A corretora de criptomoedas Binance revelou na terça-feira que um sofisticado ciberataque, conduzido ao longo de vários meses, levou ao roubo de US$ 6,34 bilhões de seus sistemas de carteiras quentes em 29 de outubro. De acordo com um relatório oficial sobre o incidente, os invasores combinaram engenharia social, táticas enganosas de recrutamento, malware não detectado e uma ferramenta interna de inteligência artificial comprometida para violar a infraestrutura de assinatura da plataforma. Apesar da enorme violação, a Binance anunciou que havia reposto 98% dos ativos em tokens afetados até 31 de outubro, garantindo que os fundos dos clientes continuassem totalmente cobertos e que os saques fossem retomados em grande parte, sem prejuízos para os usuários.
A invasão teve início em junho, quando um engenheiro de DevOps expôs, sem saber, detalhes da infraestrutura das carteiras após baixar um arquivo de instalação adulterado. Explorando essa vulnerabilidade, os invasores lançaram uma campanha direcionada de engenharia social em setembro. Fazendo-se passar por gestores de contratação em uma rede profissional, os hackers realizaram falsas entrevistas de emprego com um segundo engenheiro e instruíram o funcionário a baixar um repositório de tarefas que continha malware não detectado. Depois de executado, o código malicioso comprometeu silenciosamente o computador de trabalho, permitindo que os autores do ataque usassem uma ferramenta interna de IA em 20 de outubro para sequestrar as estações de trabalho de dois engenheiros de carteiras e obter credenciais essenciais para a implantação de contêineres.
Em 29 de outubro, os autores do ataque implantaram um script malicioso para acessar as operações de assinatura das carteiras, orquestrando transferências rápidas de Bitcoin, Solana, XRP e Optimism. Os invasores também manipularam o mecanismo de delegação EIP-7702 do Ethereum para conceder permissões de execução a contratos inteligentes externos. Isso permitiu que as transferências não autorizadas continuassem mesmo depois que a Binance interrompeu os serviços padrão de saque. Como as carteiras baseadas em computação multipartidária não possuem uma única chave privada, as equipes técnicas precisaram recorrer a procedimentos especializados para revogar as delegações, o que foi concluído no início de 30 de outubro.
O Federal Bureau of Investigation atribuiu o ataque ao grupo de ameaças patrocinado pelo Estado norte-coreano TraderTraitor, que trabalhou em conjunto com as autoridades federais para rastrear e bloquear os ativos roubados em redes internacionais. A Binance confirmou que aproximadamente US$ 2,85 bilhões em fundos roubados já foram congelados ou interceptados por meio da coordenação do setor com entidades como a Tether e a Circle. Em resposta, a corretora reconstruiu completamente seu ambiente de carteiras, desativou credenciais comprometidas e encomendou auditorias independentes de cibersegurança para reforçar sua infraestrutura de segurança daqui para a frente.