SEAL estima que invasores da Binance tiveram oito semanas de acesso antes do ataque

Hackers ligados à Coreia do Norte podem ter mantido acesso ao dispositivo de um funcionário da Binance por cerca de oito semanas antes do ataque que movimentou US$ 6,3 bilhões, segundo estimativa da organização de cibersegurança Security Alliance (SEAL). A análise se refere ao período entre a invasão de um computador em setembro e o ataque de 29 de outubro — não a oito semanas de acesso às operações das carteiras da corretora.

A Binance apresentou uma cronologia mais ampla. A empresa afirmou que a campanha começou em junho, quando outro funcionário teve o dispositivo comprometido após baixar uma instalação adulterada de uma ferramenta de programação com inteligência artificial. Segundo a exchange, o equipamento foi substituído e as credenciais relacionadas foram renovadas, mas os invasores já teriam obtido informações sobre funcionários da área de infraestrutura de carteiras.

Em setembro, segundo a SEAL, os hackers comprometeram o dispositivo de um engenheiro de software por meio de uma falsa campanha de recrutamento. A Binance afirmou que os invasores só obtiveram acesso necessário para alcançar as operações de carteiras em 20 de outubro. Naquele dia, teriam usado o computador comprometido e uma ferramenta interna de inteligência artificial para chegar a dispositivos de dois engenheiros e obter um token de permissão usado no ataque de 29 de outubro.

A diferença entre as versões está no alcance do acesso. O prazo de oito semanas estimado pela SEAL diz respeito à presença dos invasores em um dispositivo; a Binance afirma que a entrada na infraestrutura que operava as carteiras ocorreu apenas em 20 de outubro. Uma carteira quente é aquela conectada aos sistemas usados para movimentar ativos, inclusive saques. Registros públicos de blockchain mostram transferências, mas não revelam, por si só, quais controles internos autorizam ou limitam essas operações, segundo especialistas ouvidos pelo Cointelegraph.

A Binance disse que pretende reabrir saques de todos os tokens nas redes já restauradas até o fim da próxima semana. A empresa também informou que usuários podem verificar se os saldos estão cobertos integralmente por ativos na divulgação mais recente de suas reservas. A SEAL identificou padrões de invasão em várias etapas também em outros ataques a empresas de criptoativos, mas a estimativa de oito semanas se refere especificamente ao caso da Binance.