A Security Alliance (SEAL), uma organização sem fins lucrativos de cibersegurança, afirma que o agente de ameaças TraderTraitor, ligado à Coreia do Norte, provavelmente obteve acesso aos sistemas da Binance em setembro — cerca de oito semanas antes de a Binance revelar que sofreu um ataque que resultou no roubo de US$ 6,3 bilhões, em 29 de outubro. Em uma análise publicada na quinta-feira, a SEAL argumenta que a invasão começou meses antes do que o período do incidente divulgado publicamente faria supor, dando aos invasores tempo para agir discretamente e mapear os controles internos.
A SEAL também associa o TraderTraitor a uma rede de empresas de fachada usadas em golpes de recrutamento em 2026, identificando pelo menos quatro domínios relacionados à campanha. As conclusões da organização também destacam um padrão recorrente observado em grandes violações de segurança no setor cripto: acessos em várias etapas que podem persistir por semanas antes de os fundos serem finalmente drenados.
Principais conclusões
A SEAL estima que o TraderTraitor obteve acesso aos sistemas da Binance em setembro, cerca de oito semanas antes da exploração de US$ 6,3 bilhões, em 29 de outubro.
O relatório sugere que os invasores mantiveram um “alto grau de discrição” após a intrusão inicial, o que lhes permitiu navegar internamente por um período prolongado.
A SEAL identificou pelo menos quatro “empresas de fachada” de 2026 ligadas às campanhas de recrutamento do TraderTraitor: citalab.net, citalab.com, bitfit.io e oddium.io.
A SEAL aponta cronologias semelhantes em outros ataques a criptomoedas, sugerindo que os invasores costumam manter o acesso por semanas antes de explorar os sistemas.
A Binance atribuiu o ataque a uma falsa entrevista de emprego que comprometeu o dispositivo de um funcionário e levou ao roubo de credenciais; a Binance afirmou que a campanha remontava a junho.
O acesso inicial pode ter começado muito antes da violação que ganhou destaque
A principal alegação da SEAL é que o comprometimento operacional da Binance não começou na data da exploração pública. No relatório de quinta-feira, o grupo escreveu que a intrusão do TraderTraitor nos sistemas da Binance provavelmente começou em setembro e que os agentes da ameaça poderiam permanecer dentro deles por períodos prolongados, mantendo significativa discrição.
Isso importa para profissionais de defesa e participantes do mercado porque a “data do incidente” muitas vezes acaba sendo o único marco visível publicamente. Se os invasores conseguem permanecer nos sistemas por semanas antes de executar uma violação de grande impacto, o período real de exposição pode envolver falhas no monitoramento interno, na higiene de credenciais e nos controles de acesso, que talvez só sejam percebidas depois que o dano já foi causado.
Conexões com golpes de recrutamento e infraestrutura
A SEAL também afirmou ter identificado pelo menos quatro “empresas de fachada” ligadas às falsas campanhas de recrutamento do TraderTraitor em 2026. Os domínios mencionados na análise — citalab.net, citalab.com, bitfit.io e oddium.io — são apresentados como parte de um esforço mais amplo para estabelecer credibilidade, atrair vítimas e criar caminhos de acesso às organizações visadas.
Essa linha de análise está de acordo com o que a Binance descreveu publicamente. Reportagens anteriores mencionadas pela SEAL indicam que a Binance atribuiu o ataque de US$ 6,3 bilhões a uma falsa entrevista de emprego, que permitiu aos invasores comprometer o dispositivo de um funcionário e roubar credenciais usadas para violar a infraestrutura de carteiras da corretora.
Como, segundo a SEAL, isso se compara a outros grandes ataques a criptomoedas
Além do caso da Binance, a SEAL recorreu a outros incidentes de grande repercussão para argumentar que intrusões em várias etapas são uma característica recorrente de ataques em grande escala contra o setor cripto. A organização estimou os períodos aproximados de acesso anteriores à exploração em vários casos, incluindo:
Cerca de seis semanas de acesso antes do ataque de US$ 388 milhões à Bitget.
Cerca de seis semanas de acesso à LayerZero antes da exploração da vulnerabilidade que levou ao ataque de US$ 293 milhões à Kelp DAO.
Cerca de três semanas antes da execução do ataque de US$ 24 milhões à AFX.
Embora as cronologias variem de um incidente para outro, o ponto em comum é que o comprometimento pode anteceder a exploração em semanas. Na prática, isso desloca o debate sobre segurança da simples preparação para responder a incidentes para a detecção antecipada — por exemplo, identificar a presença prolongada de invasores, padrões de acesso anormais e exposição de credenciais muito antes de os ativos serem movimentados.
A versão da Binance e o debate mais amplo sobre atribuição
As estimativas da SEAL levantaram dúvidas sobre quando e como a intrusão começou, e a Cointelegraph tentou verificar a análise entrando em contato com a Binance para pedir comentários. A Cointelegraph informou que a Binance não respondeu até a publicação da reportagem.
A Binance já descreveu uma sequência de eventos diferente. Segundo a empresa, a campanha de ataque remonta a junho, quando o dispositivo de outro funcionário foi comprometido. A Binance afirmou ter detectado aquela intrusão anterior e substituído o dispositivo, mas acrescentou que os invasores talvez já tivessem coletado informações sobre os funcionários e a infraestrutura de carteiras da Binance. A Binance também apontou a falsa entrevista de emprego como o meio que acabou possibilitando a exploração, detalhada publicamente após o incidente de 29 de outubro.
A atribuição também foi contestada no plano geopolítico. O FBI (Departamento Federal de Investigação dos EUA) atribuiu o ataque ao TraderTraitor, da Coreia do Norte, em um relatório divulgado no sábado, enquanto Kim Yo Jong — irmã do líder norte-coreano Kim Jong Un — rejeitou as acusações, segundo uma reportagem anterior citada pela Cointelegraph.
Em conjunto, a disputa evidencia uma assimetria conhecida em incidentes cibernéticos: investigadores e organizações afetadas podem dar ênfase a diferentes etapas da mesma cadeia de ataque (acesso inicial, roubo de credenciais ou violação final das carteiras). A contribuição da SEAL é se concentrar no provável momento do acesso aos sistemas e em quanto tempo os invasores podem ter permanecido neles antes da data da exploração pública.
Os leitores que acompanharem os próximos desdobramentos desta história devem ficar atentos a possíveis novos detalhes técnicos que conciliem a cronologia do comprometimento em junho descrita pela Binance com a estimativa da SEAL de acesso aos sistemas em setembro, e também a se padrões semelhantes de “acesso por semanas” se tornarão mais visíveis em futuras reportagens sobre incidentes em outras corretoras e protocolos.
Este artigo foi publicado originalmente com o título “Hackers da Binance tiveram acesso por 8 semanas antes da exploração de US$ 6,3 bilhões, afirma aliança” no Crypto Breaking News — sua fonte confiável de notícias sobre criptomoedas, Bitcoin e atualizações sobre blockchain.