A operação, segundo a Binance, começou com sondagens discretas em junho, quando os atacantes miraram sua equipe de carteiras e um engenheiro baixou uma versão adulterada de uma ferramenta de software popular. O posterior ardil de recrutamento foi elaborado para parecer crível: um suposto diretor de projeto abordou um engenheiro de software por meio de uma plataforma de empregos em setembro, seguido de duas entrevistas, incluindo uma chamada de vídeo com um falso representante de RH. A “tarefa” final continha malware que os sistemas de segurança da Binance não detectaram.¹

Em 20 de outubro, os atacantes usaram esse computador comprometido e uma ferramenta interna de IA da Binance para assumir o controle das máquinas de trabalho de dois engenheiros da equipe de carteiras. Um engenheiro tinha autorização para implantar software. Nove dias depois, esse acesso abriu um serviço de assinatura de transações; os atacantes então esvaziaram carteiras quentes — fundos mantidos prontos para saques de clientes — ao longo de quase quatro horas. A avaliação direta da Binance: “Isso não deveria ter acontecido.”¹

A corretora afirma que interromper os saques por si só não poderia deter o roubo porque os atacantes haviam obtido controle parcial de uma conta da Binance na Ethereum, onde esse acesso foi registrado fora dos próprios sistemas da Binance. Com o controle distribuído entre vários sistemas, os engenheiros tiveram de elaborar uma solução alternativa, em vez de simplesmente revogar o acesso.²

A violação supera o recorde anterior de roubo de criptomoedas, cerca de US$ 1,5 bilhão retirados da Bybit em fevereiro de 2025. O FBI atribuiu o ataque à Binance ao TraderTraitor, uma unidade de hackers norte-coreana; a Coreia do Norte nega a acusação. A Binance afirma ter bloqueado outras 57 tentativas suspeitas da Coreia do Norte neste ano.¹

A Binance afirma que cerca de US$ 2,85 bilhões foram congelados ou interceptados, 98% dos tokens afetados foram repostos e os clientes serão integralmente ressarcidos. Ela reconstruiu os sistemas comprometidos, substituiu os computadores afetados e planeja uma revisão externa de segurança — medidas que abordam as consequências, não o constrangimento central: um falso processo de contratação chegou ao coração da maior corretora do mundo.²