Binance Revela Descobertas Preliminares sobre Incidente de Segurança: De Processos Falsos de Recrutamento a Ferramentas de IA Comprometidas, Como os Hackers Penetraram Camada por Camada?

Em 3 de novembro, a Binance divulgou um relatório preliminar de investigação sobre o incidente de segurança de 29 de outubro, revelando todo o curso do ataque e o caminho de infiltração usado pelos invasores. Segundo o relatório, os atacantes assumiram gradualmente o controle dos dispositivos de diversos funcionários por meio de entrevistas de emprego falsas, malware e ferramentas internas de IA comprometidas, obtendo, por fim, privilégios de assinatura de carteira e utilizando o mecanismo de autorização EIP-7702 para contornar o processo normal de saque e transferir ativos.

O incidente envolveu ativos totais de aproximadamente US$ 6,34 bilhões. Na data da publicação do relatório, cerca de US$ 2,85 bilhões em ativos haviam sido congelados ou interceptados, e 98% dos ativos em tokens afetados já haviam sido repostos. A Binance afirmou que as perdas correspondentes serão arcadas pela plataforma, que já iniciou a reconstrução dos sistemas afetados, reforçou as proteções de segurança e contratou uma terceira parte independente para realizar nova análise. O relatório também observou que, segundo informações mais recentes do FBI norte-americano, a Coreia do Norte é responsável pelo incidente.

Segue o texto integral:

Em 29 de outubro de 2026, a Binance sofreu um grave e altamente sofisticado incidente de segurança. Esse incidente não deveria ter ocorrido, e pedimos desculpas profundamente pela preocupação, interrupção operacional e incerteza causadas a usuários, parceiros e a toda a indústria.

Proteger os usuários é sempre nossa prioridade máxima. As perdas financeiras decorrentes dos fundos roubados serão arcadas pela Binance e não repassadas aos usuários. Reservamos fundos superiores a 100% do valor das perdas para cobri-las. Até 31 de outubro de 2026, 98% dos ativos em tokens afetados já haviam sido repostos, podendo os usuários verificar isso na página Prova de Reservas. Para a parcela de ativos menos líquidos ainda não repostos, estamos em processo de aquisição.

Os ativos digitais envolvidos neste incidente totalizaram aproximadamente US$ 6,34 bilhões. Na data da publicação deste relatório, cerca de US$ 2,85 bilhões em ativos digitais haviam sido congelados ou interceptados; o valor exato ainda requer verificação adicional e pode ser afetado por flutuações nos preços de mercado.

Adotamos imediatamente medidas para conter o impacto do incidente e reforçar a segurança dos sistemas afetados. Todos os pontos de entrada confirmados explorados pelos atacantes foram fechados, e os sistemas envolvidos no caminho do ataque foram reconstruídos ou substituídos. Além disso, intensificamos ainda mais o controle de dispositivos, reforçamos os controles de risco para serviços de carteira e ampliamos as capacidades de detecção de comportamentos anômalos baseadas em IA.

Este relatório é preliminar e abrange a situação conforme atualmente compreendida, bem como as melhorias de segurança já concluídas. A investigação prossegue e as conclusões relevantes estarão sujeitas a revisão independente adicional. Para impedir que invasores maliciosos usem essas informações para planejar ataques, alguns detalhes técnicos permanecerão confidenciais. Contratamos uma empresa independente de segurança para realizar nova análise.

As informações mais recentes divulgadas pelo FBI (Escritório Federal de Investigações) dos EUA indicam que a República Popular Democrática da Coreia (RPDC) é responsável por este incidente.

Optamos por publicar este relatório preliminar porque apenas quando toda a indústria aprender com essas lições em conjunto os padrões de segurança poderão continuar evoluindo.

O que ocorreu em 29 de outubro

O ataque se desdobrou rapidamente em múltiplas redes.

Os atacantes usaram acesso não autorizado a um serviço interno de assinatura de carteira para iniciar transações fora do processo normal de saque.

Entre 20h05 e 20h09 UTC, cinco carteiras quentes da Binance transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes.

Posteriormente, carteiras quentes da Binance implantadas nas redes Solana e Optimism transferiram aproximadamente 970.500 SOL e 44,2 milhões de OP, respectivamente, para endereços controlados pelos atacantes.

Após isso, a Binance recebeu um alerta interno sobre uma grande transferência de ativos e iniciou imediatamente uma investigação.

Uma carteira quente da Binance transferiu então 18.270 BTC para um endereço controlado pelos atacantes.

