Este artigo foi compilado e organizado pela BlockWeeks
Binance divulgou seu primeiro relatório de investigação sobre o incidente de saída de aproximadamente US$ 6,34 bilhões em ativos digitais em 29 de outubro. O relatório reconstrói uma cadeia de ataque que durou quatro meses: o ponto de entrada foi uma instalação de software adulterada em junho, enquanto o avanço decisivo foi uma falsa entrevista de emprego cuidadosamente elaborada em setembro.
Junho: O download de uma "ferramenta de programação com IA" plantou as sementes
Segundo a Binance, um engenheiro de DevOps da carteira baixou em junho um pacote de instalação Homebrew adulterado enquanto procurava uma determinada ferramenta de programação com IA. A Binance posteriormente descobriu sinais de comprometimento naquela máquina, substituiu o dispositivo do engenheiro e redefiniu as credenciais. No entanto, a exchange reconheceu que esse engenheiro, juntamente com outros colegas da equipe de infraestrutura da carteira, já haviam sido expostos à visão dos atacantes nesse momento.
Setembro: Um recrutador se passando por "diretor de projeto"
Em setembro, um segundo engenheiro foi contatado em uma plataforma de empregos por alguém que se dizia "diretor de projeto". A pessoa primeiro organizou uma entrevista por vídeo com um suposto representante de RH, depois transferiu a segunda rodada para um aplicativo de chat social, onde o contato alegou administrar uma empresa que não existia, e finalmente pediu ao engenheiro que baixasse uma "tarefa" no computador fornecido pela empresa — esse repositório de código era, ele próprio, malware.
A Binance declarou que esse malware zero-day não foi detectado por suas ferramentas de segurança de endpoint na época.
20 de outubro: Ferramentas internas de IA se tornaram uma plataforma de lançamento
A Binance declarou que, em 20 de outubro, os atacantes usaram o computador do segundo engenheiro e um conjunto de ferramentas internas de IA para obter controle das contas do primeiro e do terceiro engenheiros, e encontraram um token de implantação de contêiner na máquina do primeiro engenheiro.
29 de outubro: Cinco carteiras quentes esvaziadas em quatro minutos
Em 29 de outubro, os atacantes usaram credenciais roubadas para fazer login no computador do terceiro engenheiro, implantar contêineres e executar scripts maliciosos.
A Binance divulgou que, entre 20:05 e 20:09 UTC, cinco carteiras quentes transferiram 233,46 milhões de XRP para endereços controlados pelos atacantes; as carteiras quentes de Solana e Optimism perderam aproximadamente 970.500 SOL e 44,2 milhões de OP, respectivamente. Posteriormente, uma carteira quente transferiu outros 18.270 BTC.
Em seguida, os atacantes usaram um serviço interno de assinatura e aproveitaram o recurso EIP-7702 do Ethereum (que permite a uma carteira delegar certas permissões de transação a um contrato) para conceder a um contrato controlado pelos atacantes permissões parciais sobre uma carteira quente por meio de 50 transações assinadas.
O MPC salvou o dia, mas o stop-loss chegou meio passo atrasado
Como a carteira usava uma arquitetura de computação multipartidária (MPC), nenhuma chave privada única poderia revogar essas delegações, então a equipe da Binance teve que construir um processo de remediação dedicado de forma improvisada, o que prolongou o tempo necessário. A última transferência não autorizada foi de 2.961,9 ETH, que concluiu a confirmação final às 23:56 UTC; a Binance só limpou as delegações relevantes às 00:10 de 30 de outubro.
Reconstrução, auditoria e abordagem de compensação
A Binance declarou que reconstruiu os sistemas de carteira afetados e as ferramentas internas de IA, substituiu os dispositivos relevantes e desativou as credenciais em nome dos engenheiros envolvidos. A exchange também planeja trazer uma revisão independente de terceiros e estabelecer um fundo de pesquisa de segurança, ao mesmo tempo em que afirma que alguns detalhes técnicos permanecerão confidenciais.
Em relação à compensação de ativos, a Binance declarou que, até 31 de outubro, 98% dos ativos tokenizados afetados haviam sido repostos. No entanto, os números em suas próprias atualizações de progresso de recuperação eram menores: 90% em 31 de outubro e aproximadamente 95% em 2 de novembro.
