A exchange de criptomoedas Binance revelou novos detalhes sobre o ataque cibernético que resultou na perda de 6,34 bilhões de dólares em ativos digitais. O comunicado da empresa está alinhado com as conclusões do FBI, que atribuiu a responsabilidade pelo ataque e pelo roubo, ocorrido em 29 de outubro, à Coreia do Norte. A investigação mostrou que a operação não foi realizada em um único dia, mas envolveu um planejamento elaborado ao longo de vários meses.
Em junho, um engenheiro de operações de carteiras digitais da Binance, responsável pela infraestrutura de carteiras da empresa, baixou uma instalação manipulada de uma ferramenta de programação de inteligência artificial popular, encontrada por meio de um mecanismo de busca. A Binance conseguiu detectar a anomalia a tempo e tomou providências imediatas, mas o incidente expôs informações dos colegas de trabalho desse engenheiro aos invasores.
Já em setembro, um engenheiro de software da empresa recebeu uma mensagem de um suposto diretor de projetos por meio de uma plataforma legítima de busca de emprego. O profissional passou por duas rodadas de entrevistas de emprego. A primeira foi uma conversa em vídeo ao vivo com uma suposta representante de recursos humanos, que compartilhou uma conta pessoal de rede social com ele para criar confiança. Na segunda entrevista, conversou com o suposto presidente de uma empresa fictícia, utilizando um aplicativo de mensagens. O falso presidente enviou uma tarefa, que o engenheiro baixou. O arquivo continha um malware que foi executado durante o processo de configuração. Segundo a Binance, o software malicioso "empregava técnicas sofisticadas de ofuscação e evasão" para escapar da detecção, substituindo um componente autêntico de uma ferramenta de desenvolvimento por uma versão maliciosa para executar comandos. O malware também ocultava suas atividades e apagava os vestígios da invasão à medida que avançava.
Em 20 de outubro, os invasores usaram o computador comprometido do engenheiro de software para acessar uma ferramenta interna de inteligência artificial e obter controle dos computadores do engenheiro de operações de carteiras e de outro colega de trabalho dele. Em seguida, em 29 de outubro, acessaram o computador do terceiro engenheiro, utilizaram as credenciais roubadas do primeiro engenheiro de operações de carteiras e executaram um script malicioso para lançar o ataque.
Dos 6,34 bilhões de dólares em ativos digitais afetados pelo incidente, 2,85 bilhões de dólares foram congelados. A Binance admitiu que a movimentação de ativos continuou mesmo após a suspensão dos saques, uma vez que essas transações já haviam sido autorizadas. Em 3 de novembro, a exchange informou que já reconstruiu seu sistema de carteiras afetado e suas ferramentas internas de inteligência artificial, substituiu os dispositivos comprometidos, desativou credenciais e tokens comprometidos, realizou varreduras de segurança aprimoradas nos dispositivos dos funcionários e aprimorou seus sistemas com recursos de detecção de anomalias alimentados por inteligência artificial. A empresa afirmou que absorverá as perdas financeiras do ataque e já reservou recursos suficientes para cobrir os fundos roubados. Também informou que já reconstituiu 98 por cento dos ativos de token afetados e está "em processo de aquisição dos ativos restantes, mais ilíquidos".
