A binance revelou nesta última terça-feira (3) novos detalhes sobre o ataque cibernético que resultou no roubo de aproximadamente US$ 6,3 bilhões em criptomoedas de carteiras da plataforma. Segundo relatório divulgado pela própria exchange, os criminosos utilizaram diferentes estratégias para comprometer computadores de funcionários, incluindo uma falsa entrevista de emprego, softwares adulterados e uma ferramenta interna de inteligência artificial. A operação teria começado em junho e se estendido por vários meses antes da retirada dos ativos, em 29 de outubro.
De acordo com a investigação apresentada pela empresa, a primeira brecha ocorreu quando um funcionário da equipe responsável pelo desenvolvimento de carteiras digitais baixou uma ferramenta de programação adulterada. O programa havia sido modificado para permitir o acesso de invasores ao computador do profissional. A versão maliciosa teria sido divulgada por meio de um anúncio na internet, que aparecia entre os primeiros resultados de buscas.
A Binance afirmou que identificou a atividade suspeita, substituiu o equipamento comprometido e alterou as credenciais de acesso. No entanto, os invasores já haviam obtido informações sobre as funções desempenhadas pelo funcionário e sobre outros integrantes da equipe responsável pela infraestrutura de carteiras da exchange.
Em setembro, os criminosos utilizaram uma segunda estratégia para atingir outro engenheiro de software da empresa. O profissional, que procurava uma nova oportunidade de trabalho, foi abordado por pessoas que se apresentaram como representantes de uma companhia aparentemente legítima. O processo seletivo incluiu entrevistas por vídeo e uma conversa com alguém que se identificou como diretor-executivo de uma empresa fictícia.
Durante a seleção, o funcionário recebeu uma tarefa de programação e foi orientado a baixar um repositório de códigos no computador utilizado para trabalhar na Binance. O arquivo continha um código malicioso capaz de comprometer o dispositivo e escapar dos mecanismos de segurança da empresa.
A partir desse acesso, os invasores avançaram sobre os sistemas internos. Em 20 de outubro, utilizaram o computador comprometido e uma ferramenta interna de inteligência artificial para alcançar os dispositivos de dois desenvolvedores responsáveis pela infraestrutura de carteiras. Nove dias depois, recorreram a credenciais roubadas e executaram um script malicioso que permitiu iniciar as transferências não autorizadas.
O ataque foi identificado em 29 de outubro e atingiu principalmente as chamadas hot wallets, carteiras digitais conectadas à internet e utilizadas para movimentações de criptomoedas. Segundo a Binance, os criminosos retiraram 233,46 milhões de unidades de XRP de cinco carteiras em apenas quatro minutos. Na sequência, outros ativos digitais, incluindo bitcoin, também foram transferidos para endereços controlados pelos invasores.
A movimentação não foi interrompida imediatamente. A exchange informou que recebeu alertas internos sobre transferências de grande volume e iniciou uma investigação, suspendendo saques e tentando bloquear os ativos envolvidos. Mesmo com as medidas de contenção, as transferências não autorizadas continuaram por quase quatro horas. A última movimentação identificada ocorreu às 23h56 UTC, segundo o relatório da empresa.
Durante a resposta ao incidente, a Binance conseguiu congelar ou interceptar aproximadamente US$ 2,85 bilhões em ativos. A companhia também informou que está utilizando recursos próprios para recompor os valores afetados e que cerca de 98% dos tokens impactados já haviam sido repostos. A empresa afirmou que os clientes prejudicados serão reembolsados e que os depósitos não foram comprometidos.
A investigação também apontou o possível envolvimento de hackers ligados à Coreia do Norte. O FBI atribuiu o ataque a um grupo norte-coreano, mas o governo do país rejeitou as acusações. A Binance informou que trabalha com autoridades e especialistas em segurança para identificar os responsáveis e acompanhar o destino dos ativos roubados.
O episódio reacendeu o debate sobre a segurança das plataformas de criptomoedas e os riscos associados ao acesso de funcionários a sistemas internos. Especialistas em cibersegurança alertam que entrevistas de emprego falsas são utilizadas em operações de engenharia social, nas quais criminosos manipulam vítimas para que instalem programas maliciosos ou forneçam informações que facilitem a invasão de redes corporativas.
A Binance afirmou que detectou e impediu 57 ameaças cibernéticas suspeitas de ligação com a Coreia do Norte ao longo de 2026. Após o ataque, a empresa anunciou que pretende ampliar os investimentos em sistemas de detecção baseados em inteligência artificial, fortalecer os controles de dispositivos e criar iniciativas de pesquisa em segurança, além de estabelecer parcerias com empresas especializadas em tecnologia.
A companhia também informou que pretende contratar especialistas independentes para revisar o incidente e avaliar possíveis vulnerabilidades. O objetivo é reforçar os mecanismos de proteção e evitar que métodos semelhantes sejam utilizados novamente contra sua infraestrutura.
O roubo, considerado um dos maiores da história do mercado de criptomoedas, amplia as preocupações sobre a exposição de grandes exchanges a ataques sofisticados. Além das perdas financeiras, o caso demonstra como vulnerabilidades em dispositivos individuais e processos de recrutamento podem ser exploradas para alcançar sistemas que administram grandes volumes de ativos digitais.
