Detalhes preliminares da investigação interna da Binance sobre o massivo ciberataque, que resultou em uma perda de US$ 6,3 bilhões (€5,65 bilhões), indicam que os perpetradores planejaram a operação ao longo de vários meses. A linha do tempo fornecida pela corretora mostra que a intrusão teve origem em junho, quando um engenheiro da equipe de infraestrutura de carteiras baixou uma instalação manipulada enquanto buscava uma ferramenta de programação de IA. Embora a equipe de segurança tenha detectado essa anomalia, substituído o dispositivo e rotacionado as credenciais, o atacante já havia obtido visibilidade sobre os papéis do engenheiro alvo e de seus colegas.
A campanha intensificou-se em setembro quando um segundo engenheiro foi contatado em uma plataforma oficial de busca de emprego por um indivíduo que se passava por diretor de projetos. Esse esforço de engenharia social incluiu duas entrevistas: uma videoconferência com um gerente de RH falso e uma sessão de chat com um suposto CEO de uma empresa fictícia. Ao final da entrevista final, o engenheiro foi instruído a baixar uma "tarefa" em seu computador de trabalho, o que executou código malicioso durante a instalação.
Este malware de dia zero substituiu um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa capaz de executar comandos e conectar-se a um servidor controlado pelo atacante, apagando ao mesmo tempo seus próprios rastros. As ferramentas de proteção padrão nos dispositivos falharam em detectar a intrusão. Em 20 de outubro, o atacante utilizou a máquina comprometida e uma ferramenta interna de IA para assumir o controle do computador de um engenheiro de DevOps e do sistema de outro engenheiro de software, localizando eventualmente um token com permissões de implantação de contêineres.
O ataque real ocorreu em 29 de outubro entre 17:15 e 19:56. Durante essa janela, o intruso acessou o computador do segundo engenheiro usando credenciais roubadas, implantou um contêiner e ativou um script malicioso para visar as operações de assinatura de carteiras. A Binance afirmou que desde então reconstruiu o sistema de carteira afetado e a ferramenta de IA, substituiu os dispositivos, revogou todas as credenciais e tokens comprometidos e fortaleceu sua análise de segurança, detecção de anomalias e controles de risco.
A corretora também relatou ter detectado e frustrado 57 tentativas de ciberataque supostamente ligadas à Coreia do Norte ao longo de 2026. Embora a Binance tenha implementado contramedidas extensas, a empresa observou que manterá algumas ações específicas em sigilo para evitar auxiliar potenciais atacantes futuros. A investigação sobre o incidente permanece aberta.
Fontes: elDiario.es.