A Binance declarou em 3 de novembro que hackers usaram falsas entrevistas de emprego, software malicioso e uma ferramenta interna de IA comprometida para acessar seus sistemas de carteira e roubar US$ 6,34 bilhões em 29 de outubro.
Resumo
- Os atacantes usaram computadores de funcionários comprometidos e credenciais de implantação roubadas para chegar à infraestrutura de assinatura de carteiras da Binance.
- Autorizações maliciosas no Ethereum permitiram que as transferências continuassem após a Binance suspender seus serviços normais de saque.
- A Binance afirma que aproximadamente US$ 2,85 bilhões foram congelados ou interceptados, com as perdas dos clientes cobertas.
- Especialistas esperam maior demanda por salvaguardas de custódia, ao mesmo tempo que alertam que plataformas regulamentadas ainda enfrentam riscos.
De acordo com o relatório inicial do incidente da Binance, o ataque se desenvolveu ao longo de vários meses, combinando engano de funcionários com software comprometido e acesso não autorizado em sistemas internos.
A exchange afirmou que havia reposto 98% dos ativos de tokens afetados até 31 de outubro e estava comprando os demais, criptomoedas menos líquidas. O CEO Richard Teng disse que os saques haviam sido amplamente retomados e que os usuários não sofreriam perdas.
Atacantes da Binance passaram de ferramentas de desenvolvedor para sistemas de carteira
O relatório rastreia um encontro inicial até junho, quando um engenheiro de DevOps de Carteira baixou uma instalação do Homebrew adulterada enquanto procurava uma ferramenta de codificação com IA. A equipe de segurança detectou a anomalia, substituiu o dispositivo e rotacionou as credenciais relacionadas.
No entanto, a Binance afirmou que o encontro expôs a função do engenheiro e os colegas que trabalhavam na infraestrutura de carteira.
Em setembro, um segundo engenheiro foi abordado por meio de uma plataforma de recrutamento legítima por alguém se passando por diretor de projeto. Uma entrevista em vídeo com uma suposta representante de recursos humanos foi seguida por outra entrevista com o suposto CEO de uma empresa fictícia.
Perto do final, o engenheiro foi instruído a baixar um repositório de tarefas em um computador de trabalho. Código malicioso foi executado durante a configuração, substituindo a ferramenta de desenvolvimento legítima pyenv por uma versão comprometida.
A Binance descreveu o malware como anteriormente não detectado por suas ferramentas de segurança de endpoint e afirmou que ele ocultava atividades e removia rastros.
Em 20 de outubro, o atacante usou o computador comprometido e uma ferramenta interna de IA para obter controle sobre os computadores de dois engenheiros de carteira. Um deles possuía um token de implantação de contêiner.
Dias depois, em 29 de outubro, o atacante usou essas credenciais roubadas para implantar um contêiner e executar um script malicioso que alcançou as operações de assinatura de carteira.
Permissões no Ethereum mantiveram transferências em andamento após a parada dos saques
Entre 20:05 e 20:09 UTC de 29 de outubro, cinco carteiras quentes da Binance transferiram 233,46 milhões de XRP para um endereço controlado pelo atacante, segundo o relatório. Outras carteiras enviaram aproximadamente 970.500 SOL, 44,2 milhões de OP e 18.270 BTC.
O atacante então usou o serviço de assinatura para estabelecer permissões maliciosas por meio do mecanismo EIP-7702 do Ethereum, que permite que uma carteira delegue a execução a código de contrato inteligente.
Descobertas anteriores sobre ataques a carteiras explicaram como o atacante usou o recurso EIP-7702 do Ethereum para dar a um contrato inteligente malicioso permissão para mover fundos da carteira quente da Binance conhecida como Binance 14.
A Binance afirmou que suspender os saques não poderia invalidar permissões já estabelecidas no Ethereum. Sua carteira de computação multipartidária exigia um procedimento especializado para revogá-las, pois não havia uma única chave privada disponível para uma revogação imediata.
A transferência não autorizada final, envolvendo 2.961,9 ETH, foi finalizada às 23:56 UTC após ter sido previamente transmitida e permanecido pendente. A Binance limpou a delegação da Binance 14 às 00:10 UTC de 30 de outubro.
Em um alerta de 31 de outubro, o FBI atribuiu o roubo à atividade TraderTraitor da Coreia do Norte. A agência disse que estava trabalhando com o Serviço Secreto dos EUA e a Investigação Criminal do IRS e instou os provedores de serviços a bloquear transações conectadas aos endereços identificados.
Especialistas veem a adoção continuando, com proteções de custódia em foco
Joe Sticco, cofundador e CEO da Cryptex Finance, disse ao crypto.news que não esperava que o incidente causasse um revés de anos para a adoção.
Ele apontou ações da Tether, da Circle e de protocolos DeFi para congelar ativos afetados como evidência de que os participantes do setor podiam se coordenar durante grandes perturbações. Sticco espera que o incidente possa aumentar a demanda por exchanges regulamentadas e práticas de custódia mais fortes, incluindo armazenamento a frio.
James Butterfill, chefe de pesquisa da CoinShares, enfatizou as proteções legais ligadas à custódia.
“O incidente destaca por que o quadro legal que rege a custódia importa. O MiCA fornece salvaguardas materialmente mais fortes para clientes de entidades autorizadas, como a Coinbase Luxembourg, incluindo a segregação de ativos dos clientes e a responsabilidade por perdas de custódia causadas por incidentes atribuíveis ao provedor”, disse Butterfill ao crypto.news.
“Essas proteções fortalecem a responsabilização, mas a autorização não pode impedir todos os hacks, proteger os investidores de perdas de mercado ou fornecer um esquema geral de compensação aos investidores.”
Butterfill acrescentou que a custódia regulamentada de criptomoedas oferece proteções mais fortes sem tornar as participações equivalentes a depósitos bancários cobertos por um esquema de garantia de depósitos.
Binance reconstrói sistemas afetados e encomenda revisões
A Binance disse que aproximadamente US$ 2,85 bilhões haviam sido congelados ou interceptados, sujeitos a reconciliação e mudanças de preços de mercado. Seu compromisso de recuperação anterior alocou mais do que a perda total estimada para substituir os ativos afetados.
A exchange disse que reconstruiu o ambiente de carteira afetado e a ferramenta interna de IA, substituiu dispositivos comprometidos, desativou credenciais e escaneou dispositivos de funcionários.
A Binance está contratando empresas independentes de segurança cibernética para revisar o incidente e planeja aumentar os gastos com segurança de desenvolvedores, proteção de endpoints e monitoramento comportamental.
