Um engenheiro de software recebeu o que parecia ser uma abordagem comum de um recrutador. O recrutador tinha uma identidade plausível, conduziu uma entrevista por vídeo ao vivo e apresentou uma tarefa técnica na rodada seguinte.
A tarefa continha malware.
A Binance afirma que o processo de recrutamento falso foi um dos vários pontos de entrada suspeitos usados antes que os atacantes removessem aproximadamente US$ 6,36 bilhões de suas carteiras em 29 de outubro de 2026. O FBI desde então atribuiu o roubo à Coreia do Norte e identificou a atividade responsável como TraderTraitor.
O incidente está sendo descrito como o maior roubo de criptomoedas já registrado. Sua importância vai além do valor roubado. Mostra operadores norte-coreanos usando ambos os lados do mercado de trabalho: posando como desenvolvedores para entrar em empresas de tecnologia e como recrutadores para comprometer as pessoas que já trabalham dentro delas.
O que Aconteceu no Ataque à Binance?
Os atacantes transferiram aproximadamente US$ 6,36 bilhões de carteiras da Binance em 10 blockchains, de acordo com a empresa de inteligência blockchain TRM Labs. A maior parte dos fundos foi movida em cerca de 20 minutos.
Os ativos afetados incluíam tokens em redes Bitcoin, Ethereum, Solana, XRP, Arbitrum e outras. A Binance confirmou que uma de suas carteiras quentes conectadas esteve envolvida, ao mesmo tempo em que afirmou que a maioria dos ativos dos clientes permaneceu em armazenamento frio offline.
A Binance disse que reservou mais de US$ 6,34 bilhões em fundos da empresa para cobrir as perdas. A exchange e seus parceiros de blockchain também congelaram aproximadamente US$ 3 bilhões em ativos afetados.
Um congelamento impede que alguns ativos sejam movidos através de redes, emissores ou serviços participantes. Isso não significa necessariamente que os fundos foram recuperados e devolvidos. Os atacantes ainda podem controlar ativos que já foram trocados, transferidos ou movidos para fora do alcance das organizações participantes.
Por que o FBI Culpa a Coreia do Norte
O FBI atribuiu o ataque à Coreia do Norte e o vinculou ao TraderTraitor, um rótulo usado para atividades maliciosas associadas às operações cibernéticas do país.
O bureau alertou que os atacantes deveriam continuar lavando os ativos roubados através de protocolos de finanças descentralizadas e serviços de troca instantânea. Essas ferramentas permitem que os usuários troquem ativos entre tokens ou redes, potencialmente tornando o rastro do dinheiro mais complicado.
As transações de blockchain permanecem visíveis, mas a visibilidade não garante a recuperação. Os investigadores devem conectar carteiras em diferentes redes, determinar quais serviços foram usados e identificar as pessoas que controlam os endereços. Uma vez que os ativos chegam a plataformas que não cooperam com a aplicação de sanções ou solicitações de identidade, a recuperação se torna mais difícil.
A TRM Labs disse que as características do ataque se assemelham a roubos anteriores ligados à Coreia do Norte. A Chainalysis também avaliou que o TraderTraitor foi provavelmente o responsável. A atribuição do FBI dá peso oficial à alegação, embora o registro forense completo não tenha sido divulgado.
A Entrevista Falsa Foi Um Ponto de Entrada
A Binance disse que um de seus engenheiros foi contatado em setembro através de uma plataforma legítima de busca de emprego por alguém que alegava representar uma empresa fictícia.
Durante a primeira entrevista, uma pessoa se passando por representante de RH apareceu em uma chamada de vídeo ao vivo. O perfil tinha conteúdo pessoal e histórico profissional suficientes para parecer crível.
A segunda rodada incluiu uma tarefa técnica. O engenheiro foi solicitado a baixar um repositório de código que havia sido modificado para entregar malware.
A Binance também descobriu um incidente separado em que outro engenheiro baixou um instalador de software adulterado ao tentar configurar uma ferramenta de codificação de IA. A equipe de segurança detectou essa instalação, substituiu o dispositivo e rotacionou as credenciais. A empresa disse mais tarde que o funcionário e colegas ainda poderiam ter sido expostos.
A Binance identificou múltiplos pontos de comprometimento suspeitos. As evidências, portanto, não suportam a redução de todo o roubo a uma única entrevista ou a um único funcionário. A abordagem de recrutamento parece ter sido parte de uma campanha mais ampla que passou meses visando pessoas com acesso a sistemas valiosos.
Por Que Entrevistas de Emprego Funcionam Como Método de Ataque
Uma entrevista técnica dá a um atacante algo que um e-mail de phishing comum não oferece: uma razão crível para pedir ao alvo que execute código.
Engenheiros de software rotineiramente clonam repositórios, revisam pacotes e instalam ferramentas de desenvolvimento. Uma tarefa de entrevista construída em torno dessas ações pode parecer consistente com a prática normal de contratação. O atacante não precisa criar pânico ou prometer uma recompensa implausível. O pedido se encaixa no contexto.
