noticias
Hackers usam falsa entrevista de emprego para invadir Binance e roubar US$ 6,3 bilhões
Ataque combinou recrutamento fraudulento, programas maliciosos e comprometimento de sistemas internos. Criminosos também exploraram uma ferramenta corporativa de inteligência artificial para avançar na infraestrutura da corretora.
Uma entrevista de emprego aparentemente legítima foi uma das portas de entrada para um ataque cibernético que resultou no desvio de aproximadamente US$ 6,34 bilhões em criptomoedas da Binance. A operação, concluída em 29 de outubro de 2026, envolveu meses de preparação, computadores de engenheiros comprometidos e a exploração de sistemas responsáveis pela movimentação de ativos digitais.
Segundo o relatório preliminar divulgado pela corretora em 3 de novembro, os invasores combinaram engenharia social, distribuição de malware, roubo de credenciais e movimentação lateral pela rede corporativa. Uma ferramenta interna de inteligência artificial também foi utilizada durante a operação.
O episódio chama atenção não apenas pelo valor envolvido, mas pela forma como os criminosos conseguiram alcançar uma infraestrutura financeira considerada crítica: explorando a confiança de profissionais de tecnologia em ferramentas e atividades aparentemente rotineiras.
Tudo começou com uma oportunidade de emprego
Em setembro de 2026, um engenheiro de software da Binance recebeu uma proposta de recrutamento por uma plataforma profissional legítima. O contato se apresentava como diretor de projetos de uma empresa interessada em contratar especialistas em desenvolvimento.
A abordagem foi cuidadosamente preparada para transmitir credibilidade.
O funcionário participou de uma primeira entrevista por vídeo com alguém que se identificava como representante do departamento de recursos humanos. Durante a conversa, o suposto recrutador apresentou um perfil profissional acompanhado de fotografias e vídeos pessoais.
Uma segunda entrevista ocorreu por meio de um aplicativo de mensagens, dessa vez com uma pessoa que afirmava ser o diretor-presidente da empresa.
Até aquele momento, o processo tinha características semelhantes às de uma seleção convencional para profissionais de tecnologia.
A armadilha surgiu na etapa prática.
O candidato recebeu uma tarefa de programação e foi orientado a baixar um repositório de código para configurar o ambiente necessário à realização do teste.
O material continha componentes maliciosos que, ao serem executados, permitiram aos invasores comprometer o computador corporativo do engenheiro.
O que parecia ser apenas um exercício técnico acabou proporcionando aos criminosos um ponto de entrada na infraestrutura da Binance.
Os criminosos já haviam tentado outra invasão meses antes
A falsa entrevista não foi o primeiro movimento dos atacantes.
Em junho, outro engenheiro da Binance, ligado à equipe responsável por carteiras digitais, havia baixado uma versão adulterada de uma ferramenta de instalação de software enquanto procurava um aplicativo de programação com recursos de inteligência artificial.
O pacote comprometido explorava a confiança depositada em ferramentas utilizadas diariamente por desenvolvedores.
A equipe de segurança identificou o problema e adotou medidas de contenção, incluindo a substituição do computador e a renovação de credenciais.
Entretanto, os invasores já haviam conseguido informações sobre as responsabilidades do profissional e suas relações com outros integrantes da organização.
Esses dados foram aproveitados para orientar novas tentativas de acesso.
O episódio demonstra uma característica importante das campanhas de invasão direcionadas: mesmo quando um comprometimento é interrompido, informações obtidas durante a tentativa podem continuar úteis aos criminosos.
Como o malware permitiu avançar dentro da Binance
O código malicioso distribuído durante o falso processo seletivo não tinha como objetivo apenas comprometer o computador do funcionário.
Depois de executado, ele modificava componentes legítimos do ambiente de desenvolvimento e estabelecia comunicação com servidores controlados pelos atacantes.
Essa comunicação permitia a execução remota de comandos e a coleta de informações sobre o equipamento.
Os mecanismos de proteção instalados no computador não identificaram imediatamente a ameaça.
Com o dispositivo comprometido, os invasores passaram a investigar quais recursos internos poderiam ser alcançados a partir daquela estação de trabalho.
Em 20 de outubro, a operação avançou para outros ambientes da empresa.
Os criminosos conseguiram comprometer dispositivos adicionais e identificar credenciais relacionadas à implantação de aplicações.
Entre os recursos descobertos estava um token de autorização que permitia executar operações envolvendo contêineres.
Contêineres são ambientes utilizados para executar aplicações de maneira padronizada e isolada. Em grandes infraestruturas, eles são fundamentais para disponibilizar serviços, realizar atualizações e administrar componentes de sistemas.
Quando um invasor consegue utilizar indevidamente credenciais com privilégios de implantação, pode alcançar serviços que normalmente não estariam acessíveis a partir de uma estação de trabalho comum.
