Em 4 de novembro, CZ publicou uma mensagem no X em resposta ao incidente de segurança da Binance, de US$ 6,3 bilhões, ocorrido em 29 de outubro e divulgado no dia 30.
“Um ataque hacker dessa magnitude significa que houve uma grave falha de segurança. Nenhuma plataforma é absolutamente segura, mas isso não serve de desculpa.”
Ele também usou duas expressões: “falha grave de segurança” e “constrangedora”. Essa foi a definição que o fundador deu às defesas da própria empresa, cinco dias após o incidente, sem atribuir a responsabilidade ao novo mecanismo EIP-7702.
Reconhecer o erro e contextualizar, no mesmo parágrafo
Na declaração de CZ, coexistem dois juízos que são igualmente indispensáveis.
O primeiro é o reconhecimento do erro: “Todo incidente de segurança revela vulnerabilidades que deveriam ter sido evitadas.”
O segundo é a contextualização. Ele acrescentou que a explicação pública “simplificou um ataque que aparentemente durou meses, talvez até um ano, e teve como alvo centenas de funcionários e sistemas, embora apenas alguns sistemas tenham sido invadidos”.
O reconhecimento do erro é direto, e a contextualização é clara. Ele admite que as defesas foram violadas e, ao mesmo tempo, explica a extensão dessas defesas e a profundidade do ataque — as duas coisas não se contradizem: a primeira diz respeito à postura, a segunda, aos fatos.
Relatório preliminar já foi publicado e corresponde à descrição de CZ
É preciso corrigir uma divergência temporal mencionada anteriormente: a análise técnica da Binance não estava “ainda por ser publicada”. Em 3 de novembro, horário local, a Binance já havia divulgado um relatório preliminar de investigação. A publicação de CZ no dia seguinte ocorreu após a divulgação do relatório.
Os principais detalhes do relatório correspondem à descrição de CZ — um ataque “que teve como alvo centenas de funcionários e sistemas e durou meses”: ataque à cadeia de suprimentos em junho, instalação de malware zero-day por meio de falsas vagas de emprego em setembro, ampliação do controle com o uso de ferramentas internas de IA em 20 de outubro e invasão das operações de assinatura de carteiras em 29 de outubro. Ativos foram transferidos de cinco hot wallets, uma após a outra; em seguida, o EIP-7702 foi usado para estabelecer delegações maliciosas.
O FBI já declarou que a Coreia do Norte é responsável pelo incidente. A Binance afirmou que reconstruiu os sistemas afetados, substituiu os dispositivos e reservou mais de 100% dos fundos necessários; 98% dos ativos em tokens afetados já foram repostos.
As exigências “na qualidade de acionista”
CZ escreveu explicitamente: “Como acionista, quero que a Binance explique de forma aberta e transparente o que deu errado, assuma a responsabilidade, aprenda com todas as críticas e faça melhorias concretas e eficazes.”
As quatro exigências — transparência, responsabilização, aprendizado e melhoria — podem ser verificadas. O relatório preliminar é o primeiro passo para a transparência, e a reserva de US$ 6,34 bilhões é o primeiro passo para assumir a responsabilidade. A eventual contratação de uma análise independente por terceiros e a concretização de um fundo para pesquisa em segurança serão parâmetros para avaliar as “melhorias”.
Há divergências entre as fontes quanto ao valor congelado: em comunicado de 30 de outubro, a Binance afirmou ter congelado cerca de US$ 3 bilhões; o relatório preliminar atualizou o valor para aproximadamente US$ 2,85 bilhões congelados ou interceptados; outras notícias relataram que o montante congelado chegou posteriormente a US$ 5 bilhões. Congelar não significa devolver, mas a ordem de grandeza dos valores não altera a estrutura básica do incidente.
Aviso: conteúdo apenas para fins informativos. Faça sua própria pesquisa.