Binance detalha golpe de falsa entrevista ligado a roubo bilionário
A empresa diz que os invasores movimentaram US$ 6,34 bilhões em 29 de outubro e que cerca de US$ 2,85 bilhões foram interceptados até agora.
Resumo em 30 segundos
A Binance descreveu uma operação em várias etapas que incluiu uma falsa entrevista de emprego para infectar o computador de um funcionário. Com credenciais internas, os invasores acessaram um serviço de assinatura de carteiras e transferiram cerca de US$ 6,34 bilhões em criptoativos. A empresa afirma ter interceptado US$ 2,85 bilhões e garantido fundos para cobrir as perdas.
A Binance informou nesta terça-feira, 3 de novembro, que o roubo de cerca de US$ 6,34 bilhões em criptoativos foi preparado por meio de várias etapas, incluindo uma falsa entrevista de emprego usada para infectar o computador de um funcionário. As transferências ocorreram em 29 de outubro, entre 17h05 e 20h56, no horário de Brasília, segundo a empresa.
De acordo com o relato da Binance, os invasores primeiro enganaram um colaborador identificado como Engenheiro A, que baixou uma versão adulterada do Homebrew, ferramenta usada para instalar programas. Embora o computador tenha sido substituído e não tenha sido invadido, a ação expôs aos criminosos informações sobre a identidade e a função de uma equipe.
Depois, um funcionário chamado Engenheiro de Software B foi abordado em uma plataforma de busca de emprego por alguém que se apresentou como diretor de projetos e demonstrou interesse em contratá-lo. O profissional participou de pelo menos duas entrevistas com recrutadores falsos, por videochamada e com troca de perfis em redes sociais para criar confiança.
No fim do processo, B recebeu um arquivo que supostamente continha uma tarefa de avaliação. Na verdade, era um repositório com código malicioso, que infectou o computador de trabalho e permitiu atividades não autorizadas. O programa se ocultava de sistemas de segurança e se conectava a um servidor controlado pelos invasores.
Com o acesso obtido, os criminosos chegaram às máquinas do Engenheiro A, da área de DevOps de Carteiras, e do Engenheiro C, da área de Software de Carteiras. C tinha as credenciais e permissões mais amplas entre os três, segundo a Binance. Isso permitiu instalar um script malicioso e acessar sem autorização um serviço interno usado para assinar transações de carteiras.
Carteiras quentes são aquelas conectadas à internet, o que permite movimentar ativos rapidamente, mas também as expõe a ataques digitais. A Binance afirmou que as primeiras transferências já geraram alertas por causa dos valores, mas as permissões obtidas na preparação dificultaram o bloqueio das operações.
A empresa suspendeu saques temporariamente e tentou congelar os ativos transferidos. Até o momento, cerca de US$ 2,85 bilhões foram interceptados, segundo a companhia. A Binance também declarou ter reservado mais de 100% dos fundos necessários para cobrir as perdas e indenizar integralmente os usuários; os saques foram retomados três dias após a suspensão.
O grupo TraderTraitor é apontado como suspeito do ataque e é associado à Coreia do Norte. O FBI também atribuiu a ação ao grupo, mas o governo norte-coreano rejeitou as acusações. A Binance afirmou que, em 2026, impediu 57 incidentes de ameaças cibernéticas com suspeita de ligação com o país.
A sequência descrita pela empresa mostra como golpes de falsa entrevista de emprego podem servir de porta de entrada para sistemas corporativos: os criminosos se passam por recrutadores, levam o alvo a baixar arquivos infectados e buscam alcançar contas com permissões mais amplas. No caso da Binance, o acesso a credenciais internas permitiu que os invasores chegassem ao serviço de assinatura de carteiras e realizassem as transferências.
