Binance diz que hackers usaram entrevista de emprego falsa e IA em ataque

A corretora de criptomoedas, Binance, informou nesta terça-feira, 3, que o ataque hacker que levou ao desvio de US$ 6,3 bilhões da companhia começou com uma falsa entrevista de emprego a um de seus engenheiros.

O funcionário, que a exchange não nomeou, foi abordado em uma plataforma legítima de emprego por alguém que se dizia diretor de projetos, e participou de duas entrevistas. Ao final da segunda entrevista, ele recebeu um link para baixar uma "tarefa" para verificar se estava apto ao cargo.

No entanto, o link continha um código malicioso que permitiu aos hackers terem acesso ao notebook do engenheiro da Binance.

"O malware empregava técnicas sofisticadas de ofuscação e evasão, incluindo a substituição de um componente de uma ferramenta de desenvolvimento legítima por uma versão maliciosa, a fim de executar comandos e estabelecer comunicação com um servidor externo controlado pelo atacante", disse a corretora.

A partir daí, em 20 de outubro, os hackers usaram uma ferramenta de inteligência artificial interna para, a partir do notebook comprometido, obter controle sobre os computadores de um engenheiro de DevOps e de um engenheiro de software de carteira.

Então, o cibercriminoso acessou o computador do engenheiro de software e usou as credenciais roubadas do engenheiro de DevOps para acionar um script malicioso e começar a transferir os fundos de carteiras da Binance com acesso à internet (hot wallets).

O que a Binance fez para corrigir a vulnerabilidade?

De acordo com a Binance, desde então as seguintes medidas foram tomadas:

• Reconstrução do sistema de carteira afetado em um novo ambiente.
• Reconstrução da ferramenta interna de IA afetada e os controles de acesso.
• Substituição dos dispositivos afetados.
• Desativação de credenciais e tokens associados aos engenheiros afetados.
• Conclusão de varreduras de segurança aprimoradas em todos os dispositivos dos funcionários.
• Aprimoramento da detecção de anomalias comportamentais baseada em IA.
• Reforço dos controles de risco do serviço de carteira.
• Trabalho em conjunto com autoridades policiais, empresas de inteligência em blockchain e parceiros do setor para rastrear e bloquear os ativos afetados.

A Binance diz que também está contratando especialistas independentes em cibersegurança para realizar uma análise abrangente do incidente. A empresa também afirmou que ampliará o investimento em detecção baseada em IA e criará um fundo de pesquisa em segurança com empresas líderes em IA, participantes do setor e firmas de segurança, com foco na segurança de IA em ambientes de blockchain.

A postagem da exchange explicando a cronologia e a forma como o incidente foi realizado sofreu críticas de usuários na rede social X (Twitter). Muitos questionaram como alguém com acesso indireto a US$ 6 bilhões na empresa pôde fazer uma entrevista de emprego em um computador com acesso aos sistemas da companhia e conseguiu fazer um download de um programa externo livremente nessa máquina.

"O fato de você permitir que seus engenheiros baixem e instalem softwares a partir de sites aleatórios em dispositivos da empresa é chocante", disse um usuário.

Hacker norte-coreano

Especialistas em cibersegurança e o FBI atribuíram o ataque hacker sofrido pela Binance a um grupo de cibercriminosos norte-coreanos conhecido como TraderTraitor. De acordo com a autoridade policial dos Estados Unidos, atores desse grupo, que é ligado ao governo da Coreia do Norte, foram observados convertendo os ativos roubados na criptomoeda ether.

Contudo, Kim Yo-jong, a irmã do líder norte-coreano, Kim Jong-Un, negou as afirmações e disse que os EUA estavam tentando criar uma imagem para o mundo da Coreia do norte como um Estado Cibercriminoso.

Além do FBI, a empresa de análise de blockchain TRM Labs também atribuiu o ataque à Binance ao grupo TraderTraitor.

The FBI is releasing information advising the Democratic People's Republic of Korea (North Korea) was responsible for the theft of more than $6 billion USD in virtual assets from cryptocurrency exchange, Binance, on or about October 29, 2026. The FBI refers to this specific North Korean malicious cyber activity as "TraderTraitor."

The FBI, together with partners at the USSS and IRS-CI, has observed TraderTraitor actors converting stolen assets primarily into Ethereum (ETH). It is expected these assets will then be further laundered by converting them using DeFi and instant swap services as they prepare them for further laundering stages.

How You Can Help:
FBI, USSS, and IRS-CI are urging private sector entities including THORNode operators, RPC node operators, instant exchanges, DeFi services, blockchain analytics firms, and other virtual asset service providers to block transactions with or derived from addresses TraderTraitor actors are using to launder these stolen assets.

A list of addresses associated with this activity is available here: https://t.co/g0oIWx0WeD

— FBI Cyber Branch (@FBICyberBranch) October 31, 2026