Hackers gastaram apenas US$ 15 para drenar US$ 2,5 bilhões da Binance

Os hackers que roubaram US$ 6,3 bilhões da Binance na semana passada encontraram uma forma de retirar 40% das criptomoedas roubadas de uma só vez, reduzindo as chances de serem flagrados durante a ação. O custo foi de apenas US$ 15. Uma análise das transações registradas na blockchain Ethereum mostra como os ladrões transformaram em arma um recurso criado para facilitar o uso de carteiras de criptomoedas.

A ferramenta permite que uma conta autorize um software a movimentar recursos em nome dela, em vez de exigir autorizações separadas para cada transferência. Leia também Economia Falsas entrevistas de emprego e ferramentas de IA: como ocorreu o ataque à Binance Tecnologia Mercado Bitcoin: como foi o ataque hacker que drenou quase US$ 50 milhões da exchange brasileira Os hackers pagaram cerca de US$ 15 em taxas de rede para estabelecer essa autorização e, em seguida, a usaram para retirar aproximadamente US$ 2,5 bilhões em uma única transação — 40% do total roubado —, segundo a empresa de segurança Blockaid. Na terça-feira, a própria Binance apresentou uma cronologia detalhada segundo a qual os invasores usaram falsas ofertas de emprego para enganar um engenheiro e levá-lo a baixar um código malicioso.

Foi uma “campanha sofisticada e em várias etapas”, segundo a corretora, que envolveu engenharia social, dispositivos comprometidos e técnicas de inteligência artificial. Uma vez dentro do sistema, os hackers tiveram como alvo uma “hot wallet”, ou carteira conectada à internet, conhecida como Binance 14, usada pela corretora para processar saques de clientes, segundo registros da plataforma de análise Etherscan. Essa carteira funciona de forma semelhante a um caixa on-line e, como a Binance é a maior corretora de criptomoedas do mundo, costuma concentrar grandes volumes de Ether, stablecoins e dezenas de outros tokens digitais.

Atalho A movimentação de tantos ativos diferentes normalmente exigiria uma série de transferências separadas, cada uma consumindo tempo e criando outra oportunidade para que os sistemas de segurança detectassem algo incomum. Mas uma atualização do software do Ethereum conhecida como EIP-7702 ofereceu um atalho. Antes de ser implementada, em maio de 2025, uma carteira básica de criptomoedas funcionava de forma mais parecida com uma conta-corrente, na qual o proprietário em geral precisava autorizar cada transação.

A atualização acrescentou algo semelhante a uma função de pagamento automático, permitindo que uma carteira desse a um software a capacidade de agir em nome dela e agrupasse várias ações. Por volta das 17h20 de 29 de outubro, no horário de Brasília, os hackers enviaram instruções com uma assinatura válida da carteira Binance 14, determinando que a rede Ethereum permitisse que um código controlado pelos invasores agisse em nome da conta, segundo a Blockaid. Foi nesse momento que eles pagaram a taxa rotineira de processamento da rede para estabelecer essa autorização.

A transação não movimentou dinheiro. Ela apenas instruiu o Ethereum a permitir que o software dos hackers agisse em nome da carteira. “O programa faz uma coisa: quando o proprietário solicita, ele esvazia a carteira e envia os recursos para um endereço escolhido pelo proprietário”, afirmou a empresa de pesquisa de blockchain Tibane Labs em relatório.

Três minutos e meio mais tarde, os hackers acionaram a armadilha. Com as novas permissões, o software dos invasores movimentou aproximadamente US$ 2,5 bilhões em uma única transação, segundo a Blockaid. 464 Ether e mais de 60 outros tokens, com destaque para US$ 1,6 bilhão em stablecoin Tether (USDT).

Escapada mais rápida “Em um ataque, o defensor quer desacelerar o invasor”, disse Dan Caspi, cofundador e diretor de tecnologia da Hypernative. ” Como a autorização estava registrada no Ethereum, a suspensão dos saques pela Binance ou o desligamento dos serviços da hot wallet não a cancelaram automaticamente, segundo o relatório da corretora sobre o incidente. Os depósitos não foram afetados e continuaram entrando na Binance 14, o que permitiu aos hackers continuar realizando transferências.

No total, eles usaram a mesma autorização para retirar cerca de US$ 3,6 bilhões, incluindo os US$ 2,5 bilhões iniciais, com US$ 823 milhões retirados de outra conta da Binance e quatro retiradas subsequentes da Binance 14, segundo relatório da empresa de inteligência de blockchain Elliptic. Um porta-voz da Binance confirmou que a EIP-7702 “teve papel significativo” no ataque e afirmou que a corretora tomou medidas para lidar com o risco revelado pelo episódio. “Revogamos a delegação afetada, reconstruímos a infraestrutura da carteira comprometida e atualizamos nossos controles de assinatura e monitoramento para lidar com esse tipo de risco de autorização”, afirmou.

” A Binance também reforçou a aplicação dos controles de acesso para impedir que a via usada pelos invasores seja explorada novamente, afirmou o porta-voz, acrescentando que “os recursos dos usuários continuam protegidos, e a Binance absorveu o impacto financeiro deste incidente”. O episódio mostra como ferramentas criadas para simplificar o uso de contas de criptomoedas também podem tornar uma invasão muito mais prejudicial quando um intruso consegue acesso. O FBI atribuiu o ataque, o maior roubo de criptomoedas já registrado, à Coreia do Norte.

Pyongyang negou qualquer envolvimento. ]]>