Foi essa combinação de acessos que permitiu aos criminosos se aproximar da infraestrutura responsável pela autorização de transações financeiras.
Inteligência artificial também foi utilizada no ataque
Um dos aspectos mais relevantes do incidente foi o uso indevido de uma ferramenta corporativa de inteligência artificial.
Segundo a investigação preliminar, os invasores utilizaram esse recurso durante a movimentação entre sistemas internos, buscando ampliar o comprometimento de dispositivos e serviços.
Isso não significa que a inteligência artificial tenha planejado ou executado autonomamente todo o ataque.
O que ocorreu foi a exploração de uma ferramenta disponível no ambiente corporativo, a partir de acessos obtidos de maneira ilícita.
A distinção é importante.
Ferramentas de IA integradas a sistemas empresariais podem oferecer funcionalidades como análise de código, execução de tarefas e interação com recursos internos.
Essas capacidades também criam novos riscos quando os controles de identidade, autorização e isolamento são insuficientes.
Uma ferramenta projetada para aumentar a produtividade pode ampliar as possibilidades de atuação de um invasor caso seja utilizada dentro de uma sessão comprometida.
O caso reforça a necessidade de estabelecer limites claros para as permissões concedidas a sistemas automatizados e agentes de inteligência artificial.
O roubo de bilhões de dólares aconteceu em poucos minutos
Em 29 de outubro, os criminosos iniciaram a etapa de movimentação dos ativos digitais.
Entre 17h05 e 17h09, no horário de Brasília, cinco carteiras conectadas à internet transferiram aproximadamente 233,46 milhões de XRP para um endereço controlado pelos invasores.
Outras transações envolvendo diferentes criptomoedas ocorreram durante o incidente.
O valor total dos ativos desviados foi estimado pela Binance em aproximadamente US$ 6,34 bilhões.
A empresa identificou transferências de grande volume e iniciou procedimentos emergenciais, incluindo a suspensão de saques.
Entretanto, a interrupção das operações convencionais da plataforma não foi suficiente para conter imediatamente todas as movimentações.
Os criminosos haviam explorado um mecanismo de autorização existente na blockchain do Ethereum, permitindo que determinadas operações continuassem mesmo após a suspensão dos serviços tradicionais.
A última transferência não autorizada, envolvendo aproximadamente 2.961,9 ETH, foi confirmada às 20h56, no horário de Brasília.
A contenção exigiu procedimentos específicos para revogar permissões comprometidas diretamente na rede blockchain.
Por que a Binance não conseguiu interromper imediatamente as transferências?
Para compreender essa etapa do ataque, é necessário distinguir o funcionamento de uma corretora de criptomoedas dos mecanismos utilizados pelas próprias redes blockchain.
Uma corretora pode suspender saques, bloquear contas e interromper serviços internos. Entretanto, determinadas autorizações registradas em uma blockchain podem continuar válidas independentemente da disponibilidade da plataforma.
No caso investigado, os invasores exploraram funcionalidades relacionadas à EIP-7702, uma atualização técnica do Ethereum que permite a determinadas contas delegar capacidades de execução a contratos inteligentes.
Um contrato inteligente é um programa executado dentro da blockchain, capaz de realizar operações conforme regras previamente estabelecidas.
Quando utilizado legitimamente, esse mecanismo oferece novas possibilidades de automação e gerenciamento de transações.
Porém, autorizações comprometidas podem permitir que terceiros executem operações em nome de uma conta.
Os atacantes conseguiram estabelecer permissões associadas a um contrato inteligente sob seu controle.
Consequentemente, bloquear os serviços convencionais da Binance não eliminava automaticamente essas autorizações.
Foi necessário realizar transações específicas para revogá-las.
O incidente demonstra que interromper um sistema corporativo não significa necessariamente interromper todas as operações previamente autorizadas em uma infraestrutura descentralizada.
A tecnologia de proteção das carteiras também enfrentou dificuldades
A Binance utiliza mecanismos criptográficos destinados a reduzir o risco de comprometimento de carteiras digitais.
Entre eles está a computação multipartidária, conhecida pela sigla MPC (Multi-Party Computation).
Essa tecnologia permite distribuir operações criptográficas entre diferentes componentes, evitando que uma única parte concentre todos os elementos necessários à execução de determinadas funções.
Em condições normais, essa arquitetura pode aumentar a resistência contra o comprometimento isolado de chaves.
Entretanto, a investigação apontou dificuldades operacionais para revogar rapidamente algumas autorizações maliciosas.
A complexidade da infraestrutura contribuiu para prolongar o processo de contenção.
Isso não significa que a tecnologia MPC tenha sido simplesmente quebrada. O incidente envolveu uma combinação de credenciais, permissões e componentes operacionais comprometidos.
A diferença é fundamental para compreender a natureza do ataque.
