O ataque à Binance de 29 de outubro passou por uma falsa entrevista de emprego, computadores de desenvolvedores comprometidos e uma ferramenta interna de inteligência artificial usada para alcançar a equipe de carteiras. A sequência aparece no relatório inicial divulgado pela corretora em 3 de novembro, que descreve como os invasores chegaram à infraestrutura de assinatura de transações.
O documento acrescenta o caminho de acesso ao incidente de aproximadamente US$ 6,34 bilhões. Uma investigação on-chain publicada pela Bitquery, com dados até 5 de novembro, complementa esse relato com o rastreamento das transferências e mostra por que a suspensão dos saques não encerrou imediatamente todas as movimentações.
Neste artigo
Uma campanha começou antes da noite do roubo
Na reconstrução apresentada pela Binance e detalhada pela CoinDesk após um briefing com executivos da empresa, os contatos com funcionários antecederam o ataque em meses. Não se tratou apenas de uma ação executada na noite de 29 de outubro.
| Período | Sequência descrita pela Binance |
|---|---|
| Junho | Um integrante de DevOps de carteiras baixou uma instalação adulterada do Homebrew ao procurar uma ferramenta de programação com IA. A empresa detectou o problema, substituiu o dispositivo e trocou credenciais. |
| Setembro | Outro engenheiro participou de uma seleção de emprego falsa e recebeu um repositório malicioso apresentado como tarefa técnica. |
| 20 de outubro | A partir do computador comprometido desse profissional, os invasores usaram uma ferramenta interna de IA para alcançar dois integrantes da equipe de carteiras. |
| 29 de outubro | Credenciais obtidas de um desses dispositivos permitiram implantar um contêiner e executar o script associado ao ataque. |
No recrutamento falso, o contato começou em uma plataforma legítima de empregos. Houve entrevistas com pessoas que se apresentavam como recrutadora e executivo, além do uso de um perfil pessoal com fotos e vídeos para construir confiança. O código malicioso foi entregue como parte do exercício de seleção, segundo o relato da empresa.
O episódio de junho é descrito como uma instalação adulterada obtida durante uma busca. O relatório não afirma que o projeto oficial Homebrew tenha sido invadido. Da mesma forma, a referência a uma ferramenta popular de programação não identifica seu fornecedor como responsável pelo ataque.
A ferramenta de IA foi uma ponte dentro do ambiente
A Binance atribui à ferramenta interna um papel na passagem entre computadores comprometidos. A empresa não divulgou o modelo, o fornecedor ou o mecanismo exato que permitiu esse acesso. O documento também não demonstra que um agente autônomo tenha planejado o roubo ou decidido as transações.
São duas referências distintas à IA na cronologia: a procura por uma ferramenta de programação em junho e o uso de um serviço interno em outubro. Confundi-las transformaria dois momentos do relato em uma única falha de produto que a investigação não estabeleceu.
Depois do acesso aos profissionais da equipe de carteiras, o invasor encontrou uma credencial com permissão de implantação. O alvo seguinte foi a capacidade de fazer a infraestrutura autorizar operações, e não apenas visualizar dados de uma conta.
O serviço de assinatura abriu um caminho fora dos saques normais
Uma carteira precisa de uma assinatura válida para que a rede aceite uma transferência. Isso não garante que a solicitação tenha seguido a intenção legítima da organização que controla a carteira: um serviço autorizado pode assinar uma operação pedida por alguém que obteve acesso indevido.
Na análise da Bitquery, os movimentos partiram de 17 carteiras conectadas à internet, distribuídas por nove redes. A empresa encontrou assinaturas válidas nas transferências que examinou. A observação on-chain descreve as operações aceitas pelas redes, mas não revela, sozinha, quem comandava os computadores ou como obteve acesso interno.
O relatório da Binance afirma que o serviço de assinatura foi usado para iniciar transações fora do processo normal de retirada. Essa distinção explica por que bloquear o botão de saque para os clientes não eliminava automaticamente a capacidade já alcançada pelo invasor.
Por que a EIP-7702 exigiu uma contenção adicional
No Ethereum, o episódio envolveu autorizações da EIP-7702. O recurso permite que uma conta delegue execução ao código de um contrato. Essa delegação é registrada na rede; não depende de a interface da corretora continuar permitindo saques.
A especificação prevê a assinatura da autorização e a verificação de dados como o destino da delegação e o nonce, o contador usado para ordenar operações. Portanto, uma autorização válida tem efeitos próprios no estado da conta. Encerrar uma sessão de usuário ou desligar um serviço interno não desfaz, por si só, esse registro.
A Bitquery identificou uma sequência de autorizações e acompanhou o funcionamento do código delegado na principal carteira Ethereum afetada por aproximadamente três horas e cinquenta minutos. A Binance informou que executou uma autorização para o endereço zero às 0h10 UTC de 30 de outubro, removendo a delegação daquela carteira.
Esse mecanismo não equivale a uma quebra da criptografia do Ethereum. A EIP-7702 não explica sozinha os movimentos em redes que não a utilizam. Também difere de uma aprovação ERC-20, que libera a movimentação de determinado token por um contrato — distinção relevante ao revogar permissões de tokens de uma carteira.
Rastreamento dos fundos e autoria têm evidências diferentes
Com dados até 7h37 UTC de 5 de novembro, a Bitquery estimou cerca de US$ 2,7 bilhões congelados ou resgatados e aproximadamente US$ 3,2 bilhões ainda sob controle do invasor, principalmente em Bitcoin e Ether. São estimativas do fornecedor de inteligência, com recorte e critérios próprios; não são uma comprovação de devolução integral à Binance.
A atribuição de autoria vem de outra fonte: o FBI responsabilizou em 31 de outubro a atividade norte-coreana TraderTraitor. O órgão pediu a cooperação de serviços do setor para bloquear operações relacionadas aos endereços identificados. Uma assinatura observada em blockchain e uma atribuição de inteligência respondem a perguntas diferentes sobre o mesmo incidente.
Sistemas reconstruídos e revisão externa anunciada
A Binance declarou ter reconstruído o sistema de carteiras e a ferramenta interna de IA, substituído dispositivos afetados e desativado credenciais dos profissionais alcançados pela campanha. Também anunciou revisão por especialistas externos, cujos resultados ainda não integram o relatório inicial.
O acompanhamento dos serviços segue em paralelo à investigação. A corretora retomou saques por etapas e, no comunicado de 4 de novembro, declarou reposição de aproximadamente 98% dos ativos afetados. A situação operacional e os valores anunciados estão reunidos na notícia sobre a retomada dos saques da Binance.
