A plataforma de negociação digital "Binance" esclareceu que a recente invasão, que resultou na apropriação de ativos no valor de US$ 6,34 bilhões, foi resultado de uma campanha complexa que durou vários meses e visou os computadores de três engenheiros de sua infraestrutura de carteiras, incluindo uma invasão por meio de uma entrevista de emprego falsa e uma tarefa de programação maliciosa, além da exploração de uma ferramenta de inteligência artificial interna.
De acordo com o relatório preliminar emitido pela plataforma, as autoridades e as equipes de resposta conseguiram congelar e recuperar cerca de US$ 2,85 bilhões dos ativos roubados até agora, enquanto o FBI (Federal Bureau of Investigation) atribuiu o ataque ao grupo de infiltração cibernética "TraderTraitor", ligado à Coreia do Norte.
Detalhes da infiltração dos atacantes através de engenharia social
O processo de infiltração começou em junho, quando um engenheiro de DevOps de carteiras (Wallet DevOps) tentou baixar uma ferramenta de programação baseada em IA através de um mecanismo de busca, o que levou à instalação de uma versão modificada e maliciosa do pacote (Homebrew). Embora a equipe de segurança cibernética da plataforma tenha detectado a ameaça, substituído o dispositivo do engenheiro e redefinido suas credenciais, os atacantes conseguiram coletar informações valiosas sobre a natureza de seu trabalho e de sua equipe.
Em setembro, os atacantes visaram um segundo engenheiro por meio de um golpe de recrutamento, no qual foram realizadas duas entrevistas; a primeira com um representante de RH falso que apresentou contas de redes sociais verificadas com fotos pessoais para ganhar confiança, e a segunda com uma pessoa que alegou ser o CEO de uma empresa fictícia. A entrevista terminou com o pedido para baixar uma "tarefa de programação" para testar suas habilidades, que continha um repositório de código malicioso que foi executado imediatamente após a configuração. O malware substituiu um componente principal nas ferramentas de desenvolvimento e abriu um canal de comunicação com o servidor de comando e controle dos atacantes sem ser detectado pelos sistemas de detecção e resposta de endpoint (EDR), pois utilizou uma vulnerabilidade desconhecida (0-day).
Exploração de ferramenta de IA e vulnerabilidades de protocolos
Em 20 de outubro, os atacantes utilizaram o computador infectado, juntamente com uma ferramenta de IA interna, para acessar o sistema do primeiro engenheiro e o sistema de um terceiro engenheiro da equipe de carteiras. Em 29 de outubro, eles acessaram o computador do terceiro engenheiro e implantaram um ambiente de contêiner (Container) usando as credenciais do primeiro engenheiro, executando então um script malicioso para transferir os ativos.
Os atacantes exploraram o acesso não autorizado ao serviço de assinatura de carteiras quentes para transferir moedas como XRP, SOL, OP e BTC. Eles também exploraram o mecanismo (EIP-7702) na rede Ethereum para conceder a um contrato inteligente específico autoridade de execução parcial na carteira quente. Como a carteira estava protegida pela tecnologia de computação multipartidária (MPC), não havia chaves únicas para revogar a autorização imediatamente, e as transferências continuaram até que a autorização fosse cancelada após a meia-noite.
Por que esta notícia é importante para o setor técnico e cibernético?
Este incidente revela uma mudança qualitativa nos métodos de engenharia social; a ameaça não se limita mais a mensagens de phishing tradicionais, mas se estendeu para incluir entrevistas de emprego totalmente planejadas e a sabotagem de ferramentas de desenvolvimento diárias. Também destaca o desafio duplo resultante da integração de ferramentas de IA em ambientes corporativos sem restrições rigorosas de permissões, pois elas podem ser exploradas como uma ponte para acessar sistemas sensíveis e realizar movimentação lateral (Lateral Movement) entre dispositivos autorizados.
Recuperação e medidas de segurança tomadas
A "Binance" confirmou a reconstrução do sistema de carteiras e da ferramenta de IA afetada do zero, além da substituição de dispositivos e da revogação de todos os tokens e credenciais anteriores. A empresa também contratou empresas de segurança independentes para revisar o incidente e anunciou a criação de um fundo de pesquisa especializado em segurança de IA em ambientes blockchain.
Por sua vez, o Co-CEO Richard Teng afirmou que 98% dos ativos afetados foram compensados e sua estabilidade foi restaurada, e que os saques foram disponibilizados gradualmente aos usuários, paralelamente à implementação de provas de conhecimento zero (Zero-Knowledge Proofs) para confirmar a cobertura total das reservas da plataforma.