FBI atribui operação a agentes ligados à Coreia do Norte
O FBI atribuiu a operação a agentes associados à Coreia do Norte, país frequentemente mencionado em investigações internacionais envolvendo roubos de criptomoedas.
A atribuição foi incorporada às informações divulgadas pela Binance.
As autoridades norte-coreanas tradicionalmente rejeitam acusações de participação em operações cibernéticas desse tipo.
Segundo a corretora, suas equipes de segurança já haviam identificado e impedido 57 tentativas de ataque com suspeita de ligação norte-coreana ao longo de 2026.
Entre as técnicas utilizadas nessas campanhas estavam processos seletivos fraudulentos, aplicativos adulterados, extensões maliciosas e ferramentas falsas de videoconferência.
O interesse por profissionais de desenvolvimento não é casual.
Engenheiros frequentemente possuem acesso a códigos, ambientes de implantação, ferramentas de automação e componentes essenciais ao funcionamento de grandes plataformas.
Comprometer um desses profissionais pode representar um caminho indireto para alcançar sistemas que seriam muito mais difíceis de atacar diretamente.
Binance afirma que clientes não terão de assumir o prejuízo
Após identificar o incidente, a Binance anunciou medidas para recompor os ativos afetados e reforçar sua infraestrutura de segurança.
A corretora informou que assumiria o impacto financeiro da operação, sem transferir diretamente as perdas aos clientes prejudicados.
Na atualização divulgada em 3 de novembro, a empresa declarou que aproximadamente 98% dos ativos em tokens afetados já haviam sido repostos.
Esse percentual se refere à recomposição dos ativos pela corretora, não à recuperação direta de 98% do dinheiro roubado.
A Binance também afirmou que cerca de US$ 2,85 bilhões haviam sido congelados ou interceptados durante as ações de resposta.
Os números são preliminares e podem sofrer alterações conforme a reconciliação das transações e as oscilações de mercado.
Entre as providências anunciadas estão a substituição dos dispositivos comprometidos, a revogação de credenciais, a reconstrução de ambientes afetados e a revisão dos controles de acesso.
A empresa também pretende ampliar o monitoramento automatizado de comportamentos suspeitos e submeter componentes de sua infraestrutura a avaliações independentes de segurança.
O que empresas e desenvolvedores podem aprender com esse ataque?
O incidente revela uma fragilidade que ultrapassa o setor de criptomoedas.
Empresas de tecnologia dependem de profissionais que utilizam diariamente ferramentas de programação, bibliotecas, extensões, repositórios de código e serviços externos.
Esses recursos são fundamentais para a produtividade, mas também representam oportunidades para ataques de engenharia social e comprometimento da cadeia de suprimentos de software.
Uma das principais medidas preventivas é evitar a execução de código desconhecido em computadores que possuam credenciais ou acesso a ambientes corporativos críticos.
Testes de programação recebidos durante processos seletivos, por exemplo, devem ser avaliados em ambientes isolados, preferencialmente descartáveis.
Também é essencial limitar as permissões de usuários, aplicações e ferramentas de inteligência artificial.
Credenciais utilizadas para implantar sistemas precisam possuir escopo restrito, validade controlada e mecanismos capazes de identificar operações incomuns.
Outro ponto importante é a preparação para incidentes.
Empresas que operam com infraestrutura descentralizada precisam considerar procedimentos específicos de revogação de autorizações em blockchain, além dos bloqueios convencionais em suas plataformas.
A segurança precisa abranger toda a sequência de operações, desde o computador utilizado pelo desenvolvedor até os mecanismos finais de autorização financeira.
O ataque à Binance mostra como uma invasão pode começar longe do dinheiro
O roubo de aproximadamente US$ 6,34 bilhões envolveu mecanismos complexos, meses de preparação e exploração de tecnologias utilizadas por grandes organizações.
Entretanto, uma das portas de entrada foi uma situação aparentemente banal: um profissional participando de uma entrevista de emprego.
Os criminosos não começaram tentando quebrar diretamente a criptografia das carteiras digitais.
Primeiro, construíram uma situação convincente para induzir um funcionário a executar software malicioso. Depois, utilizaram os acessos obtidos para explorar sucessivamente outras partes da infraestrutura.
O episódio também evidencia os desafios de segurança introduzidos pela crescente integração entre inteligência artificial, automação e sistemas corporativos.
Quanto maior a capacidade dessas ferramentas de interagir com recursos internos, maior precisa ser o rigor na definição de permissões e mecanismos de supervisão.
Para empresas que administram ativos financeiros, informações sensíveis ou serviços essenciais, a principal lição é que os controles de segurança não podem depender exclusivamente da proteção dos sistemas mais críticos.
Uma infraestrutura capaz de movimentar bilhões de dólares também precisa estar preparada para resistir a um arquivo aparentemente inofensivo enviado durante um processo seletivo.