Os atacantes usaram então o serviço de assinatura para explorar ainda mais o mecanismo de autorização EIP-7702 da Ethereum.

O EIP-7702 permite que uma conta delegue autoridade parcial de execução a um contrato inteligente sem expor sua chave privada. Neste incidente, os atacantes usaram esse mecanismo para conceder a um contrato inteligente sob seu controle autoridade parcial de execução sobre uma das carteiras quentes da Binance.

A Binance ativou imediatamente várias medidas de emergência, incluindo a suspensão de saques para limitar novas saídas de fundos, coordenação com parceiros para congelar tokens afetados e medidas para revogar permissões não autorizadas. Com essas ações, foram congelados ativos no valor total de US$ 2,85 bilhões.

No entanto, a simples suspensão de saques não foi suficiente para impedir todas as transferências não autorizadas de ativos. A autorização maliciosa EIP-7702 já existia na blockchain e operava independentemente da infraestrutura normal de saques da Binance.

Os atacantes enviaram um total de 50 transações assinadas, estabelecendo autorizações de delegação maliciosas ao manipular nonces de contas (números de sequência de transações). Uma vez estabelecidas essas autorizações, os atacantes puderam contornar a infraestrutura normal de saques da Binance e continuar transferindo ativos. A Binance precisou enviar transações adicionais para revogar essas autorizações na blockchain.

O processo geral de recuperação do controle sobre os ativos enfrentou também outras complexidades técnicas. Como as carteiras quentes envolvidas utilizam tecnologia de computação multipartidária (MPC), não havia uma única chave privada que pudesse ser usada diretamente para revogar imediatamente a autorização maliciosa EIP-7702. Para resolver isso, a equipe precisou desenvolver e executar especificamente um processo especial de revogação, o que exigiu tempo adicional.

Além disso, a suspensão de saques e a desativação dos serviços de carteiras quentes não invalidaram automaticamente as autorizações já existentes na blockchain.

Esses desafios prolongaram o tempo necessário para controlar totalmente as transferências não autorizadas de ativos. Estamos revisando o processo de resposta de emergência ao incidente, o escopo das políticas de assinatura e dos controles sobre carteiras quentes, além de buscar oportunidades para melhorar ainda mais a velocidade de resposta a ameaças no futuro.

A última transferência não autorizada foi de 2.961,9 ETH, confirmada finalmente na blockchain às 23:56 UTC. A transação havia sido previamente transmitida e estava pendente antes de ser confirmada. Desde então, nenhuma outra transferência não autorizada foi observada.

Às 00:10 UTC de 30 de outubro de 2026, a Binance executou uma nova transação de autorização da carteira quente Binance14 para o endereço zero, limpando o código de delegação EIP-7702.

Como o Ataque Foi Preparado

A investigação atual mostra que este incidente foi uma operação de ataque complexa e de múltiplas etapas, não uma intrusão isolada nem um simples ataque de phishing.

Os atacantes combinaram diversos métodos técnicos, incluindo engenharia social por meio de entrevistas de emprego falsas, induzindo vítimas ao download de malware, explorando ferramentas internas de IA comprometidas, comprometendo dispositivos finais de funcionários e usando técnicas avançadas de autorização de transações.

Junho de 2026 — Ataque à cadeia de suprimentos. O Engenheiro A da equipe Wallet DevOps pesquisou em um mecanismo de busca uma popular ferramenta de programação com IA, baixou um pacote instalador adulterado do Homebrew e tentou instalar a ferramenta correspondente por meio desse pacote. A equipe de segurança da Binance detectou a anomalia, substituiu proativamente o dispositivo e rotacionou todas as credenciais relacionadas. Contudo, informações sobre o cargo do Engenheiro A e sobre colegas relevantes da equipe de infraestrutura de carteiras já tinham sido expostas aos atacantes.

Ao longo de 2026 — Ciberataques persistentes. Desde 2026, a equipe de segurança da Binance detectou e bloqueou 57 incidentes suspeitos de ameaças cibernéticas ligados à Coreia do Norte. Esses ataques refletem que atacantes patrocinados por Estados continuam mirando a indústria de criptomoedas. Os métodos de ataque relacionados incluem entrevistas de emprego falsas, malware disfarçado de ferramentas populares para desenvolvedores, pacotes de software e extensões de navegador adulterados, aplicativos falsos de videoconferência e ataques de engenharia social destinados a roubar credenciais ou implantar malware de acesso remoto.

