Na dúvida, não clique, não baixe e não abra. Essa regra, associada a vulnerabilidades internas, foram as portas de entrada para hackers roubarem US$ 6,3 bilhões da Binance. De acordo com informações que a maior exchange do mundo divulgou hoje (3), houve uma sequência de ataques e um plano detalhado e com múltiplas ações desde junho de 2026 que envolveram três engenheiros em ações rotineiras e que facilitaram a ação dos hackers.
O MB – Mercado Bitcoin, que sofreu um ataque ontem (2), não divulgou em seus canais informações atualizadas hoje sobre a situação. Sabe-se que a operação foi paralisada. A empresa falou em US$ 37 milhões, enquanto a Chainalysis fala em US$ 49 milhões.
A Chainalysis, que também sofreu um ataque no sábado (30, também fez deu atualização sobre sua situação nesta terça-feira (3). Ontem (2), afirmou “por excesso de precaução, tirou do ar produtos como Reactor e Data Solutions. A empresa garantiou que informações de investigações de seus clientes, credenciais e tokens de sessões não foram afetados.
CEO da Binance : ataque hacker sofisticado
“Esta foi uma semana dolorosa, mas a medida de uma plataforma não é se nunca foi atacada. É o que faz para proteger usuários, falar a verdade sobre o que aconteceu e voltar mais forte. E é exatamente isso que estamos fazendo, disse CEO da Binance, Richard Teng.
De acordo com Teng, a investigação atual indica que esta foi uma campanha sofisticada e de múltiplas etapas. “Quero deixar claro, como dissemos desde o começo, que isso é de nossa responsabilidade e que vamos cobrir todos os custos do incidente”. E disse que a empresa reservou mais do que o necessário para cobrir os fundos.
“Os hackers combinaram uma série de técnicas, incluindo engenharia social por meio de falsas entrevistas de recrutamento, downloads de softwares maliciosos, comprometimento de ferramentas internas de IA, comprometimento de endpoints e um método avançado de autorização de transações”, disse a empresa.
De acordo com o estudo “2026 Data Breach Investigations Report” da Verizon, o vetor de acesso inicial mais comum para o vazamento de dados é a exploração de vulnerabilidades, que em um ano disparou de 25% para 31%. O segundo maior foi phishing, que ficou praticamente estável em 27%. Mas, o abuso de credenciais, que em 2025 ficou em segundo lugar com 25%, caiu para 13% e foi para o terceiro lugar. O fator humano tende a ser um grande faciltador. E mais e mais, a questão da cadeia de produção. Como aconteceu na Binance.
Caminho do ataque hacker
O plano do ataque, conforme o comunicado da Binance sobre o que afirma que apurou até agora:
- Junho de 2026 — Ataque à cadeia de suprimentos (supply chain): Um engenheiro da equipe de DevOps de Carteiras baixou uma instalação adulterada do Homebrew para instalar uma ferramenta popular de codificação com IA após pesquisar na internet. A equipe de segurança detectou a anomalia, substituiu o dispositivo e alternou (rotated) todas as credenciais relacionadas como uma ação proativa de segurança. No entanto, o papel do engenheiro e seus colegas relacionados na equipe de infraestrutura de carteiras da exchange foram expostos ao hacker.
- Ao longo de 2026, a equipe de segurança da Binance detectou e preveniu 57 casos de ameaças cibernéticas suspeitas de ligação com a Coreia do Norte usando diferentes técnicas.
- Setembro — Engenharia social. Um outro engenheiro de Software foi contatado por meio de uma plataforma legítima de busca de empregos por um indivíduo que se passava por Diretor de Projetos. Esse engenheiro de Software tinha um perfil na plataforma que referenciava sua experiência na Binance. O suposto Diretor de Projetos marcou uma primeira rodada de entrevista com um representante de RH, seguida por uma segunda rodada de entrevista com um indivíduo que afirmava ser o CEO de uma empresa fictícia.
- Na primeira rodada, o suposto representante de RH realizou uma entrevista em vídeo ao vivo. O entrevistador compartilhou uma conta de rede social, a fim de criar confiança. Isso foi mais avançado e enganoso do que abordagens de engenharia social vistas anteriormente, disse a exchange.
- A segunda entrevista foi realizada em um aplicativo popular de bate-papo social. Perto do final da entrevista, o engenheiro foi instruído a baixar uma “tarefa” contendo um repositório de código malicioso em seu computador de trabalho. O repositório continha código malicioso que foi executado durante o processo de configuração, iniciando uma série de atividades não autorizadas.
- O malware empregou técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente legítimo de ferramenta de desenvolvimento por uma versão maliciosa para executar comandos e estabelecer comunicação com um servidor externo controlado pelo atacante. O malware 0-day não foi detectado pelas ferramentas de proteção de segurança de endpoint na época. O atacante também tomou medidas para ocultar a atividade maliciosa e remover vestígios do comprometimento, tornando a detecção e a investigação subsequente mais desafiadoras.
- O script executou os passos abaixo aplicando técnicas de ofuscação para evadir a detecção de segurança:
Plaintext
CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3,414 B
DELETE .../libexec/pyenv (3,344 B) ← remover o pyenv válido
RENAME pyenv_ → pyenv (3,414 B) ← substituir pela versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3,414 B)
ln (criar um novo link simbólico) + spawn zsh
- 20 de Outubro — Uso de uma ferramenta interna de IA como trampolim. O atacante aproveitou o computador comprometido do engenheiro que fez a entrevista falsa de emprego e usou uma ferramenta interna de IA para obter controle sobre aquele primeiro engenheiro e o terceiro engenheiro envolvido (de software de carteiras). O atacante logo descobriu que o primeiro Engenheiro tinha um token de permissão de implantação de contêiner em seu computador.
