O ataque, segundo o relato da Binance, começou muito antes de o dinheiro ser movimentado. Em junho, hackers já sondavam a equipe de carteiras; em setembro, alguém que se passava por diretor de projeto entrou em contato com um engenheiro de software por meio de uma plataforma de empregos.¹

A proposta de recrutamento foi elaborada para parecer real. Após duas entrevistas — incluindo uma chamada de vídeo com um suposto representante de RH — o engenheiro baixou uma “tarefa” em um computador de trabalho. Ela continha código malicioso que as ferramentas de segurança da Binance não detectaram.¹ A empresa disse mais tarde, de forma direta: “Isso não deveria ter acontecido.”¹

Em 20 de outubro, os atacantes usaram essa máquina comprometida e uma ferramenta interna de IA da Binance para assumir o controle dos computadores de dois engenheiros da equipe de carteiras. Um engenheiro podia implantar software. Nove dias depois, os invasores usaram esse acesso para chegar a um serviço de assinatura de transações e esvaziaram carteiras quentes — fundos mantidos disponíveis para saques rápidos — ao longo de quase quatro horas.¹

O relato mais detalhado da Binance diz que simplesmente interromper os saques não poderia parar imediatamente o roubo: os atacantes haviam adquirido controle parcial de uma conta Ethereum, cujo acesso era registrado na blockchain, e não apenas dentro dos sistemas da Binance. Os engenheiros tiveram de criar uma solução alternativa porque a configuração de segurança distribuída da conta dificultava uma revogação rápida.²

O FBI disse no sábado que a TraderTraitor, uma unidade de hackers norte-coreana, realizou o ataque. A Coreia do Norte negou a acusação. A Binance afirma ter bloqueado outras 57 tentativas suspeitas de hacking norte-coreano neste ano, enquadrando a violação como parte de uma pressão contínua, e não como uma falha isolada.¹

A corretora afirma que cerca de US$ 2,85 bilhões foram congelados ou interceptados, que os clientes serão integralmente ressarcidos e que 98% dos tokens afetados foram repostos. Ela reconstruiu os sistemas comprometidos, substituiu os computadores afetados e planeja uma revisão externa de segurança — um teste caro para saber se sua correção consegue acompanhar a paciência de seus atacantes.²