FBI atribui roubo de US$ 6,3 bilhões da Binance ao grupo norte-coreano Lazarus/TraderTraitor
A Binance confirmou que o roubo de US$ 6,34 bilhões em criptoativos foi executado por hackers ligados à Coreia do Norte, rastreados como TraderTraitor, Lazarus Group, Jade Sleet e APT38, usando uma falsa oferta de emprego para instalar malware inédito em um funcionário. O grupo substituiu um binário legítimo do Homebrew por um executável malicioso disfarçado para obter acesso contínuo e, a partir dele, alcançar a infraestrutura de assinatura de carteiras da exchange.
Diferente de outros vazamentos de dados corporativos, este caso tem atribuição formal: o FBI associou o ataque ao TraderTraitor, um dos apelidos do Lazarus Group/APT38, grupo de ciberespionagem financeira ligado ao governo norte-coreano e já responsável por diversos roubos bilionários em exchanges de criptomoedas ao longo da última década.
A técnica usada para a entrega do malware é reveladora: em vez de um anexo óbvio, os atacantes se infiltraram no próprio fluxo de trabalho de um desenvolvedor. O "teste de codificação" enviado durante a falsa entrevista de emprego continha um repositório que, ao ser executado, criava um binário chamado pyenv_ dentro do diretório do Homebrew no macOS — substituindo a ferramenta legítima e passando a executar comandos vindos de um servidor controlado pelos atacantes. Por ser inédito, esse malware não foi detectado por nenhum antivírus no momento da infecção, o que reforça como ataques direcionados e sob medida continuam sendo o ponto fraco mesmo de organizações maduras em segurança.
A partir desse ponto de apoio, os criminosos usaram uma ferramenta de IA interna da Binance para comprometer outros dois funcionários com acesso à infraestrutura de wallets, obtendo credenciais e um token de implantação que, em 29 de outubro, permitiu acessar o serviço de assinatura de carteiras e mover ativos avaliados em US$ 6,34 bilhões.
A resposta da Binance mostra o valor de controles de contenção financeira: até 3 de novembro, US$ 2,85 bilhões haviam sido congelados ou interceptados em cooperação com exchanges e autoridades, e a empresa já havia reembolsado 98% dos ativos impactados até 31 de outubro usando reservas próprias. Para outras organizações, a lição prática é dupla — tratar qualquer anexo de "teste técnico" recebido em processo seletivo como código não confiável até prova em contrário, e manter acordos pré-estabelecidos com exchanges e unidades de inteligência de blockchain para acelerar o congelamento de fundos roubados nas primeiras horas após um incidente.