Um laptop tornou-se a porta de entrada para um roubo recorde
Estima-se que $6,3 bilhões desapareceram da Binance em cerca de 20 minutos, marcando o maior roubo de cripto da história. Essa quantia impressionante, aproximadamente quatro vezes maior que o recorde anterior, moveu-se através de múltiplas blockchains em uma enxurrada de transações não autorizadas. A escala sugere um invasor com acesso profundo, não apenas um hack oportunista.
Investigadores suspeitam que a violação começou com o laptop comprometido de um único engenheiro, um ponto de partida aparentemente inofensivo para um roubo tão massivo. Essa base inicial forneceu um ponto de entrada na infraestrutura interna da Binance, permitindo que o invasor manipulasse seus sistemas de assinatura sem expor diretamente nenhuma private key. Essa distinção é crucial: as chaves permaneceram seguras em suas respectivas máquinas, mas o sistema autorizado a usá-las foi comprometido.
A Binance descreveu uma violação de máquina DevOps juntamente com "pontos adicionais de violação", indicando um ataque complexo de vários estágios. Relatórios forenses ainda estão pendentes, mas as descobertas relatadas sugerem que o invasor coagiu os próprios sistemas da Binance a assinar transações arbitrárias. Isso permitiu o esvaziamento rápido de hot wallets, demonstrando uma exploração sofisticada dos controles operacionais internos.
As chaves podem ter permanecido no lugar — o sistema de assinatura não
A Binance usa hot wallets compartilhadas para saques de clientes, uma prática padrão de exchange. Cada transferência requer uma assinatura de private key, mas a Binance não encontrou evidências de exfiltração de chaves. Essa distinção é crítica: o invasor não roubou as chaves; eles coagiram os próprios sistemas da Binance a assinar transações ilícitas.
Uma empresa de segurança teria rastreado 11 chaves distintas assinando transferências para o invasor, indicando um comprometimento sistêmico, não um vazamento de uma única chave. Isso sugere um vetor de ataque muito mais insidioso do que um simples roubo de credenciais. O invasor supostamente contornou as salvaguardas típicas manipulando a infraestrutura interna da Binance.
Os invasores provavelmente comprometeram serviços ou containers internos, transformando efetivamente o sistema de assinatura confiável da Binance em um cúmplice involuntário. Eles puderam então solicitar assinaturas válidas dos próprios sistemas da Binance, permitindo-lhes autorizar transações arbitrárias. Isso permitiu que eles "varressem" as hot wallets, drenando fundos sem nunca possuir as private keys diretamente.
No Ethereum, o invasor preparou 50 notas de autorização pré-assinadas para explorar nonces de transação. Como a hot wallet estava processando ativamente saques de clientes, 49 tentativas falharam devido a uma incompatibilidade de contador. No entanto, uma tentativa correspondeu à sequência exata, varrendo a carteira até restar apenas 1 ETH. Esse abuso sofisticado do processo de assinatura destaca uma profunda quebra de confiança no próprio sistema.
Cinquenta tentativas, um nonce e uma carteira deixada com 1 ETH
Os invasores enfrentaram um alvo em movimento. As transações de Ethereum carregam cada uma um nonce, um valor sequencial que atua como um contador de transações. Como a hot wallet ainda estava processando saques de clientes, seu nonce mudava constantemente, tornando qualquer autorização pré-assinada inválida se seu valor de nonce esperado estivesse desatualizado.
Sua tática relatada foi uma elegância de força bruta: preparar 50 autorizações pré-assinadas. Dessas, 49 tentativas supostamente perderam o nonce correto à medida que o contador avançava. No entanto, uma correspondeu precisamente, permitindo uma varredura que drenou a carteira, deixando apenas 1 ETH para trás.
Este ataque sofisticado teria aproveitado o EIP-7702, uma proposta que permite que externally owned accounts deleguem temporariamente um comportamento semelhante ao de smart contracts. Essa delegação poderia permitir ações complexas, como uma varredura programática, diretamente do endereço da hot wallet, contornando os controles padrão de multi-signature. Tais capacidades ressaltam por que uma validação de transação robusta e controles internos rigorosos são fundamentais. Para mais detalhes sobre a violação, veja Binance Links $6.3 Billion Crypto Theft to Compromised DevOps Laptop.
Gostando do artigo? Receba um assim na sua caixa de entrada toda manhã.
um e-mail por dia · cancele em dois cliques · sem rastreadores de terceiros
Congelar bilhões não foi suficiente para recuperar todas as moedas
Então veio o congelamento: estima-se que entre US$ 2,7 e US$ 3 bilhões em tokens centralizados tornaram-se inacessíveis. Emissores como Tether e Circle rapidamente colocaram na lista negra os ativos roubados, congelando mais de US$ 1,5 bilhão em USDT e US$ 800 milhões em USDC, respectivamente. A Ripple e o Security Council da Arbitrum também congelaram os saldos restantes de stablecoins, demonstrando a centralização inerente e as capacidades de intervenção desses ativos.
Mas os US$ 2,4 bilhões restantes mostraram-se muito mais difíceis de alcançar. Ativos como ETH e BTC, convertidos e transferidos (bridged) para camadas base descentralizadas, ficaram fora do alcance do comando de congelamento de qualquer entidade única. Essa divisão clara destaca o compromisso duradouro nas criptomoedas: tokens centralizados oferecem opções de recuperação, enquanto ativos descentralizados mantêm a resistência à censura.
Empresas de rastreamento rapidamente atribuíram o ataque sofisticado a atores ligados à Coreia do Norte. A Binance, por sua vez, comprometeu-se a cobrir todas as perdas com seus próprios fundos, pausou os serviços afetados e prometeu uma análise técnica abrangente (post-mortem). O incidente ressalta um paradoxo crítico: mesmo que alguns criptoativos prometam descentralização imutável, a infraestrutura que os protege permanece um alvo tentador para ameaças altamente organizadas patrocinadas por estados.
Perguntas Frequentes
Como o hack da Binance teria funcionado?
Investigadores dizem que os atacantes podem ter comprometido sistemas internos e usado a infraestrutura de assinatura autorizada da Binance para aprovar transferências maliciosas, em vez de roubar diretamente as chaves privadas das carteiras.
Por que o atacante preparou 50 autorizações assinadas?
O contador de transações da carteira, ou nonce, mudava constantemente à medida que processava saques. O atacante teria preparado múltiplas tentativas para que uma pudesse corresponder ao valor exato do contador.
Por que parte das criptomoedas roubadas pôde ser congelada, mas não todas?
Emissores de tokens centralizados podem colocar na lista negra alguns ativos, como stablecoins. Ativos nativos como ETH e BTC não possuem um emissor único com a mesma capacidade de congelá-los.
A Binance disse que os fundos dos usuários seriam reembolsados?
A Binance disse que cobriria as perdas com seus próprios fundos, incluindo seu fundo SAFU, enquanto investigava e trabalhava para restaurar os serviços afetados.