Os candidatos a emprego também podem ser mais receptivos a novos contatos durante um mercado de trabalho difícil. Um recrutador convincente, um perfil de empresa realista e várias rodadas de conversa podem diminuir a suspeita antes que qualquer arquivo seja baixado.
Isso é engenharia social adaptada a desenvolvedores. Em vez de pedir diretamente credenciais, o atacante cria uma situação em que o alvo introduz voluntariamente software malicioso em um ambiente confiável.
A Coreia do Norte Está Explorando Ambos os Lados da Contratação Remota
O recrutamento falso é apenas uma parte da operação.
Trabalhadores de TI norte-coreanos também usaram identidades roubadas e históricos de emprego fabricados para obter empregos reais em empresas de tecnologia e financeiras. Seus salários podem então ser transferidos através de contas, carteiras de criptomoedas e intermediários antes de chegar a organizações conectadas ao governo norte-coreano.
Uma ação em 28 de outubro do Tesouro dos EUA sancionou 10 indivíduos e uma entidade conectada a esses esquemas. Dois cidadãos russos foram acusados de converter aproximadamente US$ 5,5 milhões em criptomoedas para redes de trabalhadores de TI norte-coreanos.
A Chainalysis rastreou um fluxo de uma carteira exibindo pagamentos de stablecoin semelhantes a salários para endereços de consolidação sancionados e, em seguida, para um intermediário russo. Os fundos foram finalmente enviados para a Garantex, uma exchange russa sancionada, para conversão.
A investigação da Chainalysis disse que a rede mais ampla de trabalhadores de TI pode gerar entre US$ 250 milhões e US$ 600 milhões em receita anual para a Coreia do Norte, citando estimativas de um painel das Nações Unidas.
Não há evidências públicas de que os russos sancionados em 28 de outubro tenham participado do roubo à Binance. Os casos revelam diferentes partes da mesma estratégia mais ampla, em vez de um grupo comprovado de réus.
A IA Está Tornando Identidades Falsas Mais Convincentes
Operadores norte-coreanos teriam usado IA generativa para preparar currículos, escrever cartas de apresentação e praticar entrevistas técnicas. Fotos de perfil geradas por IA e vídeos manipulados podem ajudar os candidatos a ocultar suas identidades reais durante chamadas remotas.
As mesmas ferramentas podem apoiar recrutadores falsos. Um atacante pode criar uma identidade de empresa, produzir perfis de aparência profissional e manter conversas escritas convincentes sem os erros de linguagem que antes tornavam a fraude mais fácil de detectar.
O vídeo deepfake não precisa ser perfeito. Em uma curta entrevista conduzida por um feed de vídeo comprimido, pequenos problemas visuais podem parecer problemas de rede comuns. Um candidato ou recrutador também pode culpar a qualidade da câmera, a largura de banda ou preocupações com a privacidade para manter o fundo desfocado.
A IA não criou o esquema subjacente. Reduziu o custo de manutenção de várias identidades falsas e tornou a triagem básica menos confiável.
O Caso de Sanções Anterior Explica o Pipeline Financeiro
As sanções de 28 de outubro fornecem um contexto útil para o que acontece depois que os operadores norte-coreanos recebem pagamentos em criptomoedas.
O Tesouro dos EUA alegou que o cidadão russo Ilya Aleksandrovich Boykov converteu aproximadamente US$ 3,5 milhões em criptomoedas para a Alis, uma empresa sancionada conectada a trabalhadores de TI norte-coreanos. Vitold Viktorovich Obertas foi acusado de converter quase US$ 2 milhões em criptomoedas e processar pelo menos US$ 1,25 milhão em outras transações em moeda para funcionários norte-coreanos.
O Tesouro também sancionou o First Financial and Technical Development Center, uma organização controlada pela Coreia do Norte operando na Rússia. Seis trabalhadores conectados à organização supostamente geraram mais de US$ 750.000 desde 2025.
Essas designações mostram que a operação requer mais do que pessoas que podem passar em entrevistas técnicas. Também precisa de gerentes, provedores de identidade, operadores de laptop, controladores de carteira e intermediários capazes de transformar ativos digitais em fundos utilizáveis.
Sancionar uma carteira pode interromper uma rota. A rede pode responder mudando endereços, cadeias, intermediários ou serviços de cash-out. É por isso que o monitoramento de transações deve examinar relacionamentos e comportamento, em vez de depender apenas de uma lista negra estática.
Por Que Empresas de Criptomoedas São Alvos Atraentes
Empresas de criptomoedas combinam trabalho remoto com acesso direto a valor transferível.
Desenvolvedores podem ter acesso a código-fonte, ferramentas de implantação, infraestrutura em nuvem ou sistemas de carteira internos. Engenheiros de segurança podem trabalhar com credenciais que protegem várias redes. Um atacante que compromete um endpoint pode procurar um caminho para sistemas que detêm ativos que podem ser movidos a qualquer hora.
Transferências financeiras tradicionais geralmente passam por sistemas de compensação, bancos e controles de horário comercial. Uma transação de criptomoedas pode ser liquidada em diferentes países em minutos. Essa velocidade beneficia usuários legítimos, mas também encurta o tempo disponível para impedir um roubo.
