A invasão que resultou no furto de US$ 6,34 bilhões (cerca de R$ 34,7 bilhões) da Binance foi minuciosamente planejada ao longo de meses, de acordo com um relatório divulgado pela própria corretora de criptomoedas. O esquema teve início em junho com a instalação de um software malicioso e ganhou tração em setembro por meio de abordagens falsas a colaboradores.

Como os criminosos acessaram os sistemas

O maior ataque da história do ecossistema cripto começou a se desenhar quando um engenheiro da infraestrutura de carteiras digitais baixou uma versão modificada do Homebrew para macOS enquanto buscava uma ferramenta de programação com IA. Embora a equipe de segurança tenha detectado a ameaça na época, os invasores já haviam coletado dados cruciais sobre a equipe.

Em setembro, a estratégia avançou com uma armadilha de recrutamento. Outro funcionário foi contatado por falsos recrutadores que simularam processos seletivos por vídeo. Durante uma das etapas, o profissional executou uma tarefa prática que continha um código malicioso capaz de burlar as barreiras de proteção da exchange e permitir o controle remoto.

A exploração da inteligência artificial

Com o acesso garantido no computador do funcionário, os invasores avançaram sobre uma ferramenta interna de inteligência artificial da plataforma em 20 de outubro. Essa brecha possibilitou atingir outros colaboradores e capturar credenciais com privilégios elevados na infraestrutura de servidores.

Em 29 de outubro, os cibercriminosos utilizaram essas permissões para injetar o script final que viabilizou as transferências massivas. Eles exploraram o recurso EIP-7702 do Ethereum, que possibilita delegar operações de carteiras sem expor chaves privadas, driblando os bloqueios tradicionais de saque impostos pela corretora durante o incidente.

Recuperação de ativos e investigações

Diante da gravidade da brecha, a exchange informou que conseguiu congelar ou interceptar cerca de US$ 2,85 bilhões com o suporte de parceiros estratégicos. A empresa utilizou fundos próprios para repor 98% dos valores afetados e prometeu reembolsar integralmente todos os clientes prejudicados.

O caso está sob investigação e autoridades internacionais, como o FBI, apontam o grupo TraderTraitor, associado ao governo da Coreia do Norte, como o autor da investida. Enquanto isso, a corretora realizou uma reformulação completa em seus hardwares e protocolos de acesso para mitigar novas vulnerabilidades.