Binance detalha falsas entrevistas de emprego e comprometimento de ferramenta de IA em ataque hacker

A Binance afirmou em suas conclusões iniciais, publicadas em 3 de novembro de 2026, que falsas entrevistas de recrutamento, software malicioso para desenvolvedores e o comprometimento de uma ferramenta interna de IA antecederam o roubo de aproximadamente US$ 6,34 bilhões em ativos digitais, em 29 de outubro de 2026.

A corretora arcará com o impacto financeiro, em vez de repassá-lo aos usuários. A Binance informou ter reservado mais de 100% dos fundos necessários para cobrir a perda, reposto 98% dos ativos em tokens afetados até 31 de outubro de 2026 e congelado ou interceptado aproximadamente US$ 2,85 bilhões, sujeito a conciliação e à volatilidade dos preços de mercado. A empresa está comprando os ativos restantes, de menor liquidez.

A página de Prova de Reservas, citada como referência para a reposição, descreve a cobertura de 1:1 dos ativos de custódia dos usuários. Ela utiliza registros em árvores de Merkle e provas zk-SNARK para que os usuários possam verificar se seus saldos estão incluídos no relatório de passivos.

As conclusões ainda são preliminares. A investigação continua, uma análise independente ainda está pendente, e a Binance está retendo alguns detalhes técnicos para evitar ajudar agentes mal-intencionados a planejar ataques.

Meses de acesso antes do ataque às carteiras

Em junho de 2026, um engenheiro de DevOps de carteiras baixou uma instalação adulterada do Homebrew enquanto tentava instalar uma ferramenta popular de programação com IA encontrada por meio de um mecanismo de busca. A Binance detectou a anomalia, substituiu o dispositivo e renovou as credenciais relacionadas, mas a função do engenheiro e seus colegas da equipe de infraestrutura de carteiras já haviam sido expostos ao atacante.

Em setembro de 2026, outro engenheiro de software foi contatado por meio de uma plataforma legítima de busca de emprego por alguém que se passava por diretor de projetos. Uma entrevista por vídeo ao vivo com uma suposta representante de recursos humanos foi seguida por uma segunda entrevista, em um popular aplicativo de bate-papo em redes sociais, com alguém que dizia ser o CEO de uma empresa fictícia. Perto do fim da conversa, o engenheiro recebeu instruções para baixar em um computador de trabalho uma tarefa que continha um repositório de código malicioso. O código do repositório foi executado durante a instalação.

O malware substituiu um componente legítimo do pyenv por uma versão maliciosa e se comunicou com um servidor controlado pelo atacante. A Binance afirmou que a proteção de endpoints não detectou o malware de dia zero naquele momento, enquanto o atacante tomou medidas para ocultar a atividade e remover vestígios do comprometimento.

Em 20 de outubro de 2026, o atacante usou o computador comprometido do segundo engenheiro e uma ferramenta interna de IA para ampliar o controle e alcançar o engenheiro de DevOps original e outro engenheiro de software de carteiras. Em seguida, foi encontrado no computador do engenheiro de DevOps um token de permissão para implantação de contêineres. Entre 17h15 e 19h56 UTC de 29 de outubro, o atacante acessou o computador do terceiro engenheiro, usou credenciais roubadas do engenheiro de DevOps, implantou um contêiner e acionou o script malicioso que iniciou o ataque às carteiras.

Autorizações on-chain dificultaram a contenção

O atacante usou acesso não autorizado a um serviço interno de assinatura de carteiras para iniciar transações fora do processo normal de saque da Binance. Entre 20h05 e 20h09 UTC, cinco carteiras quentes da Binance enviaram 233,46 milhões de XRP para um endereço controlado pelo atacante. As saídas subsequentes vieram de carteiras quentes da Solana e da Optimism, e uma carteira quente da Binance enviou 18.270 Bitcoin para um endereço controlado pelo atacante.

O atacante também explorou o mecanismo de autorização EIP-7702 do Ethereum, que permite que uma conta delegue determinados direitos de execução a um contrato inteligente sem expor sua chave privada. Cinquenta transações de assinatura manipularam o nonce da conta e estabeleceram autorizações de delegação maliciosas, concedendo a um contrato controlado pelo atacante direitos parciais de execução sobre uma carteira quente da Binance. Essas autorizações permitiram que os ativos continuassem se movimentando de forma independente da infraestrutura de saques da corretora.

Consequentemente, suspender os saques e desligar os serviços de carteiras quentes não invalidou as permissões on-chain existentes. Como a carteira usava computação multipartidária, não havia uma única chave privada disponível para revogação imediata, o que exigiu um procedimento especializado e levou mais tempo. A transferência não autorizada final, de 2.961,9 Ether, foi finalizada on-chain às 23h56 UTC, após ter permanecido pendente; nenhuma outra transferência não autorizada foi observada depois disso. Às 00h10 UTC de 30 de outubro de 2026, a Binance executou uma nova autorização de sua carteira quente Binance14 para o endereço zero, removendo o código de delegação malicioso.

Sistemas reconstruídos e atribuição independente do FBI

Em 3 de novembro, a Binance havia reconstruído o sistema de carteiras afetado em um novo ambiente e reconstruído a ferramenta interna de IA afetada e seus controles de acesso. Também substituiu os dispositivos afetados, desativou credenciais e tokens relacionados, concluiu verificações reforçadas nos dispositivos dos funcionários, ampliou a detecção de anomalias comportamentais baseada em IA e fortaleceu os controles de risco dos serviços de carteiras.

Especialistas independentes em cibersegurança estão sendo contratados para validar as constatações e recomendar medidas adicionais. A Binance está ampliando os investimentos em detecção baseada em IA, proteção de endpoints, segurança dos ambientes de desenvolvimento e monitoramento comportamental. A empresa também está trabalhando para criar um fundo de pesquisa em segurança e iniciativas direcionadas com empresas de IA, participantes do setor e empresas de segurança voltadas à segurança da IA em ambientes de blockchain.

Em um comunicado separado, datado de 31 de outubro de 2026, o FBI afirmou que os agentes norte-coreanos do TraderTraitor eram responsáveis pelo ataque, que o órgão e seus parceiros do USSS e do IRS-CI os observaram converter os ativos roubados principalmente em Ether e que se esperava que a lavagem continuasse por meio de serviços DeFi e de troca instantânea. As agências instaram operadores de nós, corretoras, serviços DeFi, empresas de análise de blockchain e outros provedores de ativos virtuais a bloquear transações que envolvessem os endereços listados ou deles derivassem.

O relato revela um problema de contenção que vai além da detecção de malware: substituir o primeiro dispositivo comprometido não encerrou a exposição do invasor à equipe responsável pelas carteiras, e suspender os saques não removeu a autoridade on-chain. A revisão independente passa agora a verificar tanto a reconstrução dessa cadeia pela Binance quanto se os controles reconstruídos são capazes de resolvê-la.