Binance aponta laptop hackeado de engenheiro na violação de US$ 6,3 bilhões

Atualização (30 de out. às 2h44 UTC): Este artigo foi atualizado com a investigação preliminar da Binance sobre a violação de segurança.

A Binance afirmou que sua investigação inicial sobre a violação cripto de vários bilhões apontou para um laptop comprometido de um engenheiro DevOps.

A exchange disse que a invasão do laptop pode ter permitido a um atacante acessar um contêiner de serviço e enviar transações não autorizadas de saque. Não encontrou evidências de vazamento de chaves privadas de carteira, embora a investigação continue.

Em entrevista à Cointelegraph na quinta-feira, Ben-Natan afirmou que a avaliação preliminar da Blockaid também apontou para “uso indevido de chaves”, em que atacantes enganam ou comprometem um sistema de assinatura para autorizar transações maliciosas sem extrair a chave privada subjacente.

“Parece ser… uma violação da infraestrutura de assinatura. Não acreditamos que uma chave tenha sido vazada”, afirmou ele.

A avaliação de Ben-Natan baseou-se na experiência da Blockaid com ataques semelhantes e em suas observações da atividade on-chain.

Binance estima impacto de US$ 6,3 bilhões e congela cerca de US$ 3 bilhões

A Binance agora estima o impacto total em cerca de US$ 6,3 bilhões e informou ter colaborado com parceiros blockchain para congelar aproximadamente US$ 3 bilhões em ativos afetados na blockchain.

A exchange afirmou que cobrirá todas as perdas usando seu Fundo Seguro de Ativos para Usuários (SAFU) e recursos próprios, acrescentando que os fundos dos usuários estão seguros. Também se comprometeu a publicar uma nova Prova de Reservas.

A Binance suspendeu temporariamente depósitos e saques enquanto realizava verificações de segurança e informou ter revogado a autorização do endereço afetado. Está colaborando com autoridades policiais e parceiros de inteligência blockchain para rastrear e recuperar os fundos.

A exchange afirmou que publicará uma análise técnica detalhada após a conclusão da investigação e verificação integral dos fatos.

Blockaid identifica delegação maliciosa de carteira

Na análise on-chain publicada no X, a Blockaid afirmou que o atacante agrupou 50 autorizações EIP-7702 em uma única transação direcionada à Binance 14. Uma autorização coincidiu com o nonce exigido pela conta, permitindo sua aceitação.

O EIP-7702 permite que uma conta delegue execução a código de contrato inteligente. A Blockaid afirmou que a conta afetada foi delegada a um contrato de coleta não verificado, que permitiu a um operador designado esvaziar tokens e ether.

Ben-Natan disse à Cointelegraph que a operação poderia ter envolvido múltiplos dispositivos comprometidos e movimentação pela rede da exchange.

Antes da última atualização da Binance, Miguel Morel, CEO da Arkham, disse à Cointelegraph que havia informações insuficientes para determinar se o ataque envolveu chaves roubadas ou infraestrutura comprometida.

«Pelo que sabemos, parece que a invasão ainda está em curso», afirmou ele na ocasião.

Coreia do Norte, comparação com a Bybit

Questionado se a manipulação suspeita de assinaturas se assemelhava ao ataque à Bybit de fevereiro de 2025, Ben-Natan descreveu os incidentes como «muito, muito semelhantes».

Nesse caso, a atualização forense publicada pela Bybit afirmou que os atacantes comprometeram as credenciais de um desenvolvedor da Safe, acessaram a infraestrutura do provedor de carteiras e enganaram signatários para aprovar uma transação maliciosa.

Ben-Natan também afirmou que a atividade se assemelhava a operações ligadas à Coreia do Norte, citando a familiaridade da Blockaid com tais ataques. Ele destacou preparativos sofisticados na blockchain, mas enfatizou que a atribuição permanece não confirmada.

A Binance não identificou os atacantes, afirmando estar colaborando com as autoridades policiais para determinar suas identidades.

Revista: Ledger adulterado relatado em Cingapura um mês antes da divulgação da notícia: Ásia Express