Entrevista de emprego falsa abriu caminho para roubo de US$ 6,34 bilhões em criptomoedas
Uma abordagem de recrutamento cuidadosamente encenada levou um funcionário da Binance a executar um programa malicioso. A partir do computador comprometido, hackers atribuídos pela investigação ao grupo norte-coreano TraderTraitor conseguiram avançar pela rede interna da exchange e alcançar sistemas ligados à assinatura de carteiras digitais. O ataque culminou, em 29 de outubro, no desvio de aproximadamente US$ 6,34 bilhões em ativos.
O grupo também é conhecido pelos nomes Lazarus Group, Jade Sleet e APT38. Segundo informações divulgadas pela Binance em um relatório de incidente publicado na terça-feira, dia 3, a operação combinou engenharia social, malware e o uso de credenciais obtidas dentro da empresa. O FBI atribuiu a ação ao TraderTraitor, grupo associado ao governo da Coreia do Norte.
Recrutamento falso serviu de porta de entrada
A campanha começou em setembro, quando um engenheiro de software da Binance recebeu uma mensagem por uma plataforma legítima de busca de emprego. O contato se apresentou como diretor de projetos de uma empresa fictícia. Como o perfil profissional do funcionário indicava sua experiência na exchange, ele se tornou um alvo de interesse.
O falso recrutador organizou duas entrevistas. Na primeira, uma pessoa que dizia trabalhar em recursos humanos conversou com o engenheiro por videochamada e compartilhou imagens e vídeos pessoais em uma rede social, numa tentativa de parecer confiável. Depois, outro interlocutor, apresentado como CEO, conduziu uma conversa por aplicativo de mensagens.
Foi nessa segunda etapa que o funcionário recebeu uma suposta tarefa de programação. O material estava hospedado em um repositório de código e parecia fazer parte de um processo seletivo. Ao baixar e executar o conteúdo, porém, o engenheiro instalou um malware personalizado, até então desconhecido pelos sistemas antivírus.
Malware substituiu ferramenta legítima
A Binance informou que o programa malicioso usou técnicas de ocultação para se misturar ao ambiente de desenvolvimento. No macOS do funcionário, o script criou um executável falso chamado `pyenv_` no diretório de instalação do Homebrew. Em seguida, removeu o arquivo legítimo `pyenv`, renomeou o componente malicioso e ajustou o link simbólico.
Com a troca, o arquivo adulterado passou a ser acionado como se fosse a ferramenta original. Ele iniciava um processo do Z shell, ou zsh, e permitia que os invasores executassem comandos enviados por um servidor sob seu controle. Assim, a infecção não dependia de uma exploração direta dos sistemas centrais da exchange: a primeira brecha foi aberta por meio do dispositivo de um funcionário.
Até 20 de outubro, os invasores teriam usado esse acesso e uma ferramenta interna de inteligência artificial para atingir outros dois trabalhadores envolvidos na infraestrutura de carteiras. Com isso, obtiveram credenciais e um token usado na implantação de contêineres – elementos que ampliaram o acesso à rede corporativa.
Acesso interno permitiu movimentar os ativos
Em 29 de outubro, os hackers usaram as credenciais roubadas para implantar outro script malicioso e acessar sem autorização o serviço de assinatura de carteiras da Binance. Esse serviço participa da validação e execução de transações. A partir dele, os atacantes transferiram grandes quantidades de criptomoedas por diferentes redes blockchain.
A operação também explorou o mecanismo de autorização EIP-7702 do Ethereum. De acordo com a Binance, esse recurso foi abusado para manter as movimentações mesmo depois que a exchange suspendeu os saques. O episódio mostra que interromper retiradas em uma plataforma não necessariamente encerra uma operação quando os invasores já encontraram caminhos alternativos para movimentar fundos.
A empresa afirmou ter reconstruído os sistemas afetados, substituído os dispositivos comprometidos e revogado as credenciais expostas. Até 3 de novembro, cerca de US$ 2,85 bilhões em ativos roubados haviam sido congelados ou interceptados. A Binance também informou que, até 31 de outubro, havia reposto 98% dos ativos em tokens afetados.
Um método recorrente contra profissionais de tecnologia
Entrevistas fictícias e propostas de trabalho usadas para distribuir malware aparecem em campanhas atribuídas a hackers norte-coreanos, incluindo Contagious Interview e Operation Dream Job. Em junho de 2025, uma campanha do tipo Contagious Interview teria se passado por recrutadores no LinkedIn e enviado desafios de programação com pacotes npm maliciosos.
Na ocasião, foram identificados 35 pacotes contaminados. Eles eram capazes de instalar programas destinados a roubar credenciais armazenadas em navegadores, dados de carteiras de criptomoedas e outras informações. O uso de plataformas reais e tarefas compatíveis com a rotina de desenvolvedores torna essas investidas mais difíceis de reconhecer do que mensagens genéricas de fraude.
Como reduzir o risco em processos seletivos
Profissionais de tecnologia devem tratar arquivos, repositórios e pacotes recebidos durante uma seleção como conteúdo não confiável, mesmo quando o contato parece legítimo. Antes de executar uma tarefa, é recomendável confirmar a vaga por canais oficiais da empresa e verificar se o recrutador realmente trabalha para a organização anunciada.
Executar código desconhecido em um computador corporativo é especialmente arriscado. Quando possível, a avaliação deve ocorrer em um ambiente isolado, como uma máquina virtual descartável, sem acesso a credenciais, dados internos ou carteiras digitais. Também é importante revisar dependências e scripts de instalação antes de permitir que sejam executados.
Para as empresas, o caso reforça a necessidade de limitar privilégios de acesso e separar dispositivos de uso cotidiano dos sistemas que controlam ativos financeiros. Credenciais devem ser protegidas por autenticação multifator resistente a phishing, enquanto tokens de implantação precisam ter permissões restritas, prazo de validade curto e mecanismos de revogação rápida.
Monitorar comportamentos incomuns também pode ajudar a interromper uma invasão antes que ela chegue aos sistemas críticos. Alertas para substituição de ferramentas legítimas, conexões com servidores desconhecidos, uso atípico de credenciais e movimentações fora do padrão podem revelar a atividade de um invasor. Treinamentos, por sua vez, devem abordar situações concretas – como entrevistas com tarefas de programação – e não apenas golpes por e-mail.
O ataque à Binance evidencia como uma conversa profissional aparentemente comum pode se transformar em acesso a uma infraestrutura de alto valor. A defesa depende tanto de controles técnicos quanto de procedimentos claros para verificar recrutadores, analisar código e impedir que um único dispositivo comprometido abra caminho até serviços financeiros essenciais.