- Binance relata uso de ferramenta interna de IA em roubo de US$ 6,34 bilhões
- Ativos congelados ou interceptados somam US$ 2,85 bilhões, cerca de 45% do total
- Exchange reconstruiu infraestrutura afetada e contratou revisão independente de segurança
A binance informou que hackers exploraram uma ferramenta interna de inteligência artificial durante o ataque que desviou US$ 6,34 bilhões. O relatório divulgado em 3 de novembro descreve uma sequência de invasões que alcançou a infraestrutura de assinatura das carteiras.
Do montante atingido, a exchange afirma ter congelado ou interceptado US$ 2,85 bilhões. Até 31 de outubro, informou ter recomposto 98% dos ativos em tokens afetados, sem apresentar equivalência desse percentual em dólares.
Os valores bloqueados representam aproximadamente 45% do total desviado, cálculo feito com os números divulgados. A diferença chega a US$ 3,49 bilhões, mas não equivale automaticamente ao prejuízo final.
Congelar recursos impede sua movimentação; recuperar exige devolver o controle dos ativos. Repor saldos constitui outra operação, que pode consumir recursos próprios mesmo quando os valores roubados permanecem fora do alcance da empresa.
Os cibercriminosos e agentes de ameaças estão usando acontecimentos de grande repercussão como ponto de partida para seus ataques, aproveitando-se do fato de que as próprias manchetes fazem o trabalho de engenharia social por eles. Nosso Phishing Threat Trends Report revelou que os agentes de ameaças reagem a acontecimentos de grande repercussão aproximadamente 7,5 vezes mais rápido do que a eventos programados e que, em cinco das seis grandes notícias que acompanhamos, as iscas de phishing estavam ativas em menos de uma semana. O caso da Binance segue esse padrão.
Nos primeiros cinco dias após o ataque, o KnowBe4 Threat Labs observou um aumento de 128,93% nos ataques de personificação relacionados a criptomoedas em toda a plataforma KnowBe4, especialmente em torno de transferências e saques de carteiras digitais. A Binance passou da 73ª para a 23ª posição entre as organizações mais personificadas em nossos dados em menos de 48 horas. Na sexta-feira, 30 de outubro, 8,92% dos ataques de phishing continham a palavra ‘bitcoin’, principalmente no assunto e no nome de exibição.
Nossos dados mostram que 87,9% dos ataques que exploram acontecimentos de grande repercussão personificam uma marca reconhecida globalmente. Qualquer solicitação inesperada para transferir, verificar ou sacar fundos após uma notícia de grande repercussão deve ser tratada com suspeita”, disse James Dyer, Head of Threat Intelligence do KnowBe4 Threat Labs.
Invasores atingiram dois engenheiros em 20 de outubro
Segundo a companhia, os criminosos usaram um computador corporativo comprometido e a ferramenta interna de IA em 20 de outubro. A ação permitiu comprometer dois engenheiros responsáveis pela infraestrutura das carteiras.
Depois, o grupo obteve um token de permissão para implantação de contêineres, ambientes utilizados para executar aplicações. Essa credencial ajudou a abrir caminho até as operações de assinatura.
Em 29 de outubro, os atacantes iniciaram transações sem autorização em diversas redes blockchain. A divulgação complementa informações sobre o bloqueio de ativos associado ao ataque.
A investigação não estabelece que um modelo de IA tenha planejado ou executado o roubo autonomamente. O relato descreve o uso da ferramenta dentro de uma campanha com credenciais roubadas, programas adulterados e engenharia social.
O token citado era uma autorização operacional, não um criptoativo. Seu uso na invasão evidencia uma passagem entre o ambiente de desenvolvimento e sistemas capazes de autorizar movimentações financeiras.
“Os recentes ataques a grandes exchanges como Binance e Mercado Bitcoin deixam evidente que a segregação patrimonial não é apenas um avanço regulatório, mas o principal pilar de segurança de quem opera no mercado. Ao separar rigorosamente os recursos dos clientes do caixa operacional e investir em custódia segura, o setor resguarda os fundos mesmo diante de incidentes graves.
No entanto, a verdadeira proteção do usuário exige que essa segregação caminhe lado a lado com transparência imediata sobre o patrimônio e com uma cooperação ágil entre plataformas, emissores de ativos e autoridades — como demonstrado pela rápida atuação das emissoras de stablecoins no congelamento de valores.É essa união de forças, somada ao rastreamento técnico, que combate com eficácia o crime cibernético e consolida a integridade do ecossistema cripto.”, destacou Marina Fuzeti Fagali, diretora do Juntos por Cripto.
Instalador adulterado e falsa entrevista abriram acessos
A primeira ocorrência descrita remonta a junho. Um engenheiro baixou um instalador adulterado ao tentar obter uma ferramenta popular de programação com inteligência artificial.
Detectada a atividade suspeita, a Binance substituiu o equipamento e renovou as credenciais relacionadas. Informações sobre o funcionário e seus colegas, porém, já haviam sido expostas.
Em setembro, outro engenheiro participou de um falso processo seletivo. Entrevistas encenadas e um exercício de programação malicioso levaram à instalação de malware no computador do empregado.
Esse acesso serviu posteriormente para avançar pelos sistemas internos, conforme a exchange. O FBI atribuiu a operação mais ampla à Coreia do Norte, cujos grupos hackers têm mirado desenvolvedores e empresas de criptomoedas.
Pesquisadores da Mandiant, do Google, relataram em fevereiro técnicas assistidas por IA em ataques norte-coreanos ao setor. Um caso envolveu videoconferência falsa e suspeita de personificação de executivo por vídeo sintético.
A equipe não confirmou independentemente o uso de deepfake naquele episódio. Identificou, contudo, ferramentas de IA empregadas em reconhecimento de alvos e engenharia social.
Binance reconstrói sistemas e prepara fundo de segurança
A exchange afirma ter reconstruído a ferramenta interna de IA e a infraestrutura de carteiras afetadas. Também substituiu dispositivos comprometidos e reforçou os controles de acesso.
Uma revisão independente de cibersegurança deverá validar a investigação e identificar proteções adicionais. Seus resultados ainda não estabeleceram toda a extensão das fragilidades exploradas no ambiente interno.
A empresa, cujo site oficial reúne seus serviços, anunciou planos de ampliar gastos com detecção de ameaças por IA. As medidas incluem proteção de equipamentos, segurança dos ambientes de desenvolvimento e monitoramento de anomalias comportamentais.
Também prepara um fundo de pesquisa em segurança com empresas de inteligência artificial, participantes da indústria blockchain e companhias de cibersegurança. O anúncio não informa o tamanho do fundo, os parceiros nem a data de lançamento.
