Hackers norte-coreanos usaram recrutadores falsos no roubo de US$ 6,3 bi da Binance

A Binance disse que o ataque começou quando hackers se disfarçaram de recrutadores e contataram um engenheiro de software que trabalhava nos sistemas de carteiras digitais da exchange. Depois de duas entrevistas, o engenheiro foi instruído a baixar o que parecia ser um teste de programação, que na verdade continha código malicioso e comprometeu o computador de trabalho do engenheiro sem ser detectado pelas ferramentas de segurança da Binance. Esse ponto de entrada permitiu que os hackers acessassem uma ferramenta interna capaz de tomar o controle dos computadores de mais dois engenheiros da equipe de carteiras; um deles já havia baixado meses antes, por meio de um resultado de busca, um aplicativo adulterado contendo malware para roubo de senhas. Embora a Binance tenha substituído o computador desse engenheiro, os hackers usaram as credenciais roubadas para invadir a máquina de um terceiro engenheiro — que tinha acesso a sistemas capazes de controlar bilhões de dólares em criptomoedas — e, a partir daí, executaram o roubo, levando a Binance a suspender as retiradas de clientes em toda a sua rede. O FBI e investigadores de blockchain atribuíram o ataque à Coreia do Norte, acusada há muito tempo de realizar roubos em larga escala de criptomoedas para financiar seu programa nuclear sancionado.

Pesquisadores alertam há anos que agentes norte-coreanos se disfarçam de investidores de capital de risco e recrutadores, usando dossiês montados a partir de identidades americanas roubadas para ganhar a confiança de funcionários e obter acesso. Segundo os próprios números da Binance, a exchange já havia enfrentado pelo menos 57 ataques suspeitos ligados à Coreia do Norte antes deste, o que a empresa disse refletir a “ameaça persistente representada por atores apoiados por Estados que têm como alvo o setor de criptomoedas”. Pesquisadores de segurança e o governo dos EUA afirmaram, separadamente, que norte-coreanos disfarçados de trabalhadores remotos de TI e recrutadores estiveram por trás de cerca de metade de todas as invasões em empresas de tecnologia americanas no ano passado.

A Binance descreveu a violação como algo que “não deveria ter acontecido” e disse ter reforçado a segurança de sua rede desde então. O porta-voz Ross O’Leary remeteu o TechCrunch ao comunicado público da empresa e se recusou a responder oficialmente a perguntas sobre como a Binance impede a execução de software não autorizado nos computadores de seus funcionários, ou se empresas externas auditaram a segurança de sua rede antes do ataque.

Por que importa

A violação mostra uma campanha de engenharia social sofisticada e paciente tendo sucesso contra uma grande exchange apesar de anos de alertas públicos, e reforça que a responsabilidade por bloquear código não autorizado cabe, em última instância, à empresa, não apenas a seus funcionários.