A Binance, maior corretora de criptomoedas do mundo, publicou em 3 de novembro o relatório preliminar sobre a invasão que retirou cerca de US$ 6,3 bilhões em ativos digitais de sua infraestrutura — o maior roubo de criptomoedas já registrado. O documento descreve não uma falha isolada, mas uma campanha que se estendeu por meses e começou com um processo seletivo que nunca existiu.
A cronologia que a empresa reconstruiu
Segundo o relatório, relatado pelo site The Block:
- Junho — os invasores atingiram um engenheiro de DevOps da área de carteiras por meio de uma instalação adulterada do Homebrew, gerenciador de pacotes comum entre desenvolvedores. A Binance detectou o problema, substituiu o equipamento e trocou as credenciais. Pela reconstituição da Fortune, o engenheiro chegou ao arquivo adulterado por um anúncio, em vez do canal oficial — e, até ser descoberta, a operação já havia mapeado a função dele e a de quem administrava as carteiras da empresa.
- Setembro — os atacantes se apresentaram como executivos em um processo de recrutamento fictício. Um suposto "diretor de projetos" procurou um engenheiro em uma plataforma de vagas, marcou uma primeira entrevista com um "representante de RH" e uma segunda com alguém que se dizia presidente de uma empresa inexistente. O objetivo era que o profissional baixasse um "exercício" de programação — que era o malware.
- 20 de outubro — a partir dessa máquina e de uma ferramenta interna de inteligência artificial, os invasores assumiram o controle dos equipamentos de outros dois engenheiros, onde encontraram uma permissão para subir contêineres.
- Cerca de nove dias depois — com credenciais roubadas, subiram um contêiner e executaram o script que disparou o ataque às carteiras, autorizando transações pela infraestrutura de assinatura da corretora.
Quanto voltou
A Binance afirma ter bloqueado ou interceptado cerca de US$ 2,85 bilhões e recomposto 98% dos ativos atingidos, com reservas próprias e outras fontes; os 2% restantes, em moedas de menor circulação, ainda estavam sendo adquiridos. A Fortune informou que Tether e Circle congelaram as stablecoins roubadas, o que viabilizou a recuperação de cerca de US$ 2,5 bilhões.
Os saques ficaram suspensos por cerca de 48 horas e foram reabertos no fim de semana, segundo a Fortune; em 3 de novembro, a corretora informou que a liberação seguia em etapas, e que o volume de depósitos por hora passou a superar o de retiradas.
Atribuição e reação
A Binance diz que o FBI vinculou o ataque à Coreia do Norte. Sua própria investigação identificou engenharia social, malware e o uso indevido de ferramentas internas de IA. Em 2 de novembro, a irmã do líder norte-coreano Kim Jong-un classificou as afirmações do FBI como uma "grave provocação política".
A empresa afirma ter detectado e impedido 57 tentativas de ataque atribuídas à Coreia do Norte em 2026.
O co-presidente executivo Richard Teng resumiu o episódio: "Não foi um erro nem uma brecha única — foi uma campanha de meses." A corretora também pediu desculpas: "Isto não deveria ter acontecido, e pedimos desculpas pela preocupação, pela interrupção e pela incerteza que causamos aos nossos usuários."
Entre as medidas listadas estão o fechamento dos pontos de entrada, a reconstrução ou substituição dos sistemas afetados, controles mais rígidos sobre equipamentos e ampliação da detecção de anomalias por IA. A empresa também contratará uma auditoria independente de cibersegurança.
O detalhe que importa
Nenhuma etapa da cadeia descrita depende de quebrar criptografia. O caminho foi humano no começo — um currículo, uma entrevista, um arquivo — e administrativo no fim: uma permissão para subir contêineres. A ferramenta de IA interna, pensada para dar produtividade a quem trabalha dentro da empresa, funcionou como corredor entre máquinas.
Com informações do The Block e da Fortune.
