Binance diz que Coreia do Norte usou vaga falsa e IA interna em roubo recorde

A Binance publicou um postmortem sobre o roubo de criptomoedas apontado como o maior roubo de cripto até hoje. Segundo a empresa, o ataque foi conduzido ao longo de meses pela unidade norte-coreana TraderTraitor, identificada pelo FBI, e combinou técnicas conhecidas de engenharia social. O processo começou em junho e terminou com transferências não autorizadas no fim de outubro.

Tudo teria começado com um anúncio em um mecanismo de busca que entregava um download com malware. Um desenvolvedor baixou um instalador adulterado espalhado por um anúncio malicioso do Google, o que expôs detalhes sobre os engenheiros e como eles trabalham. A Binance afirma que as equipes de segurança detectaram essa primeira instalação em junho e trocaram o dispositivo do funcionário.

Entrevista falsa abriu a porta

Em setembro, um segundo engenheiro foi abordado por alguém fingindo interesse em contratá-lo. A pessoa marcou uma série de ligações e várias rodadas de entrevistas, compartilhou páginas de redes sociais para ganhar confiança e convenceu o alvo a baixar uma falsa tarefa de entrevista que era, na verdade, malware.

Esse segundo ataque apagou o executável pyenv e o substituiu por uma versão maliciosa que deu acesso de porta dos fundos aos invasores. A empresa diz que as ferramentas de segurança não detectaram esse ataque na época. O malware usou ofuscação sofisticada e apagou rastros para dificultar a detecção e a investigação posterior.

The 0-day malware was not detected by the endpoint security protection tools at the time. The attacker also took steps to conceal the malicious activity and remove traces of the compromise, making detection and subsequent investigation more challenging.

Binance, em postmortem

IA interna e carteiras tomadas

Em 20 de outubro, os atacantes teriam usado a própria ferramenta interna de IA da Binance para ganhar controle sobre carteiras do primeiro engenheiro comprometido em junho e de um terceiro funcionário. Depois, em 29 de outubro, eles acessaram o computador do terceiro funcionário e lançaram o ataque.

A Binance também explicou por que não conseguiu parar as transações que ocorreram quase duas horas depois das primeiras transferências não autorizadas. Como a hot wallet — a carteira conectada à internet usada para saques rápidos — usava Computação Multipartidária (MPC), técnica que divide o controle entre várias partes sem uma chave única, não havia uma única chave privada que pudesse revogar de imediato as autorizações maliciosas do tipo EIP-7702.

A empresa diz que já impediu 57 casos suspeitos de ameaças cibernéticas ligadas à Coreia do Norte e que nenhum usuário está arcando com o prejuízo, com parte dos ativos roubados congelada ou interceptada. O texto levanta dúvidas sobre por que esse ataque funcionou, já que o perigo de entrevistas que pedem para baixar e executar código em máquinas com acesso a material do empregador é alertado há anos, além de dar poucos detalhes sobre a ferramenta interna de IA usada pelos invasores.

At this moment, 98% of impacted tokens had been replenished; we’re completing the remaining 2%. Withdrawals have broadly resumed.

Richard Teng, CEO da Binance