Mesmo com os saques suspensos, as transferências na blockchain continuavam por conta própria.
Hoje, a Binance detalhou o que aconteceu na noite de 29 de outubro, minuto a minuto. Entre 20:05 e 20:09 UTC, cinco carteiras quentes transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes. Também foram roubados cerca de 970,5 mil SOL, 44,2 milhões de OP e 18.270 BTC. O incidente afetou cerca de 6,34 bilhões de dólares; 2,85 bilhões foram congelados ou bloqueados.
O ponto-chave era onde a autorização estava vinculada. Os atacantes não obtiveram uma chave privada específica: usaram um serviço de assinatura para vincular seus próprios contratos a uma delegação EIP-7702 do Ethereum. Depois que a delegação entrou na blockchain, as transferências contornaram o processo de saque. Suspender os saques controlava os canais normais, mas não podia impedir a autorização que já estava ativa na blockchain.
As carteiras quentes usavam computação multipartidária, sem uma única chave privada que pudesse ser revogada imediatamente. Por isso, a equipe criou às pressas um procedimento de revogação. Durante esse intervalo, os atacantes enviaram 50 transações assinadas para manipular o nonce da conta. A última transferência, de 2.961,9 ETH, foi confirmada às 23:56 UTC. Só às 00:10 de 30 de outubro foi enviada uma autorização da carteira quente Binance14 para o endereço zero, removendo o código de delegação.
Não houve uma vulnerabilidade de código em nenhum dos pontos de entrada. Em junho, um engenheiro de operações de carteiras, A, pesquisou uma ferramenta de programação com IA e baixou um pacote de instalação adulterado do Homebrew. O pyenv foi substituído por uma versão de 3.414 bytes, enquanto a original tinha 3.344 bytes. Em setembro, o engenheiro de software B foi atraído para uma falsa entrevista de emprego numa plataforma de recrutamento e, ao fim da segunda entrevista, pediram que baixasse um repositório com uma tarefa. Em 20 de outubro, uma ferramenta interna de IA serviu de trampolim para movimentação lateral. Entre 17:15 e 19:56 de 29 de outubro, os atacantes usaram credenciais roubadas para implantar contêineres no computador do engenheiro C.
Segundo a própria Binance, em 2026 sua equipe de segurança detectou e impediu 57 incidentes de ameaças cibernéticas suspeitos de estarem ligados à Coreia do Norte. A observação acrescentada pela Binance é ainda mais direta: muitos ataques foram bloqueados, mas o custo de deixar passar apenas um é muito alto.
O mais importante neste relatório é a diferença de horário. Até 31 de outubro, 98% dos tokens afetados já haviam sido repostos, então a questão da indenização deixou de ser uma incógnita. O que precisa ser investigado são as quatro horas entre 20:05 e 00:10, quando, mesmo depois de o botão de pausa ser acionado, as permissões dos atacantes continuaram ativas na blockchain. Da próxima vez que vir um comunicado desse tipo, pergunte primeiro se aquelas autorizações na blockchain foram revogadas.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU
Hoje, a Binance detalhou o que aconteceu na noite de 29 de outubro, minuto a minuto. Entre 20:05 e 20:09 UTC, cinco carteiras quentes transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes. Também foram roubados cerca de 970,5 mil SOL, 44,2 milhões de OP e 18.270 BTC. O incidente afetou cerca de 6,34 bilhões de dólares; 2,85 bilhões foram congelados ou bloqueados.
O ponto-chave era onde a autorização estava vinculada. Os atacantes não obtiveram uma chave privada específica: usaram um serviço de assinatura para vincular seus próprios contratos a uma delegação EIP-7702 do Ethereum. Depois que a delegação entrou na blockchain, as transferências contornaram o processo de saque. Suspender os saques controlava os canais normais, mas não podia impedir a autorização que já estava ativa na blockchain.
As carteiras quentes usavam computação multipartidária, sem uma única chave privada que pudesse ser revogada imediatamente. Por isso, a equipe criou às pressas um procedimento de revogação. Durante esse intervalo, os atacantes enviaram 50 transações assinadas para manipular o nonce da conta. A última transferência, de 2.961,9 ETH, foi confirmada às 23:56 UTC. Só às 00:10 de 30 de outubro foi enviada uma autorização da carteira quente Binance14 para o endereço zero, removendo o código de delegação.
Não houve uma vulnerabilidade de código em nenhum dos pontos de entrada. Em junho, um engenheiro de operações de carteiras, A, pesquisou uma ferramenta de programação com IA e baixou um pacote de instalação adulterado do Homebrew. O pyenv foi substituído por uma versão de 3.414 bytes, enquanto a original tinha 3.344 bytes. Em setembro, o engenheiro de software B foi atraído para uma falsa entrevista de emprego numa plataforma de recrutamento e, ao fim da segunda entrevista, pediram que baixasse um repositório com uma tarefa. Em 20 de outubro, uma ferramenta interna de IA serviu de trampolim para movimentação lateral. Entre 17:15 e 19:56 de 29 de outubro, os atacantes usaram credenciais roubadas para implantar contêineres no computador do engenheiro C.
Segundo a própria Binance, em 2026 sua equipe de segurança detectou e impediu 57 incidentes de ameaças cibernéticas suspeitos de estarem ligados à Coreia do Norte. A observação acrescentada pela Binance é ainda mais direta: muitos ataques foram bloqueados, mas o custo de deixar passar apenas um é muito alto.
O mais importante neste relatório é a diferença de horário. Até 31 de outubro, 98% dos tokens afetados já haviam sido repostos, então a questão da indenização deixou de ser uma incógnita. O que precisa ser investigado são as quatro horas entre 20:05 e 00:10, quando, mesmo depois de o botão de pausa ser acionado, as permissões dos atacantes continuaram ativas na blockchain. Da próxima vez que vir um comunicado desse tipo, pergunte primeiro se aquelas autorizações na blockchain foram revogadas.
#中本聪国际社区Baoluo币商资本 #币安推出BinanceIntelligence #币安 #SAFU