O fundador da CoinEx, Haipo Yang, acusou a Binance de não seguir três práticas básicas de segurança que, segundo ele, poderiam ter evitado o roubo de US$ 6,3 bilhões em criptomoedas em 29 de outubro.
Resumo
- O fundador da CoinEx, Haipo Yang, identificou três falhas de segurança que, segundo ele, contribuíram para o hack de US$ 6,3 bilhões da Binance.
- Yang criticou a separação inadequada dos ambientes de trabalho, a autenticação fraca e a verificação insuficiente pelos signatários das transações.
- A investigação da Binance rastreou o ataque a dispositivos comprometidos de funcionários, recrutamento fraudulento e credenciais roubadas.
- O co-CEO Richard Teng disse que a Binance repôs 98% dos ativos afetados e concluiu sua mais recente verificação de Prova de Reservas.
- A co-CEO da Binance, Yi He, relatou que a exchange bloqueou 57 suspeitas de ameaças cibernéticas ligadas à Coreia do Norte durante 2026.
Em uma publicação no X, Yang criticou o tratamento da exchange em relação ao acesso à produção, à autenticação de funcionários e à assinatura de transações. Ele argumentou que o ataque expôs falhas na disciplina operacional, não deficiências na tecnologia de segurança disponível.
“Nenhuma dessas coisas exige tecnologia sofisticada. O que faltou foi disciplina”, escreveu Yang.
Sua crítica seguiu-se à publicação pela Binance de um relatório inicial do incidente detalhando como os atacantes comprometeram dispositivos de funcionários e obtiveram acesso a sistemas responsáveis por saques de criptomoedas.
Fundador da CoinEx identifica três falhas de segurança na Binance
A primeira crítica de Yang dizia respeito à separação dos ambientes de desenvolvimento e produção.
Ele argumentou que os funcionários com acesso a sistemas financeiros ativos deveriam usar computadores dedicados, sem software não relacionado. O trabalho de desenvolvimento, a comunicação e a navegação na web deveriam ocorrer em dispositivos separados.
Segundo Yang, a Binance não havia mantido separação suficiente entre essas atividades, deixando sistemas sensíveis expostos quando o dispositivo de um funcionário foi comprometido.
Sua segunda preocupação envolvia os controles de autenticação. Yang alegou que uma única credencial roubada poderia fornecer acesso a serviços de produção sem verificação adicional significativa.
Ele recomendou chaves de segurança de hardware, juntamente com ferramentas como o AWS Session Manager, para impedir que atacantes obtivessem acesso por meio de uma única credencial comprometida.
A terceira crítica concentrou-se na computação multipartidária, ou MPC, que distribui as responsabilidades de assinatura de transações entre participantes separados.
Yang argumentou que as partes signatárias da Binance não examinaram de forma independente as transações que aprovaram.
Ele alegou que o arranjo funcionava efetivamente como um sistema de assinatura única, porque comprometer um participante poderia minar todo o processo.
“Multisig só funciona quando os signatários desconfiam uns dos outros”, escreveu Yang.
As alegações representam a avaliação de Yang sobre o incidente. A Binance não confirmou publicamente todas as fraquezas de controle interno que ele descreveu.
Relatório da Binance detalha entrevistas falsas e dispositivos comprometidos
O relatório do incidente da Binance de 3 de novembro rastreou o ataque a uma campanha que começou vários meses antes do roubo.
Em junho, um engenheiro de operações de carteira baixou um instalador Homebrew modificado ao tentar instalar uma ferramenta de codificação de IA.
A Binance disse que sua equipe de segurança detectou a atividade suspeita, substituiu o computador afetado e renovou as credenciais relacionadas.
No entanto, o incidente expôs informações sobre funcionários que trabalhavam na infraestrutura de carteiras da exchange.
Em setembro, os atacantes visaram outro engenheiro por meio de um processo de recrutamento fraudulento, eventualmente convencendo o funcionário a baixar software malicioso.
Até 20 de outubro, os atacantes haviam usado dispositivos comprometidos e uma ferramenta interna de IA para acessar sistemas de engenharia adicionais.
Nove dias depois, credenciais roubadas permitiram a implantação de código malicioso envolvido nas retiradas não autorizadas.
Anteriormente, o crypto.news informou que investigadores ligaram o ataque à unidade de hacking TraderTraitor da Coreia do Norte.
O Federal Bureau of Investigation subsequentemente atribuiu o roubo a atacantes patrocinados pelo Estado norte-coreano, enquanto a Coreia do Norte rejeitou as alegações.
O relatório da Binance disse que os atacantes combinaram engenharia social, malware e sistemas internos comprometidos para obter acesso à sua infraestrutura de carteiras.
Richard Teng diz que a Binance restaurou 98% dos ativos afetados
Enquanto Yang questionou as práticas de segurança da exchange, o co-CEO da Binance, Richard Teng, defendeu os esforços de recuperação da empresa.
Em uma declaração de 3 de novembro, Teng disse que a Binance havia reabastecido 98% dos ativos de criptomoeda afetados pelo incidente.
“A diferença é a verificação, não apenas promessas”, escreveu Teng, referindo-se à mais recente verificação de reservas da exchange.
A Binance havia concluído anteriormente sua verificação de Prova de Reservas cobrindo dez principais criptomoedas, incluindo Bitcoin, Ethereum, BNB e XRP.
O relatório permite que clientes que possuem esses ativos verifiquem se os saldos de suas contas são respaldados por reservas suficientes.
No entanto, a verificação estabelece a cobertura de ativos para os tokens cobertos, não se as vulnerabilidades identificadas por Yang foram eliminadas.
A Binance disse que aproximadamente US$ 2,85 bilhões em ativos afetados foram congelados ou interceptados durante os esforços de recuperação.
A empresa se comprometeu a cobrir a perda financeira total usando seus recursos corporativos e fundos de reserva.
Teng disse que a exchange continuaria restaurando os ativos afetados restantes, incluindo criptomoedas menos líquidas que exigem compras adicionais.
Yi He diz que a Binance bloqueou 57 suspeitas de ameaças norte-coreanas
A co-CEO da Binance, Yi He, abordou separadamente o histórico de segurança da exchange em uma publicação de 3 de novembro.
Ela disse que a equipe de segurança da Binance detectou e preveniu 57 suspeitas de ameaças cibernéticas ligadas à Coreia do Norte durante 2026.
As tentativas incluíram entrevistas de emprego fraudulentas, ferramentas de desenvolvedor maliciosas, pacotes de software comprometidos e aplicativos falsos de videoconferência.
Os atacantes também usaram extensões de navegador e técnicas de engenharia social para roubar credenciais ou instalar malware de acesso remoto, de acordo com Yi He.
“Interceptamos muitos deles, mas o custo de não conseguir impedir nem um único foi severo”, escreveu ela.
A Binance disse que desde então reconstruiu os sistemas de carteiras afetados, substituiu dispositivos comprometidos e desativou credenciais associadas ao ataque.
A exchange reforçou os controles de segurança das carteiras e expandiu o monitoramento automatizado de atividades suspeitas de funcionários e sistemas.
Seus esforços de recuperação incluíram a restauração de saques em mais ativos de Ethereum e Solana após a suspensão inicial.
A Binance planeja uma revisão independente de segurança cibernética e mais investimentos em proteção de dispositivos, segurança de desenvolvedores e detecção de ameaças.
A empresa afirmou que algumas medidas de segurança permanecerão confidenciais para evitar que atacantes identifiquem vulnerabilidades em suas defesas.
