Entrevista de emprego falsa da Coreia do Norte levou a roubo de US$ 6,3 bilhões na Binance

A Binance publicou nesta terça-feira (3) um relatório de incidente detalhando como uma campanha de meses, atribuída a hackers norte-coreanos, culminou no roubo de US$ 6,3 bilhões em criptomoedas no dia 29 de outubro. Segundo a exchange, o ataque não foi um incidente isolado nem um phishing simples, mas uma operação em múltiplos estágios que misturou engenharia social via vaga de emprego falsa, malware, comprometimento de ferramentas internas de IA↳Inteligência artificial440 conteúdosUX e IA: Transformando Experiências Digitais com Inteligência ArtificialProduto & UX · jan 2025MCP: O que é e por que você vai ouvir falar disso em breve?AI · jul 2025IA generativa e a urgência de reconstruir nossa relação com a verdadeAI · jun 2025Ver tudo em AI → e um método avançado de burla na autorização de transações.

No fim de semana anterior à publicação do relatório, o FBI atribuiu o roubo ao TraderTraitor, grupo de hackers norte-coreano ligado ao Lazarus Group, conhecido por combinar espionagem com assaltos milionários a exchanges de cripto. O coletivo, patrocinado por Pyongyang, também é especialista em fraudes no mercado de trabalho: ora se passa por trabalhadores de TI contratados por empresas ocidentais, ora se passa por recrutadores para induzir desenvolvedores a baixar malware em máquinas corporativas. Neste caso, usaram a segunda abordagem.

A porta de entrada veio em junho

Segundo a Binance, a preparação do ataque começou ainda em junho, com um ataque de cadeia de suprimentos: um engenheiro da equipe de infraestrutura de carteiras baixou uma instalação maliciosa do Homebrew. A equipe de segurança detectou o malware na época, substituiu o dispositivo e revogou as credenciais afetadas. Mas o dano já estava feito: o papel desse engenheiro, chamado de "Engenheiro A" no relatório, e de seus colegas na equipe de carteiras ficou exposto aos atacantes.

Três meses depois, em setembro, começou a fase de engenharia social propriamente dita. Outro engenheiro de software da Binance foi contatado por uma "plataforma legítima de busca de emprego" por alguém que se apresentava como diretor de projeto de uma empresa fictícia, que organizou uma série de entrevistas.

Como a entrevista falsa ganhou credibilidade

A primeira etapa foi uma videochamada ao vivo com o engenheiro e uma suposta representante de RH. Para construir confiança, a interlocutora compartilhou uma conta de rede social com fotos e vídeos pessoais, segundo o relatório da Binance. A exchange classificou essa tática como "mais avançada e enganosa do que abordagens de engenharia social vistas anteriormente".

A segunda entrevista, feita por um aplicativo popular de chat, foi conduzida por alguém que se apresentava como CEO da empresa falsa. Ao final da conversa, o suposto CEO instruiu o engenheiro a baixar uma "tarefa" contendo um repositório de código com malware embutido. O código foi executado na máquina de trabalho do engenheiro durante o processo de configuração, dando início a uma série de atividades não autorizadas.

O malware que trocou uma ferramenta legítima

De acordo com a Binance, o malware substituiu um componente legítimo de uma ferramenta de desenvolvimento por uma versão maliciosa, que executava comandos e estabelecia comunicação com um servidor externo controlado pelos atacantes. Os invasores também tomaram medidas para ocultar o script malicioso e evitar detecção, o que funcionou: as ferramentas de segurança de endpoint da Binance não identificaram o malware de imediato. O relatório publicou o script usado no ataque:

CREATE /opt/homebrew/Cellar/pyenv/2.8.0/libexec/pyenv_
MODIFY pyenv_ → 3.414 B
DELETE .../libexec/pyenv (3.344 B) ← remove o pyenv válido
RENAME pyenv_ → pyenv (3.414 B) ← substitui pela versão maliciosa
DELETE /opt/homebrew/bin/pyenv (3.414 B)
ln (cria um novo symlink) + spawn zsh

O script manipula o pyenv, gerenciador de versões do Python↳Python56 conteúdosVSCode + Python + Alexa: Desenvolva e teste skills para alexa localmente com pythonDev (Back & Front) · out 2025Dominando decoradores em Python: um guia completo com exemplosDev (Back & Front) · jan 2025Desenvolvimento de software: diferenças entre Python, JavaScript e JavaGestão Dev & TI · nov 2024Ver tudo em Dev (Back & Front) → amplamente usado por desenvolvedores, trocando o binário legítimo por uma cópia maliciosa e criando um novo symlink que dispara um shell zsh.

De um computador comprometido ao roubo de US$ 6,3 bi

No dia 20 de outubro, os atacantes usaram o computador já comprometido e uma ferramenta interna de IA da Binance para ganhar acesso às máquinas de outros dois engenheiros: o "Engenheiro A", da equipe de DevOps↳DevOps29 conteúdosHabilite o Código de Segurança Azure DevOpsDevSecOps · jun 2025O que é DevOps – minha experiência como executivo nessa frenteDev (Back & Front) · abr 2026DevOps: a automação de processos de TI como estratégia de eficiência operacionalDev (Back & Front) · set 2024Ver tudo em DevSecOps → de carteiras, e o "Engenheiro C", desenvolvedor de software também ligado às carteiras. O Engenheiro A tinha em seu computador um token de permissão para implantação de containers, que os atacantes logo descobriram.

No dia 29 de outubro, o grupo acessou o computador do Engenheiro C, usou as credenciais roubadas do Engenheiro A para implantar um container e disparou um script que executou o roubo de criptomoedas. Esse é o evento que a FBI, dois dias antes da publicação do relatório da Binance, já havia atribuído ao TraderTraitor.

O que a Binance fez depois do ataque

A exchange informou que já reconstruiu o sistema de carteiras comprometido e a ferramenta interna de IA, além de substituir todos os dispositivos afetados. Também revogou todas as credenciais e tokens atribuídos aos engenheiros comprometidos e diz estar trabalhando com forças de segurança, empresas de inteligência em blockchain e pesquisadores de segurança para rastrear e congelar os ativos roubados.

A Binance contratou especialistas independentes em cibersegurança para conduzir uma revisão completa do incidente e recomendar medidas de proteção adicionais. A exchange também afirmou que vai criar um fundo de pesquisa em segurança e iniciativas com empresas de IA e firmas de segurança focadas especificamente em segurança de IA em ambientes blockchain.

O que isso significa para quem contrata e é contratado

O caso reforça um padrão já conhecido de operações como TraderTraitor/Lazarus: usar o próprio processo seletivo como vetor de ataque, seja se candidatando a vagas, seja oferecendo uma. Para equipes de engenharia no Brasil que recebem "testes técnicos" ou repositórios de avaliação durante processos seletivos, a lição prática é isolar essa execução: rodar em máquina virtual descartável, sandbox ou container sem acesso a credenciais de produção, nunca na máquina de trabalho com tokens e chaves reais.

Para empresas que lidam com ativos digitais, o relatório da Binance também expõe um ponto estrutural: o comprometimento de um único desenvolvedor, meses antes do ataque final, bastou para mapear toda a equipe de infraestrutura de carteiras. Segmentação de permissões, rotação agressiva de tokens e monitoramento de ferramentas internas de IA (que, neste caso, foi usada pelos próprios atacantes para pivotar entre máquinas) aparecem como pontos que a investigação ainda está detalhando.

Fonte: Hacker News