- 29 de Outubro — Alcance às operações de assinatura de carteira. Em 29 de outubro, entre 17:15 e 19:56, o atacante fez login no computador de um terceiro engenheiro de Software, usou as credenciais roubadas do engenheiro do time de DevOps de Carteiras, atacado em junho, implantou um contêiner e acionou um script malicioso para lançar o ataque.
“Até 31 de outubro de 2026, 98% dos ativos de tokens impactados foram repostos e são verificáveis em nossa página de Prova de Reservas. Estamos em processo de aquisição dos ativos restantes, que são mais ilíquidos”, afirmou a Binance. Até esta terça-feira de manhã, cerca de US$ 2,85 bilhões em ativos digitais foram congelados ou interceptados. E estavam sujeitos à reconciliação e à volatilidade dos preços de mercado.
“Tomamos medidas imediatas para conter o incidente e fortalecer os sistemas envolvidos. Os pontos de entrada identificados como tendo sido usados no ataque foram fechados. Os sistemas tocados no caminho do ataque foram reconstruídos ou substituídos. Também implementamos controles de dispositivos mais rígidos, aprimoramos os controles de risco dos serviços de carteira e expandimos a detecção de anomalias comportamentais baseada em IA”, disse a empresa. A Binance diz que continua a investigação.
A empresa disse que esse foi um relatório inicial e que a investigação continua.
As informações mais recentes divulgadas pelo Federal Bureau of Investigation indicam que a República Popular Democrática da Coreia é responsável por este incidente, de acordo com a exchange.
O que aconteceu em 29 de outubro
Abaixo, o relato da Binance sobre o que aconteceu:
“O ataque se desenrolou rapidamente em várias redes. O atacante explorou um acesso não autorizado a um serviço interno de assinatura de carteira para iniciar transações fora do processo normal de saque.
Entre 20:05 UTC e 20:09 UTC, cinco hot wallets da Binance enviaram 233,46 milhões de XRP para um endereço controlado pelo atacante.
Hot wallets da Binance na Solana e Optimism enviaram aproximadamente 970.500 SOL e 44,2 milhões de OP para endereços controlados pelo atacante.
A Binance então recebeu um alerta interno relativo a transferências de grande volume e iniciou imediatamente as investigações.
Uma hot wallet da Binance enviou 18.270 BTC para um endereço controlado pelo atacante.
O atacante então usou o serviço de assinatura para explorar o mecanismo de autorização EIP-7702 do Ethereum. O EIP-7702 permite que uma conta delegue certos direitos de execução a um contrato inteligente sem expor a chave privada. Neste caso, o atacante usou esse mecanismo para dar a um contrato inteligente controlado por ele direitos parciais de execução sobre uma hot wallet da Binance.
A Binance iniciou imediatamente múltiplas medidas de contenção, incluindo a suspensão de saques para restringir novas saídas, a coordenação com parceiros para congelar tokens afetados e a adoção de medidas para revogar permissões não autorizadas. Esses esforços congelaram um total de $2,85 bilhões em ativos.
No entanto, a suspensão de saques por si só não conseguiu interromper todas as movimentações não autorizadas de ativos. As autorizações maliciosas do EIP-7702 existiam na blockchain (on-chain) e operavam independentemente da infraestrutura normal de saques da Binance. Os atacantes enviaram 50 transações de assinatura para manipular o nonce da conta e estabelecer autorizações de delegação maliciosas.
Uma vez estabelecidas, essas autorizações permitiram que os atacantes continuassem movendo ativos independentemente da infraestrutura normal de saques da Binance. A Binance precisou de transações adicionais para revogar essas autorizações on-chain.
O processo de contenção envolveu complexidades técnicas adicionais. Como a hot wallet utilizava Computação Multipartidária (MPC), não havia uma única chave privada que pudesse ser usada para revogar imediatamente as autorizações maliciosas do EIP-7702.
A equipe, portanto, desenvolveu e executou um procedimento especializado para revogar essas autorizações, o que exigiu tempo adicional. Além disso, a suspensão de saques e o desligamento dos serviços de hot wallet não invalidavam automaticamente as autorizações on-chain existentes.
Esses desafios estenderam o tempo necessário para conter totalmente as movimentações não autorizadas de ativos. Estamos revisando o processo de resposta a incidentes, a cobertura da política de assinatura, os controles de hot wallet e identificando oportunidades para fortalecer ainda mais nossa capacidade de responder rapidamente a ameaças no futuro.
A transferência não autorizada final de 2,961.9 ETH foi finalizada on-chain às 23:56 UTC. A transação havia sido transmitida anteriormente e permaneceu pendente antes de ser subsequentemente finalizada. Nenhuma outra transferência não autorizada foi observada depois disso.
Às 00:10 UTC de 30 de outubro de 2026, a Binance executou uma nova autorização da hot wallet Binance14 para o endereço zero, limpando o código de delegação EIP-7702″.
Ações pós ataque na Binance
A empresa afirmou que após o ataque, está com uma equipe de especializadas terceirizados e independentes para revisar o incidente e recomentar medidas adicionais. Além disso, Vai aumentar o investimento em detecção de problemas por IA. E terá um fundo de pesquisa em segurana e iniciativas com empresas de IA e do setor de segurança em IA em blockchain.