O incidente da Binance demonstra a escala desse problema. Mesmo que parceiros de blockchain tenham congelado quase metade dos ativos roubados, bilhões de dólares foram movidos antes que uma resposta coordenada pudesse ter efeito.
Carteiras Quentes Permanecem Uma Fronteira Crítica de Segurança
Carteiras quentes são conectadas a sistemas online para que as exchanges possam processar saques. Essa disponibilidade as torna mais expostas do que carteiras frias, que mantêm as credenciais de assinatura offline.
O relatório da AP citou um especialista externo em segurança que questionou se uma autorização comprometida poderia ter fornecido acesso excessivamente amplo ou duradouro à carteira afetada. A Binance não publicou um relato técnico completo, e sua investigação continua em andamento.
A questão relevante não é simplesmente se uma exchange usa carteiras quentes. Toda plataforma de negociação ativa precisa de alguma forma de processar os saques dos clientes. As perguntas são quanto valor é mantido online, como os limites de transação são aplicados e quantas aprovações independentes são necessárias para transferências incomuns.
Um sistema seguro de armazenamento a frio pode limitar a perda total, mas não pode proteger os ativos que já foram movidos para uma carteira operacional. A detecção e os controles de transação ainda importam nessa fronteira.
Congelar US$ 3 Bilhões Não Acaba o Processo de Recuperação
O congelamento relatado de aproximadamente US$ 3 bilhões é significativo. Ele também deixa uma quantidade substancial de fundos não resolvida.
Alguns emissores de blockchain podem congelar tokens no nível do contrato. Exchanges podem bloquear depósitos conectados a endereços identificados. Validadores, pontes e empresas de análise podem distribuir alertas rapidamente quando ativos roubados começam a se mover.
Outros ativos são mais difíceis de parar. Os atacantes podem trocar tokens através de pools descentralizados, mover-se entre cadeias, usar ferramentas de privacidade ou rotear fundos através de serviços localizados em jurisdições que não cooperam com as autoridades dos EUA.
O FBI alertou especificamente que DeFi e serviços de troca instantânea poderiam aparecer no processo de lavagem. Esse aviso não significa que esses serviços participaram conscientemente. Ferramentas sem permissão podem ser usadas tanto por clientes legítimos quanto por atores sancionados.
A recuperação dependerá de quão rapidamente os investigadores identificarem novos endereços e de quanto do dinheiro restante chegar a serviços capazes de bloqueá-lo.
O Que as Empresas Devem Aprender com o Ataque
O caso da Binance mostra por que a segurança de recrutamento não pode pertencer apenas a um departamento de RH.
Um contato de emprego com aparência crível pode se tornar uma rota para sistemas de produção. O código recebido durante uma entrevista deve ser tratado como software não confiável, mesmo quando vem de uma plataforma de emprego reconhecida. Testá-lo em um dispositivo isolado ou em um ambiente temporário pode evitar que uma conversa de carreira comum chegue às credenciais corporativas.
As verificações de identidade também precisam continuar após a contratação. Uma empresa que verifica documentos no primeiro dia, mas ignora acesso remoto incomum, locais de dispositivos ou mudanças de pagamento, pode perder sinais de que outra pessoa assumiu a conta.
A orientação do FBI sobre trabalhadores de TI norte-coreanos recomenda verificar independentemente o histórico de emprego, examinar inconsistências de identidade e prestar muita atenção aos dispositivos da empresa enviados para endereços de terceiros. Também alerta sobre software de acesso remoto não autorizado e "fazendas de laptops" baseadas nos EUA usadas para ocultar a localização real de um trabalhador.
Para empresas de criptomoedas, controles de recrutamento, segurança de dispositivos, permissões de carteira e triagem de sanções devem funcionar como um único sistema. Os atacantes já os tratam dessa forma.
A Tapbit publica análises de mercado e educação sobre criptomoedas para leitores que acompanham as forças que moldam os mercados de ativos digitais. Explore a cobertura mais recente em Tapbit, acesse uma conta existente através do Login Tapbit, ou registre-se com Tapbit para saber mais sobre a plataforma.
Perguntas Frequentes
Quem hackeou a Binance em outubro de 2026?
O FBI atribuiu o roubo à Coreia do Norte e o associou ao TraderTraitor. A TRM Labs e a Chainalysis chegaram a avaliações semelhantes com base no comportamento do ataque e em ligações com incidentes anteriores.
Quanto foi roubado da Binance?
Aproximadamente US$ 6,36 bilhões em ativos de criptomoedas foram transferidos de carteiras da Binance em 10 blockchains. Foi descrito como o maior roubo de criptomoedas já registrado.
A Binance perdeu fundos de clientes?
A Binance disse que reservou mais de US$ 6,34 bilhões em fundos da empresa para cobrir as perdas e prometeu proteger os usuários. A empresa relatou que a maioria dos ativos dos clientes permaneceu em armazenamento frio offline.
