A operação, segundo a Binance, não começou com uma invasão dramática. Começou com uma sondagem paciente de sua equipe de carteiras em junho, quando um engenheiro baixou uma versão adulterada de uma ferramenta de software amplamente utilizada. A corretora afirma que a campanha foi mais sofisticada e mais enganosa do que qualquer outra que já havia enfrentado.¹

Em setembro, os invasores passaram à engenharia social. Alguém que se passou por diretor de projeto contatou um engenheiro de software da Binance por meio de uma plataforma de empregos e, em seguida, encenou duas entrevistas — incluindo uma videochamada com uma suposta representante de recursos humanos. A "tarefa" final enviada ao computador de trabalho do funcionário continha código malicioso que as ferramentas de segurança da Binance não detectaram.¹

Em 20 de outubro, segundo o relato da Binance, os hackers usaram a máquina comprometida e uma ferramenta interna de IA para assumir o controle dos computadores de dois engenheiros da equipe de carteiras. Um deles tinha permissão para implantar software. Nove dias depois, esse acesso abriu um serviço de assinatura de transações, permitindo que os invasores esvaziassem carteiras quentes — fundos mantidos para saques rápidos — ao longo de quase quatro horas.¹

O veredito da própria Binance foi direto: "Isso não deveria ter acontecido."¹ A empresa afirma que simplesmente interromper os saques não poderia deter imediatamente o roubo porque os invasores haviam obtido acesso registrado na própria Ethereum, além dos sistemas internos da Binance. Os engenheiros tiveram de conceber uma solução alternativa enquanto os ativos estavam sendo movimentados.¹

O FBI afirmou no sábado que o TraderTraitor, uma unidade de hackers norte-coreana, realizou o ataque; a Coreia do Norte negou a acusação. A Binance diz ter bloqueado outras 57 tentativas suspeitas de hacking norte-coreanas neste ano, enquadrando o episódio como parte de uma ameaça contínua, e não como uma falha isolada.¹

Até terça-feira, a Binance afirmou que cerca de US$ 2,85 bilhões haviam sido congelados ou interceptados, 98% dos tokens afetados haviam sido repostos e os clientes seriam ressarcidos. A empresa reconstruiu os sistemas afetados, substituiu computadores comprometidos e planeja uma revisão externa de segurança — medidas que podem tranquilizar os usuários, mas não podem apagar o fato de que uma entrevista de emprego fraudulenta ajudou a viabilizar uma perda de US$ 6,3 bilhões.¹