Setembro — Ataque de engenharia social. O Engenheiro de Software B recebeu uma mensagem de contato via uma plataforma legítima de vagas de emprego de uma pessoa que se apresentava como diretora de projetos. O perfil do Engenheiro B nessa plataforma mencionava experiência prévia na Binance. A pessoa agendou uma entrevista inicial conduzida por um representante de recursos humanos, seguida por uma segunda entrevista com alguém que se dizia CEO de uma empresa fictícia.

Durante a primeira entrevista, a pessoa que se passava por RH realizou uma entrevista em vídeo ao vivo com o Engenheiro de Software B. Para gerar confiança, o entrevistador também compartilhou suas contas de mídias sociais com o Engenheiro B, incluindo fotos e vídeos pessoais postados nessas plataformas. Essa tática é mais sofisticada e enganosa do que os métodos de engenharia social observados anteriormente.

A segunda entrevista foi conduzida por meio de um popular aplicativo de bate-papo social. Perto do fim da entrevista, pediu-se ao Engenheiro B que baixasse em seu computador de trabalho um arquivo chamado “tarefa”, que continha um repositório malicioso de código. O código malicioso nesse repositório foi executado automaticamente durante a instalação, acionando uma série de operações não autorizadas.

O malware usou técnicas sofisticadas de ofuscação de código e evasão de detecção, incluindo a substituição de um componente legítimo de ferramenta para desenvolvedores por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelos atacantes. Na época, as ferramentas de proteção de endpoints não conseguiram detectar esse malware zero-day. Os atacantes também tomaram medidas para ocultar a atividade maliciosa e apagar rastros relacionados, aumentando ainda mais a dificuldade de detecção e investigação subsequente.

O script evadiu a detecção de segurança por meio de técnicas de ofuscação de código e realizou especificamente as seguintes operações:

20 de outubro — Uso de ferramentas de IA internas como plataforma de ataque. Usando o computador comprometido do Engenheiro B, os invasores assumiram ainda mais o controle dos dispositivos do Engenheiro DevOps de Carteira A e de outro engenheiro de software de carteira, C, por meio das ferramentas de IA internas da Binance. Os invasores descobriram rapidamente que um token com permissões para implantação em contêineres estava armazenado no computador do Engenheiro DevOps de Carteira A.

29 de outubro — Penetração nas operações de assinatura de carteira. Entre 17h15 e 19h56 de 29 de outubro, os invasores acessaram o computador do Engenheiro de Software C, usaram credenciais roubadas do Engenheiro DevOps de Carteira A para implantar um contêiner e acionaram um script malicioso, lançando, assim, o ataque.

Medidas Adotadas

Até 3 de novembro de 2026, adotamos as seguintes medidas:

• Reconstruímos os sistemas de carteira afetados em um ambiente totalmente novo.

• Reconstruímos as ferramentas de IA internas afetadas e seus sistemas de controle de acesso.

• Substituímos os dispositivos afetados.

• Revogamos credenciais e tokens associados aos engenheiros afetados.

• Concluímos varreduras de segurança aprimoradas em todos os dispositivos dos funcionários.

• Aprimoramos a detecção de comportamentos anômalos baseada em IA.

• Fortalecemos as medidas de controle de risco para serviços de carteira.

• Colaboramos com agências policiais, empresas de inteligência em blockchain e parceiros do setor para rastrear e congelar ativos afetados.

À medida que a investigação prossegue, continuaremos a reforçar as medidas de segurança pertinentes. Algumas medidas de segurança implementadas ou em implantação permanecerão confidenciais para impedir que invasores mal-intencionados usem essas informações contra nossas defesas.

Próximos Passos

Estamos avançando imediatamente com o seguinte trabalho:

1. Realizar uma análise independente de cibersegurança

Contratamos especialistas independentes de cibersegurança de terceiros para realizar uma análise abrangente deste incidente, verificar as conclusões da investigação atual e propor recomendações adicionais de aprimoramento da segurança. O escopo dessa análise e seus resultados finais servirão de base para nosso trabalho subsequente de remediação.

2. Aumentar investimentos em segurança de IA e defesa proativa

Aumentaremos os investimentos em áreas como detecção de ameaças impulsionada por IA, proteção de endpoints, segurança do ambiente de desenvolvimento e monitoramento de comportamentos anômalos.

3. Criar um fundo de pesquisa em segurança e promover a colaboração setorial

Estamos colaborando com empresas líderes em IA, participantes do setor e empresas de segurança, e planejamos criar um fundo de pesquisa em segurança para realizar projetos especializados de pesquisa e colaboração setorial focados na segurança de IA em ambientes blockchain.

À medida que a investigação avançar, continuaremos divulgando proativamente informações relevantes ao público.