidade de uma equipe inteira.Em seguida, o funcionário chamado de Engenheiro de Software B foi contatado por uma plataforma de busca de emprego por alguém se passando por um diretor de projetos, falsamente interessado na contratação desse profissional.O Engenheiro de Software B fez ao menos duas entrevistas com uma equipe de recrutamento forjada, incluindo por videochamada e com troca de contas de rede social “a fim de construir confiança” — uma abordagem mais avançada do que várias outras técnicas parecidas.A própria Coreia do Norte já foi acusada de “infiltrar” profissionais de TI em empresas dos Estados Unidos por meio de entrevistas de emprego com o uso de deepfakes. Porém, o caso relatado aqui é o oposto, com os criminosos no papel de recrutadores.Perto do final da entrevista, o Engenheiro B foi instruído a baixar um arquivo contendo uma falsa tarefa, que seria usada para avaliar as habilidades do candidato. Porém, o arquivo era um repositório de código malicioso, usado para infectar o computador de trabalho da pessoa e promover “uma série de atividades não autorizadas”. Além de se ocultar de mecanismos de segurança, o código estabeleceu conexão com um servidor externo de posse dos cibercriminosos e usou uma ferramenta interna de IA para garantir acesso a dois outros alvos: as máquinas do Engenheiro A de DevOps de Carteiras e o Engenheiro C de Software de Carteiras.Esse último colaborador era o que tinha as permissões e credenciais mais avançadas entre o trio, o que permitiu a implementação de um script malicioso para iniciar o ataque, que envolveu o acesso não autorizado a um serviço interno de assinatura de carteiras.O roubo bilionárioA Binance também forneceu mais detalhes do dia das transferências fraudulentas, como a linha do tempo do golpe: os envios foram todos realizados entre 17 horas e 5 minutos e 20 horas e 56 minutos (horário de Brasília) de 29 de outubro.Nas primeiras movimentações, as carteiras quentes (ou seja, conectadas à internet de forma permanente) usadas já acenderam alertas na Binance pelos valores envolvidos, mas as permissões obtidas na fase de preparo dificultaram o bloqueio dessas e outras transações. View this post on Instagram Como forma de reduzir os danos e evitar novas explorações de vulnerabilidade, a Binance suspendeu saques temporariamente, além de tentar congelar os tokens movimentados — até agora, aproximadamente US$ 2,85 bilhões em ativos virtuais já foram novamente interceptados.Além disso, a empresa garante que “reservou mais de 100% dos fundos necessários para cobrir a perda” para indenizar integralmente os usuários. A exchange voltou a permitir saques três dias depois de bloquear as movimentações.Os suspeitos do ataque são o TraderTraitor, grupo de hackers ligados ao governo da Coreia do Norte, mas a administração local rejeitou as acusações. Segundo a própria companhia, porém, 57 casos de ameaças cibernéticas “com suspeita de ligação” com o país foram impedidas só em 2026.Como apps falsos de IA ajudam a infectar computadores? Entenda nesta matéria!