Pesquisadores alertaram sobre táticas de hackers norte-coreanos anos antes do roubo recorde de US$ 6,3 bilhões da Binance

A gigante cripto Binance afirma que hackers norte-coreanos usaram perfis falsos em redes sociais e a isca de uma possível oferta de emprego como parte de um esquema de vários meses destinado a enganar um funcionário para que ele baixasse um software malicioso em seu notebook.

Pesquisadores têm alertado repetidamente sobre ataques de engenharia social de longa duração que podem se estender por meses.

Este ataque mais recente permitiu que os hackers se infiltrassem pacientemente nos sistemas da Binance para roubar uma quantia recorde de US$ 6,3 bilhões em criptomoedas na semana passada, confirmou a empresa agora. O ataque, divulgado em uma declaração atualizada publicada no X na terça-feira, levou a maior exchange de criptomoedas do mundo a suspender os saques de clientes em toda a sua rede. 

O FBI e investigadores de blockchain culparam a Coreia do Norte pelo roubo. O país tem sido acusado há muito tempo de realizar roubos massivos de criptomoedas nos últimos anos para financiar seu programa de armas nucleares sancionado internacionalmente.

Em sua declaração mais recente, a Binance disse que hackers norte-coreanos, fingindo ser recrutadores contratando para uma vaga, contataram um engenheiro de software que trabalha na equipe de carteiras digitais da empresa. Após duas entrevistas com a suposta empresa, o engenheiro foi instruído a baixar um suposto teste de programação como parte do processo de entrevista. Quando aberto, o teste continha código malicioso que comprometeu o notebook corporativo do engenheiro. A Binance afirmou que suas ferramentas de segurança não detectaram o malware.

Essa brecha na rede da Binance permitiu que os hackers acessassem uma ferramenta interna capaz de assumir o controle dos computadores de trabalho de outros dois engenheiros da equipe de carteiras. Um desses engenheiros havia baixado inadvertidamente um aplicativo adulterado contendo malware de roubo de senhas meses antes, após pesquisar o software nos resultados de um mecanismo de busca. Embora a Binance tenha substituído o notebook daquele engenheiro comprometido, os hackers usaram as credenciais roubadas do engenheiro para invadir o computador de um terceiro engenheiro, cujo cargo lhe dava acesso a sistemas capazes de controlar bilhões de dólares em criptomoedas.

A Binance afirmou que o ataque “não deveria ter acontecido” e que havia melhorado a segurança de sua rede após o roubo.

O ataque reforça uma tática contínua no repertório do regime norte-coreano direcionada à indústria cripto e a indivíduos de alto patrimônio líquido. Pesquisadores alertam há anos que hackers norte-coreanos se passam por capitalistas de risco, investidores e recrutadores usando dossiês de identidades americanas roubadas para enganar funcionários e conseguir acesso aos seus sistemas. 

Esses ataques são amplamente conhecidos em todo o setor de criptomoedas e têm sido alvo de alertas repetidos do governo dos EUA e de gigantes da segurança cibernética nos últimos anos. Cerca de metade de todas as intrusões em empresas de tecnologia dos EUA no ano passado foram atribuídas a norte-coreanos que se passavam por trabalhadores de TI remotos e falsos recrutadores.

Segundo o próprio relato da Binance, a empresa enfrentou pelo menos 57 suspeitas de ataques da Coreia do Norte, o que, segundo ela, reflete a “ameaça persistente representada por atores patrocinados pelo Estado que visam a indústria de criptomoedas.”

Mas como os hackers conseguiram convencer o engenheiro a baixar o malware, considerando a ameaça amplamente divulgada, e contornar as falhas de segurança na própria rede da Binance, provavelmente será o foco da atenção dos investigadores.

Embora o caso exponha como os hackers norte-coreanos usam a engenharia social, como ofertas de emprego, para enganar funcionários a conceder acesso aos seus sistemas, é responsabilidade final da empresa garantir que seus sistemas não possam executar softwares não autorizados ou não confiáveis que possam causar um comprometimento.

O porta-voz da Binance, Ross O’Leary, remeteu à declaração pública da empresa, mas recusou-se a responder oficialmente às perguntas do TechCrunch sobre o incidente. Essas perguntas incluíam como a Binance impede que códigos maliciosos ou não autorizados sejam executados nos notebooks de seus funcionários, se é que o faz, e se terceiros haviam realizado auditorias de segurança cibernética na rede da Binance antes do ataque.

A empresa declarou que trará especialistas em segurança cibernética para analisar o incidente e implementou novas medidas de segurança para evitar que o ocorrido se repita. 

O roubo continua sendo o maior furto de criptomoedas da história.