As primeiras conclusões da investigação interna aberta pela Binance para esclarecer o 'hackeamento' que provocou um prejuízo de 6.300 milhões de dólares (5.650 milhões de euros) à plataforma de criptomoedas apontam que os responsáveis pelo ataque prepararam durante meses uma operação complexa na qual combinaram várias técnicas e chegaram até a organizar falsas entrevistas de emprego.
De acordo com a cronologia divulgada pela empresa, o incidente começou em junho, quando um engenheiro da área de infraestrutura de carteiras baixou uma instalação adulterada enquanto procurava uma ferramenta de programação de IA. A equipe de segurança detectou a anomalia, substituiu o dispositivo afetado e rotacionou as credenciais, mas a vaga do engenheiro e a dos seus colegas ficou exposta ao atacante.
Em setembro, um segundo engenheiro foi contatado por meio de uma plataforma oficial de busca de emprego por um suposto diretor de projeto, que marcou duas entrevistas: uma por videoconferência com um falso responsável de Recursos Humanos e outra por chat com um suposto diretor-executivo de uma empresa fictícia. Ao final desta última, foi solicitado que ele baixasse no seu computador de trabalho uma "tarefa", um repositório que, durante a instalação, executou código malicioso.
O 'malware' substituiu um componente legítimo de uma ferramenta de desenvolvimento por uma variante maliciosa capaz de executar comandos, se conectar com um servidor controlado pelo atacante e apagar rastros da sua atividade. As soluções de proteção instaladas nos computadores não identificaram este malware de dia zero.
No dia 20 de outubro, o atacante aproveitou o computador comprometido e uma ferramenta interna de IA para tomar o controle das máquinas de um engenheiro de DevOps e de outro engenheiro de software, e encontrou em uma delas um token com privilégios para implementar contêineres.
No dia 29 de outubro, entre as 17h15 e as 19h56, o atacante acessou o computador do segundo engenheiro, utilizou as credenciais subtraídas, iniciou um contêiner e ativou um script malicioso com o qual executou o ataque sobre as operações de assinatura de carteiras.
Binance, que afirma ter detectado e bloqueado 57 tentativas de ciberataque supostamente relacionadas com a Coreia do Norte no que vai de 2026, reconstruiu o sistema de carteiras e a ferramenta de IA afetados, substituiu os dispositivos comprometidos, revogou credenciais e tokens e reforçou tanto a análise de segurança quanto a detecção de anomalias e os controles de risco.
A empresa indicou que manterá em reserva parte das contramedidas implementadas para não oferecer pistas a potenciais atacantes e que a investigação continua aberta.