O ataque, segundo a Binance, não começou com uma violação dramática de suas carteiras. Começou meses antes, com reconhecimento — e uma isca direcionada a um funcionário.

Em junho, os atacantes supostamente começaram a sondar a equipe de carteiras da corretora, inclusive por meio de uma versão adulterada de uma ferramenta de software popular. Então, em setembro, alguém que se passava por diretor de projeto contatou um engenheiro de software da Binance por meio de uma plataforma de procura de emprego. Seguiram-se duas entrevistas, incluindo uma chamada de vídeo com um suposto representante de RH. A “tarefa” final era um arquivo para baixar no computador de trabalho do engenheiro; ele continha código malicioso que as ferramentas de segurança da Binance não detectaram.¹

O engano foi construído para parecer comum. A Binance afirmou que o falso entrevistador usou uma conta em rede social repleta de fotos e vídeos pessoais para reforçar a credibilidade — um nível de refinamento que a empresa descreveu como mais sofisticado e enganoso do que as táticas que havia encontrado anteriormente.²

Em 20 de outubro, cerca de uma semana antes do roubo, os atacantes usaram a máquina comprometida e uma ferramenta interna de IA da Binance para assumir o controle dos computadores de dois engenheiros da equipe de carteiras. Um engenheiro tinha autorização para implantar software. Nove dias depois, esse acesso abriu um serviço de assinatura de transações, permitindo que os atacantes esvaziassem carteiras quentes — fundos mantidos para saques rápidos — ao longo de quase quatro horas. “Isso não deveria ter acontecido”, afirmou a Binance.¹

Apenas interromper os saques não foi suficiente, afirmou a Binance. Os atacantes haviam obtido controle parcial de uma conta Ethereum de uma maneira registrada na blockchain, e não apenas dentro dos sistemas da Binance, forçando os engenheiros a criar uma solução alternativa enquanto o roubo continuava.²

O FBI afirmou no sábado que a unidade de hackers TraderTraitor da Coreia do Norte realizou a operação; a Coreia do Norte negou a acusação. A Binance afirma ter bloqueado outras 57 tentativas suspeitas de hackers norte-coreanos neste ano. Diz que cerca de US$ 2,85 bilhões foram congelados ou interceptados e que repôs 98% dos tokens afetados, ao mesmo tempo que reconstrói sistemas e contrata revisores externos de segurança.¹