Tóquio. Hackers ligados à Coreia do Norte roubaram criptomoedas no valor aproximado de US$ 6,3 bilhões da Binance, a maior exchange de criptomoedas do mundo. O ataque começou em 29 de outubro, por volta das 16h20, no horário do Leste dos Estados Unidos, e envolveu fundos mantidos em carteiras quentes conectadas à internet.

Os atacantes distribuíram os ativos por dez blockchains e numerosas transações menores. Segundo a Chainalysis, eles trocaram US$ 325 milhões em stablecoins por US$ 285 milhões em Ether em menos de 20 minutos, aceitando um desconto superior a 10%. A conversão rápida tinha como objetivo impedir que as stablecoins fossem congeladas por seus emissores.

Uma resposta emergencial envolvendo a Binance, emissores de stablecoins, incluindo Tether e Circle, autoridades e empresas de análise de blockchain conseguiu congelar entre US$ 2,8 bilhões e US$ 3 bilhões, segundo a Chainalysis e a Binance. A Chainalysis descreveu a resposta coordenada como evidência de que o setor de criptomoedas está se tornando mais rápido para agir contra roubos de grande escala.

Uma parcela significativa dos ativos roubados é composta por Bitcoin e Ether, que não podem ser congelados da mesma maneira. A TRM Labs afirmou que os atacantes ainda controlavam mais de 420.000 ETH e 18.270 BTC, no valor aproximado de US$ 2,4 bilhões.

O método preciso usado para acessar a Binance continua incerto. A exchange afirmou que o ataque provavelmente começou com o comprometimento do laptop de um engenheiro de TI. Supostamente, os atacantes usaram o dispositivo para entrar em um sistema interno de serviços e autorizar saques fraudulentos. Atualmente, não há indicação de que chaves privadas de carteiras tenham sido roubadas.

O coCEO da Binance, Richard Teng, afirmou que os atacantes também instalaram malware projetado para apagar os próprios rastros. Engenharia social ou phishing podem ter sido usados para obter acesso ao laptop e a outros sistemas, mas o caminho continua sob investigação.

A Binance prometeu cobrir todas as perdas dos clientes. Até domingo, a exchange afirmou ter substituído cerca de 95% dos ativos roubados, usando seu Secure Asset Fund for Users, criado em 2018, juntamente com reservas corporativas no valor de vários bilhões de dólares. A perda líquida final poderá ser reduzida se os fundos congelados forem recuperados, embora ainda não esteja claro se e quando eles serão devolvidos à Binance.

A exchange retomou gradualmente os saques no domingo, começando pelo Bitcoin. O FBI, o Serviço Secreto dos Estados Unidos e a divisão de Investigação Criminal do IRS também alertaram os operadores sobre esforços do grupo conhecido como TraderTraitor para movimentar os ativos roubados. As agências publicaram uma lista de endereços suspeitos.

As autoridades afirmaram que os atacantes continuavam convertendo os ativos roubados principalmente em Ether. Espera-se que eles lavem os fundos por meio de plataformas de finanças descentralizadas e serviços de troca instantânea.

O grupo atua há anos. A Mandiant, empresa de cibersegurança pertencente ao Google, identificou-o em 2023 como UNC4899, um agente norte-coreano que anteriormente tinha como alvo empresas de criptomoedas. A Mandiant avaliou, com alto grau de confiança, que a UNC4899 era uma unidade da Coreia do Norte focada em criptomoedas e pertencente ao Reconnaissance General Bureau, e que provavelmente correspondia ao TraderTraitor.

O TraderTraitor faz parte de uma rede mais ampla usada pela Coreia do Norte para obter moeda estrangeira por meio de ataques cibernéticos, operações secretas de TI e empresas de fachada. A rede também inclui Lazarus, APT38 — também conhecido como Blue Noroff — Andariel e Kimsuky, grupos associados a roubos financeiros, ransomware e espionagem.

Milhares de trabalhadores norte-coreanos de TI também conseguiram empregos de software no exterior usando identidades falsas, frequentemente operando a partir de países como China e Rússia. Seus rendimentos são transferidos em grande parte para a Coreia do Norte. A Chainalysis afirmou que grupos norte-coreanos colocam cada vez mais esses trabalhadores dentro de empresas de criptomoedas para obter acesso privilegiado que posteriormente pode apoiar ataques.

Os hackers do país são selecionados e treinados desde cedo, com estudantes que demonstram forte capacidade matemática recebendo instrução em programação. O treinamento competitivo e os estudos em universidades de destaque concentram-se não apenas em computação, mas também na resolução de problemas complexos com recursos limitados.

Essa preparação ajudou os grupos norte-coreanos a se tornarem eficazes em engenharia social e phishing. A inteligência artificial também está sendo usada para produzir mensagens e candidaturas de emprego convincentes destinadas a possíveis alvos. Depois de inicialmente se concentrarem em bancos, os grupos voltaram-se para as criptomoedas à medida que o setor se expandiu, e o roubo da Binance demonstra a escala contínua dessa ameaça.

Fontes: Handelsblatt.